Port Mirroring
Port mirroring = het kopiëren van verkeer dat over één of meerdere switchpoorten gaat (gemirrorde/gemonitorde poorten) naar een andere poort (mirror/monitor poort) waar een analysetool op aangesloten is.
Zo kan je live netverkeer analyseren zonder de normale werking te verstoren en zonder endpoints lastig te vallen.
Wat kopiëren naar de mirror poort: - Enkel ingress (rx) verkeer - Enkel egress (tx) verkeer - Beide richtingen
Toepassingen
- Troubleshooting
- Performance monitoring
- Security analyses
- Compliance auditing
- Eavesdropping (in geautoriseerde context)
SPAN vs RSPAN vs TAP
| Techniek | Scope | Opmerking |
|---|---|---|
| SPAN | 1 switch | Bron- en mirror poort op dezelfde switch |
| RSPAN | Meerdere switches | Vereist een apart RSPAN VLAN + trunking |
| TAP | 1 verbinding | Hardware tap — geen impact op switchperformantie |
SPAN = Switched Port Analyzer (Cisco-term). Andere vendors gebruiken eigen namen (port monitoring, ...) maar het concept is identiek.
Monitoring Sessies
Werken altijd via monitoring sessies:
- Elke sessie heeft één of meerdere source poorten/VLANs en één of meerdere destination poorten
- Poort- en VLAN-mirroring kunnen niet gecombineerd worden in dezelfde sessie
- Elke destination poort moet uniek zijn per sessie
- Een destination poort kan zelf niet gemirrord worden
- Een destination poort is geen normale switchpoort meer — enkel gemirrord verkeer loopt er nog over
Beperkingen destination poort
- Kan maar destination zijn in 1 monitoring sessie
- Een EtherChannel poort of secure poort kan geen destination poort zijn
Source poort
- Kan van eender welk type zijn (fysieke poort, EtherChannel, access, trunk, voice VLAN, ...)
- Kan in meerdere monitoring sessies voorkomen
Standaard gedrag
Standaard wordt enkel endpointverkeer gemirrord. Switch-to-switch verkeer (STP, BPDU, CDP, VTP, LACP/PAgP) wordt overgeslagen. Om dat ook mee te kopiëren: gebruik de optie encapsulation replicate.
Bij trunk poorten wordt standaard verkeer van alle VLANs gekopieerd — dit kan beperkt worden tot één specifiek VLAN.
SPAN Configuratie
1. configure terminal
2. no monitor session {session_number | all | local | remote}
3. monitor session session_number source {interface interface-id | vlan vlan-id} [,|-] [both | rx | tx]
4. monitor session session_number destination {interface interface-id [,|-] [encapsulation replicate]}
5. end
Stap 2 verwijdert eventuele bestaande sessies (all = SPAN + RSPAN, local = enkel SPAN, remote = enkel RSPAN).
Richting:
- both — ingress + egress (default)
- rx — enkel ontvangen verkeer
- tx — enkel verzonden verkeer
RSPAN Configuratie
Vereist dat het RSPAN VLAN op alle betrokken switches bestaat vooraleer je begint.
Source switch
1. configure terminal
2. no monitor session {session_number | all | local | remote}
3. monitor session session_number source {interface interface-id | vlan vlan-id} [,|-] [both | rx | tx]
4. monitor session session_number destination remote vlan vlan-id
5. end
Destination switch
1. configure terminal
2. vlan vlan-id
3. remote-span
4. exit
5. no monitor session {session_number | all | local | remote}
6. monitor session session_number source remote vlan vlan-id
7. monitor session session_number destination interface interface-id
8. end
TAP — Test Access Point
SPAN en RSPAN verbruiken resources van de switch zelf en kunnen de betrokken switches vertragen.
Een TAP (Test Access Point) is aparte hardware die inline op een netwerkverbinding wordt geplaatst en de fysieke bits kopieert — geen load op de switch, werkt op Layer 1. Nadeel: per gemonitorde verbinding is aparte hardware nodig.