Cisco IOS SPAN và RSPAN

[Trần Hoàng Tú]

I. SPAN

Bạn có thể giám sát mạng hiệu quả thông qua một cổng bằng cách sử dụng Switched Port Analyzer (SPAN). Tính năng SPAN sử dụng để sao chép dữ liệu đang trao đổi của một cổng hoặc một Vlan đến cổng khác trên cùng một thiết bị Switch, quá trình này gọi là “mirroring”.

Bạn có thể cấu hình SPAN để phân tích dữ liệu mà cổng nhận được hoặc truyền đi (hoặc cả hai quá trình). Thiết bị phân tích gắn trên cổng giám sát có thể là một thiết bị bắt gói tin hoặc một IPS/IDS (Instrution Prevention Sensor/Instrution Detection Sensor),...

Để cấu hình Span trên Switch ta phải làm các bước:

Bước 1: Chỉ ra cổng hoặc vlan cần giám sát

Switch(config)#monitor session [B][I]session-id[/I][/B] source {vlan [B][I]vlan-id[/I][/B] | interface [B][I]tên_cổng[/I][/B]} [tx | rx | both]

Bước 2: Chỉ ra cổng đích có gắn thiết bị để giám sát

Switch(config)#monitor session [B][I]session-id[/I][/B] destination interface [B][I]tên_cổng[/I][/B]

Mặc định, khi một cổng trở thành monitor port, switch sẽ drop mọi lưu lượng đi vào cổng đó.

Trong đó:

session-id : session number <1-66>
source: có thể là 1 vlan hoặc 1 cổng của switch
destinantion: là 1 cổng của switch
tx : Chỉ giám sát traffic khi gửi đi
rx : Chỉ giám sát traffic khi nhận được
both: Giám sát cả traffic gửi và nhận

II. RSPAN

Remote SPAN (RSPAN) là một phần mở rộng của SPAN, RSPAN cho phép bạn giám sát lưu lượng trên các cổng của một thiết bị Switch khác trong hệ thống. RSPAN hoạt động bằng cách phản chiếu lưu lượng từ các cổng nguồn lên Vlan dành riêng cho session RSPAN và sau đó được chuyển tiếp đến các thiết bị Switch khác thông qua các đường trunk kết nối giữa các Switch đến cổng monitor trong hệ thống.

Ta làm các bước sau:

Bước 1: tạo 1 vlan dùng để chở dữ liệu capture. Vlan này cần phải được tạo ra trên tất cả các Switch nằm trên đường đi từ nơi bị giám sát tới nơi đặt thiết bị giám sát

Switch(config)# vlan vlan-id
Switch(config-vlan)#remote-span → khai báo vlan này dùng cho RSPAN

Lưu ý: khi đã cấu hình vlan dùng cho RSPAN, nếu có bất kì cổng access nào được gán vào Vlan RSPAN sẽ bị disable và chuyển sang trạng thái donw/donw

Bước 2: trên Switch có chứa thành phần bị giám sát, ta thực hiện khai báo các monitor session

Switch(config)#monitor session session-id source {vlan vlan-id | interface[I] [B]tên_cổng[/B][/I]} [tx | rx | both]
Switch(config)#monitor session session-id destination remote vlan [I][B]vlan-id[/B][/I]

Bước 3: trên Switch đích có gắn thiết bị giám sát, ta thực hiện cấu hình monitor session với source là RSPAN Vlan và destination là interface có gắn thiết bị giám sát

Switch(config)#monitor session session-id source remote vlan vlan-id
Switch(config)#monitor session session-id destination interface [I][B]tên_cổng[/B][/I]