English · Ελληνικά
Ένα switch κανονικά στέλνει κάθε frame μόνο στον προορισμό του — γι' αυτό δεν μπορείς απλώς να συνδέσεις ένα laptop και να δεις κίνηση. Το SPAN κάνει mirror επιλεγμένες θύρες ή VLAN σε μια θύρα αναλυτή ώστε να μπορείς. Τοπικό SPAN, RSPAN ανάμεσα σε switch, και ERSPAN πάνω από IP — συν την παγίδα υπερσυνδρομής που κάνει τις καταγραφές να λένε ψέματα.
Τα switch μαθαίνουν πού ζει κάθε MAC και προωθούν frames μόνο εκεί — τέλειο για απόδοση, ενοχλητικό όταν χρειάζεσαι να παρακολουθείς κίνηση που δεν προορίζεται για σένα. Το SPAN (Switched Port Analyzer) είναι η ενσωματωμένη απάντηση: πες στο switch να διπλασιάσει τα frames από μία ή περισσότερες θύρες ή VLAN source σε μια θύρα destination, όπου ένα laptop με Wireshark, ένας sensor IDS (Snort/Suricata/Zeek), ή μια συσκευή DPI μπορεί να δει τα πάντα. Χωρίς hardware tap, χωρίς αλλαγή καλωδίωσης.
Τρεις γεύσεις καλύπτουν τις αποστάσεις: τοπικό SPAN όταν ο αναλυτής είναι στο ίδιο switch, RSPAN όταν είναι σε διαφορετικό switch (το αντίγραφο ταξιδεύει σε αποκλειστικό VLAN πάνω από trunks), και ERSPAN όταν είναι σε δρομολογημένο δίκτυο (το αντίγραφο είναι GRE-encapsulated πάνω από IP). Εδώ συναντιούνται τα δύο μας καπέλα — το ίδιο mirror που στήνουμε για το IDS ενός πελάτη είναι αυτό που ζητάμε κατά τη διάρκεια incident response για να δούμε τι κάνει πραγματικά ένας επιτιθέμενος στο καλώδιο. Μία παγίδα, η υπερσυνδρομή, κάνει τη διαφορά ανάμεσα σε μια καταγραφή που εμπιστεύεσαι και μια που λέει ψέματα σιωπηλά· έχει τη δική της ενότητα.
01
Η απλούστερη περίπτωση: source και αναλυτής σε ένα switch. Δύο γραμμές — ένα source και ένα destination — και κάνεις καταγραφή.
# Κάνε mirror ΚΑΙ ΤΙΣ ΔΥΟ κατευθύνσεις του Gi0/1 στον αναλυτή στο Gi0/24 SW1(config)# monitor session 1 source interface GigabitEthernet0/1 both SW1(config)# monitor session 1 destination interface GigabitEthernet0/24 SW1(config)# end # Ή κάνε mirror την κίνηση ολόκληρου VLAN (ιδανικό για IDS που παρακολουθεί ένα τμήμα) SW1(config)# monitor session 2 source vlan 10 rx # rx = μόνο λαμβανόμενη SW1(config)# monitor session 2 destination interface GigabitEthernet0/23 # Επιβεβαίωσε το session SW1# show monitor session 1 Session 1 Type : Local Session Source Ports Both : Gi0/1 Destination Ports : Gi0/24
Μόλις ένα interface γίνει SPAN destination, κάνει ένα πράγμα: βγάζει mirrored frames. Ρίχνει την εισερχόμενη κίνηση και δεν συμμετέχει πια στο δίκτυο — οπότε μην κάνεις SPAN σε θύρα από την οποία εξαρτάται μια πραγματική συσκευή (ή η δική σου διαδρομή διαχείρισης), και μην εκπλαγείς όταν το laptop αναλυτή δεν φτάνει το internet μέσα από αυτήν. Σχεδίασε μια αποκλειστική θύρα. Πρόσεξε επίσης ότι το both κάνει mirror tx+rx, που μπορεί να διπλασιάσει τον όγκο — δες την υπερσυνδρομή (ενότητα 04). Χρησιμοποίησε rx ή tx όταν χρειάζεσαι μόνο μία κατεύθυνση.
