Switched Port Analyzer (SPAN)

NOTE

Switched Port Analyzer (SPAN)

Switch(config)#monitor session 1 source vlan 20
Switch(config)#monitor session 1 destination int fa0/24

Switch(config)#monitor session 2 source int fa0/1
Switch(config)#monitor session 2 destination int fa0/24 ingress vlan 10
Switch(config)#monitor session 2 destination int fa0/24 ingress untagged vlan 10

キャプチャしたいデータが入ってくるポート(source)と出ていくポート(destnation)が同じSWにある場合に使う
vlan も untagged vlan もどちらでも同じ
ingress vlan / ingress untagged vlan
宛先に指定したポートがトラフィックを外部から受信した場合にそのトラフィックを指定したVLANに転送する（このVLANはNative VLAN）
ingress dot1q vlan
宛先に指定したポートがトラフィックを外部から受信した場合にそのトラフィックを指定したVLANに転送する（このVLANは非Native VLAN）

Remote Switched Port Analyzer (RSPAN)

[PC]-----[SW1]-----[SW2]-----[Capture Client]
                     |
                 [Server]

転送用のVLANを橋渡しに使う

物理SW間の転送用VLANを作成する
SW1で、source を該当IF、destination を転送用VLANとしたSPANセッションを作る
SW2で、sourceを転送用VLAN、destinationを該当IFとしたSPANセッションを作る

SW1(config)#vlan 500
SW1(config-vlan)#remote-span
SW1(config-vlan)#exit
SW1(config)#
SW1(config)#monitor session 1 source int fa1/0/1
SW1(config)#monitor session 1 dest remote vlan 500

SW2(config)#vlan 500
SW2(config-vlan)#remote-span
SW2(config-vlan)#exit
SW2(config)#
SW2(config)#monitor session 1 source remote vlan 500
SW2(config)#monitor session 1 dest int fa1/0/24 ingress dot1q vlan 100

Encapsulated Remote Switched Port Analyzer (ERSPAN)

送信端末---gi0/0--[SOURCE機器]-----(IP NW)-----[DEST機器]--gi0/1---キャプチャ機器
                      |      <----GRE区間----->
                   受信端末

GREカプセル化によってルータ越しでもコピーできる
Source側のIF はキャプチャデータを受信するIF
Destination側のIF はキャプチャ機器が接続されるIF
erspan-id は一致
(1) は Destination側のLoopback、(2) は Source側のLoopback
おそらく、Loopbackじゃない物理でもよさそう(Loopbackなのは冗長性のため？)
(3) は (1) と同じになる(必須)

!!! SOURCE機器
monitor session 1 type erspan-source
source interface GigabitEthernet0/0

destination
 erspan-id 10
 ip address 10.10.10.1         (1)
 origin ip address 172.16.1.1  (2)

!!! DEST機器
monitor session 2 type erspan-destination
destination interface GigabitEthernet0/1

source
 erspan-id 10
 ip address 10.10.0.1          (3)