Difference between revisions of "Cisco SPAN"

From HackerNet
Jump to: navigation, search
Line 1: Line 1:
−
Det finns olika varianter.
+
Switch Port Analyzer är Ciscos namn på att spegla trafik, antingen på samma switch eller till en remote switch. Alla typer av portar kan speglas. SPAN består av source (portar eller [[Cisco_VLAN|VLAN]]) och destination port/ar. RSPAN har samma source men destination port finns på en annan switch så det skickas i ett RSPAN VLAN till den andra switchen. ERSPAN (Encapsulated Remote SPAN) är samma som RSPAN men att det kapslas in med GRE så att det kan routas till en annan switch. Man kan välja om rx, tx eller att både och ska speglas, default är all rx och tx med undantag vissa frames (t.ex. CDP, BPDU, VTP, DTP, PAgP). SPAN ligger före trafikmodifikation för receive, t.ex. VACL, QoS och ingress policing. För tx ligger det efter så med andra ord SPAN händer längst ut. På vissa low-end switchar måste man låna en asic från en oanvänd port för att switchen ska kunna SPANa.
−
* SPAN
 
−
* RSPAN
 
−
* ERSPAN
 
  
−
=IOS=
+
'''Begränsningar'''
 +
* All konfigurationen på en port inaktiveras när den blir konfad som destination port för SPAN. Inklusive [[Cisco_EtherChannel|EtherChannel]].
 +
* Destination port har inte stöd för 802.1x, Private VLAN, CDP, STP, [[Cisco_VTP|VTP]], DTP, etc.
 +
* Som source går det ej att mixa portar och VLAN.
 +
* Destinationporten är best effort, dvs överflöd slängs.
 +
* Endast en SPAN-session kan skicka trafik till en destination port.
 +
 
 +
=SPAN=
 +
''IOS''
 
  monitor session 1 source interface fa0/2 rx
 
  monitor session 1 source interface fa0/2 rx
−
  monitor session 1 destination interface fa0/3
+
monitor session 1 source interface fa0/3 both
 +
  monitor session 1 destination interface fa0/10 encapsulation replicate
 +
Encapsulation replicate gör att exakt alla frames speglas.
 +
monitor session 1 filter vlan 2 - 5
 +
Speglar man en trunkport kan man filtrera bort VLAN.
  
−
=NX-OS=
+
''NX-OS'' <br/>
−
===SPAN===
 
 
Destination
 
Destination
 
  interface Ethernet1/1
 
  interface Ethernet1/1
Line 23: Line 31:
 
   destination interface Ethernet1/1
 
   destination interface Ethernet1/1
 
   no shut
 
   no shut
 +
'''Verify'''
 +
show monitor
  
−
'''Show'''
+
=RSPAN=
−
  show monitor
+
Skapa RSPAN VLAN på alla switchar.
 +
vlan 999
 +
  remote span
 +
  exit
 +
Source & Destination
 +
monitor session 1 source interface fa0/3 both
 +
monitor session 1 destination remote vlan 999
 +
Switch 2
 +
monitor session 1 source remote vlan 999
 +
monitor session 1 destination interface gi0/8
 +
'''Verify'''
 +
show monitor session 1
 +
 
 +
=ERSPAN=
 +
''IOS'' <br/>
 +
Source
 +
monitor session 1 type erspan-source
 +
source interface gi0/1 both
 +
no shut
 +
destination
 +
  erspan-id 101
 +
  ip address 10.0.0.20
 +
  origin ip address 172.20.0.10
 +
Destination
 +
monitor session 1 type erspan-destination
 +
destination interface gi0/2
 +
no shut
 +
source
 +
  erspan-id 101
 +
  ip address 10.0.0.20
 +
'''Verify'''
 +
  show monitor session 1
  
−
===ERSPAN===
+
''NX-OS''
 
  monitor session 1 type erspan-source
 
  monitor session 1 type erspan-source
 
  description ERSPAN direct to Sniffer PC
 
  description ERSPAN direct to Sniffer PC

Revision as of 20:17, 16 January 2016

Switch Port Analyzer är Ciscos namn på att spegla trafik, antingen på samma switch eller till en remote switch. Alla typer av portar kan speglas. SPAN består av source (portar eller VLAN) och destination port/ar. RSPAN har samma source men destination port finns på en annan switch så det skickas i ett RSPAN VLAN till den andra switchen. ERSPAN (Encapsulated Remote SPAN) är samma som RSPAN men att det kapslas in med GRE så att det kan routas till en annan switch. Man kan välja om rx, tx eller att både och ska speglas, default är all rx och tx med undantag vissa frames (t.ex. CDP, BPDU, VTP, DTP, PAgP). SPAN ligger före trafikmodifikation för receive, t.ex. VACL, QoS och ingress policing. För tx ligger det efter så med andra ord SPAN händer längst ut. På vissa low-end switchar måste man låna en asic från en oanvänd port för att switchen ska kunna SPANa.

Begränsningar

  • All konfigurationen på en port inaktiveras när den blir konfad som destination port för SPAN. Inklusive EtherChannel.
  • Destination port har inte stöd för 802.1x, Private VLAN, CDP, STP, VTP, DTP, etc.
  • Som source går det ej att mixa portar och VLAN.
  • Destinationporten är best effort, dvs överflöd slängs.
  • Endast en SPAN-session kan skicka trafik till en destination port.

SPAN

IOS 

monitor session 1 source interface fa0/2 rx
monitor session 1 source interface fa0/3 both
monitor session 1 destination interface fa0/10 encapsulation replicate

Encapsulation replicate gör att exakt alla frames speglas. 

monitor session 1 filter vlan 2 - 5

Speglar man en trunkport kan man filtrera bort VLAN.

NX-OS
Destination 

interface Ethernet1/1
 description MONITOR-SESSION-1
 switchport
 switchport monitor
 no shutdown

Monitor session 

monitor session 1
 description SPAN-to-SERVER
 source vlan 10-20 both
 rate-limit auto
 destination interface Ethernet1/1
 no shut

Verify 

show monitor

RSPAN

Skapa RSPAN VLAN på alla switchar. 

vlan 999
 remote span
 exit

Source & Destination 

monitor session 1 source interface fa0/3 both
monitor session 1 destination remote vlan 999

Switch 2 

monitor session 1 source remote vlan 999
monitor session 1 destination interface gi0/8

Verify 

show monitor session 1

ERSPAN

IOS
Source 

monitor session 1 type erspan-source
source interface gi0/1 both
no shut
destination
 erspan-id 101
 ip address 10.0.0.20
 origin ip address 172.20.0.10

Destination 

monitor session 1 type erspan-destination
destination interface gi0/2 
no shut
source
 erspan-id 101
 ip address 10.0.0.20

Verify 

show monitor session 1

NX-OS 

monitor session 1 type erspan-source
description ERSPAN direct to Sniffer PC
erspan-id 32                              # required, # between 1-1023
vrf default                               # required
destination ip 10.1.2.3                   # IP address of Sniffer PC
source interface port-channel1 both       # Port(s) to be sniffed
filter vlan 3900                          # limit VLAN(s) (optional)
no shut                                   # enable
monitor erspan origin ip-address 10.1.2.1 global
Retrieved from "https://hackernet.se/index.php?title=Cisco_SPAN&oldid=1446"