02
Όταν ο αναλυτής κάθεται σε διαφορετικό switch, το RSPAN κουβαλάει το mirrored αντίγραφο πάνω από αποκλειστικό VLAN που ταξιδεύει στα υπάρχοντα trunks σου. Ένα session source σε ένα switch, ένα session destination στο άλλο, ενωμένα από ένα ειδικό VLAN RSPAN.
# Σε ΚΑΘΕ switch στη διαδρομή, όρισε το ειδικό VLAN RSPAN SW1(config)# vlan 199 SW1(config-vlan)# remote-span SW1(config-vlan)# exit # (και επίτρεψε το VLAN 199 στα trunks ανάμεσα στα switch) # Switch SOURCE — κάνε mirror τη θύρα ΜΕΣΑ στο VLAN RSPAN SW1(config)# monitor session 1 source interface GigabitEthernet0/1 both SW1(config)# monitor session 1 destination remote vlan 199 # Switch DEST (SW2) — τράβηξε το VLAN RSPAN ΕΞΩ στη θύρα αναλυτή SW2(config)# monitor session 1 source remote vlan 199 SW2(config)# monitor session 1 destination interface GigabitEthernet0/24
Το RSPAN αποτυγχάνει σιωπηλά αν κάποιο switch στη διαδρομή ανάμεσα σε source και destination δεν έχει το VLAN remote-span ή δεν το επιτρέπει στα trunks διασύνδεσης. Η κίνηση mirror απλώς δεν φτάνει και δεν υπάρχει προφανές σφάλμα — κάθεσαι στον αναλυτή χωρίς να βλέπεις τίποτα. Όρισε το VLAN RSPAN σε κάθε switch στη διαδρομή και πρόσθεσέ το στη λίστα allowed κάθε trunk (η πειθαρχία allowed-VLAN ξανά). Η κίνηση RSPAN καταναλώνει επίσης πραγματική bandwidth σε εκείνα τα trunks — το mirror μιας απασχολημένης θύρας source ανταγωνίζεται την κίνηση production στα uplinks.
03
Όταν ο αναλυτής είναι L3 hops μακριά — ένα κεντρικό SOC, ένα cloud IDS — το ERSPAN τυλίγει τα mirrored frames σε GRE και τα δρομολογεί πάνω από IP. Χαρακτηριστικό router/L3-switch· το σχήμα είναι παρόμοιο με διευθύνσεις IP source και destination.
R1(config)# monitor session 1 type erspan-source R1(config-mon-erspan-src)# source interface GigabitEthernet0/1 both R1(config-mon-erspan-src)# destination R1(config-mon-erspan-src-dst)# erspan-id 101 R1(config-mon-erspan-src-dst)# ip address 10.50.0.10 # ο collector R1(config-mon-erspan-src-dst)# origin ip address 10.1.0.1 # αυτός ο router R1(config-mon-erspan-src-dst)# no shutdown R1(config-mon-erspan-src-dst)# end # Ο collector (ή ένα αντίστοιχο session ERSPAN-destination) κάνει decapsulate # το GRE και δίνει τα πρωτότυπα frames στον αναλυτή. Τώρα μπορείς να κάνεις mirror # την κίνηση ενός κλάδου σε ένα IDS στο HQ — μέσα από το WAN.
04
Η παγίδα που κάνει τις καταγραφές να λένε ψέματα. Μια θύρα destination 1 Gbps δεν μπορεί να κουβαλήσει περισσότερο από 1 Gbps mirrored κίνησης — και το mirror πολλών απασχολημένων θυρών (ή και των δύο κατευθύνσεων μίας) το ξεπερνάει εύκολα. Το switch ρίχνει σιωπηλά το πλεόνασμα, και στην καταγραφή σου λείπουν πακέτα που δεν θα μάθεις ποτέ.
# Παράδειγμα: mirror 4 θυρών, και τις δύο κατευθύνσεις, καθεμία ~600 Mbps στην αιχμή.
# 4 θύρες x 600 Mbps x 2 κατευθύνσεις = 4.8 Gbps κίνηση mirror
# ...μέσα σε μία μοναδική θύρα destination 1 Gbps. ~80% ΡΙΧΝΕΤΑΙ.
# Το IDS σου βλέπει ένα κλάσμα της πραγματικότητας και αναφέρει «όλα καθαρά» — ψευδώς.
# Έλεγξε αν το destination είναι υπερφορτωμένο (drops που ανεβαίνουν = πρόβλημα):
SW1# show interfaces GigabitEthernet0/24 counters | include Discard|drop
SW1# show monitor session 1
Τρεις τρόποι να κρατήσεις μια καταγραφή ειλικρινή. Στένεψε το source — κάνε mirror μία θύρα ή μία κατεύθυνση (rx/tx), όχι τα πάντα both. Χρησιμοποίησε πιο γρήγορο destination — μια θύρα αναλυτή 10G για συγκεντρωμένα sources. Ή φίλτραρε — κάποιες πλατφόρμες υποστηρίζουν monitor session … filter vlan ή ACL-based SPAN για να αντιγράφεις μόνο την κίνηση που σε νοιάζει. Για σοβαρή καταγραφή πλήρους πιστότητας (line-rate forensics, IDS υψηλής ρυθμαπόδοσης), ένα αποκλειστικό hardware network tap νικά το SPAN — δεν μπορεί να υπερσυνδρομηθεί και δεν ανταγωνίζεται πόρους του switch. Το SPAN είναι τέλειο για troubleshooting και μέτριες ροές IDS· γνώρισε την οροφή του πριν εμπιστευτείς ένα «τίποτα δεν βρέθηκε».
05
Επιβεβαίωσε το session, πρόσεξε τα drops, και — σημαντικό — αφαίρεσε το session όταν τελειώσεις. Ένα ξεχασμένο SPAN καίει σιωπηλά μια θύρα και πόρους του switch για μήνες.
| Εντολη | Κανει |
|---|---|
| show monitor session all | Κάθε session SPAN/RSPAN/ERSPAN — μαζί με αυτά που ξέχασες. |
| show monitor session 1 | Sources, destination, κατεύθυνση για ένα session. |
| show interfaces Gi0/24 counters | Drops του destination — ο έλεγχος υπερσυνδρομής. |
| no monitor session 1 | Ρίξ' το κάτω και δώσε πίσω τη θύρα. |
| no monitor session all | Αφαίρεσε κάθε session ταυτόχρονα (καθαρισμός). |
Τα switch περιορίζουν τον αριθμό ενεργών sessions SPAN destination/source (συχνά μόνο δύο), οπότε ένα παλιό ξεχασμένο session μπορεί να σε εμποδίσει να φτιάξεις αυτό που χρειάζεσαι τώρα — show monitor session all πρώτα. Και ένα SPAN destination είναι έκθεση ασφάλειας: όποιος έχει πρόσβαση σε εκείνη τη θύρα βλέπει mirrored κίνηση. Αντιμετώπισέ το σαν tap — φυσικά ασφαλισμένο, αφαιρεμένο μετά το engagement, και ποτέ συνδεδεμένο σε αφύλακτη πρίζα. Τα «προσωρινά» mirrors έχουν την τάση να γίνονται μόνιμες εκπλήξεις στο audit κάποιου άλλου.
06
Το RouterOS κάνει mirror κι αυτό, μέσω μιας ρύθμισης switch/bridge ή μιας ροής sniffer· το νοητικό μοντέλο ταιριάζει.
| MikroTik / RouterOS | Cisco IOS |
|---|---|
| /interface ethernet switch (mirror-source/target) | Τοπικό SPAN (monitor session) |
| /tool sniffer streaming σε απομακρυσμένο host | ERSPAN (GRE σε έναν collector) |
| Mirror σε θύρα για Wireshark | Interface destination SPAN |
| Όρια mirror του chip switch | Όρια session SPAN + υπερσυνδρομή |
Συμπερασματα
remote-span στα trunks), ERSPAN (πάνω από δρομολογημένο δίκτυο μέσω GRE-over-IP).show monitor session all, ασφάλισε το destination σαν tap, και αφαίρεσε sessions όταν τελειώσεις.Μια θύρα SPAN που ρίχνει σιωπηλά πακέτα υπό φόρτο είναι χειρότερη από καθόλου ορατότητα, γιατί φαίνεται ότι δουλεύει. Διαστασιολογώ σωστά sessions mirror για ανίχνευση εισβολής και troubleshooting, ώστε αυτό που καταγράφεις να είναι πραγματικά αυτό που συνέβη.
Κλεισε μια Discovery Call →