SPAN、RSPAN、ERSPANは、ネットワークにおいてトラフィックをキャプチャ・監視し、分析を行うために使用される技術です。以下に、それぞれの概要を説明します。
SPAN (スイッチド ポート アナライザー)
目的: スイッチ上の特定のポートまたは VLAN からのトラフィックを別のポートにミラーリングして監視するために使用されます。
ユースケース：単一スイッチでのローカルトラフィック分析に最適です。トラフィックは指定ポートにミラーリングされ、ネットワークアナライザーでキャプチャできます。
RSPAN（リモートSPAN）
目的: ネットワーク内の複数のスイッチにわたって SPAN 機能を拡張します。
ユースケース：トランクリンクを介して、あるスイッチから別のスイッチへのトラフィックを監視できます。監視デバイスが別のスイッチに配置されている場合に便利です。
ERSPAN（カプセル化リモートSPAN）
目的: RSPAN と GRE (Generic Routing Encapsulation) を組み合わせて、ミラーリングされたトラフィックをカプセル化します。
ユースケース：ルーティングされたネットワーク全体のトラフィックを監視できます。これは、異なるセグメントにまたがるトラフィックをキャプチャする必要がある複雑なネットワークアーキテクチャで役立ちます。
スイッチポートアナライザ（SPAN）は、効率的で高性能なトラフィック監視システムです。送信元ポートまたはVLANからのトラフィックを宛先ポートにリダイレクトまたはミラーリングします。これはセッション監視と呼ばれることもあります。SPANは、接続の問題のトラブルシューティング、ネットワーク使用率とパフォーマンスの計算など、様々な用途に使用されます。シスコ製品では3種類のSPANがサポートされています…
a. SPAN またはローカル SPAN。
b. リモート SPAN (RSPAN)。
c. カプセル化されたリモート SPAN (ERSPAN)。
知ること："SPAN、RSPAN、ERSPAN機能を備えたMylinking™ネットワークパケットブローカー"
SPAN / トラフィック ミラーリング / ポート ミラーリングはさまざまな目的で使用されますが、以下にその一部を示します。
- IDS/IPS をプロミスキャス モードで実装します。
- VOIP 通話録音ソリューション。
- セキュリティ コンプライアンス上の理由により、トラフィックを監視および分析します。
- 接続の問題のトラブルシューティング、トラフィックの監視。
実行中の SPAN タイプに関係なく、SPAN 送信元は、ルーティングされたポート、物理スイッチ ポート、アクセス ポート、トランク、VLAN (スイッチのすべてのアクティブ ポートが監視されます)、EtherChannel (ポートまたはポート チャネル インターフェイス全体) など、任意のタイプのポートにすることができます。SPAN 宛先に設定されたポートは、SPAN 送信元 VLAN の一部にすることはできないことに注意してください。
SPAN セッションは、入力トラフィック (入力 SPAN)、出力トラフィック (出力 SPAN)、または両方向に流れるトラフィックの監視をサポートします。
- 入力 SPAN (RX) は、送信元ポートと VLAN で受信したトラフィックを宛先ポートにコピーします。SPAN は、トラフィックを変更する前（たとえば、VACL または ACL フィルタ、QoS、入力または出力ポリシングなど）にトラフィックをコピーします。
- 出力SPAN（TX）は、送信元ポートおよびVLANから送信されたトラフィックを宛先ポートにコピーします。スイッチがトラフィックをSPAN宛先ポートに転送する前に、VACLまたはACLフィルタ、QoS、または入力または出力ポリシングによる関連するフィルタリングまたは変更がすべて実行されます。
- both キーワードを使用すると、SPAN は送信元ポートと VLAN によって受信および送信されたネットワーク トラフィックを宛先ポートにコピーします。
- SPAN/RSPANは通常、CDP、STP BPDU、VTP、DTP、およびPAgPフレームを無視します。ただし、encapsulation replicationコマンドが設定されている場合は、これらのトラフィックタイプも転送できます。
SPANまたはローカルSPAN
SPAN は、スイッチ上の 1 つ以上のインターフェイスからのトラフィックを同じスイッチ上の 1 つ以上のインターフェイスにミラーリングします。そのため、SPAN は主に LOCAL SPAN と呼ばれます。
ローカル SPAN に関するガイドラインまたは制限:
- レイヤ 2 スイッチ ポートとレイヤ 3 ポートはどちらも送信元ポートまたは宛先ポートとして設定できます。
- ソースは 1 つ以上のポートまたは VLAN のいずれかになりますが、これらを混在させることはできません。
- トランク ポートは、トランク以外の送信元ポートと混在した有効な送信元ポートです。
- スイッチには最大 64 個の SPAN 宛先ポートを設定できます。
- 宛先ポートを設定すると、元の設定は上書きされます。SPAN設定が削除されると、そのポートの元の設定が復元されます。
- 宛先ポートを設定すると、そのポートがEtherChannelバンドルの一部である場合は、そのバンドルから削除されます。ルーテッドポートの場合は、SPAN宛先ポートの設定がルーテッドポートの設定をオーバーライドします。
- 宛先ポートは、ポート セキュリティ、802.1x 認証、またはプライベート VLAN をサポートしていません。
- 1 つのポートは、1 つの SPAN セッションの宛先ポートとしてのみ機能できます。
- ポートが SPAN セッションの送信元ポートまたは送信元 VLAN の一部である場合は、宛先ポートとして設定できません。
- ポート チャネル インターフェイス (EtherChannel) は、SPAN の送信元ポートとして設定できますが、宛先ポートとして設定することはできません。
- SPAN ソースの場合、トラフィックの方向はデフォルトで「両方」になります。
- 宛先ポートはスパニングツリーインスタンスに参加しません。DTP、CDPなどはサポートされません。ローカルSPANは監視対象トラフィックにBPDUを含むため、宛先ポートで確認されたBPDUは送信元ポートからコピーされます。したがって、ネットワークループを引き起こす可能性があるため、このタイプのSPANにスイッチを接続しないでください。AIツールは作業効率を向上させ、検出不可能なAIこのサービスにより、AI ツールの品質が向上します。
- VLAN が SPAN 送信元（通常は VSPAN と呼ばれます）として設定され、入力と出力の両方のオプションが設定されている場合、パケットが同じ VLAN 内でスイッチングされる場合にのみ、送信元ポートから重複パケットを転送します。パケットの 1 つのコピーは入力ポートの入力トラフィックから取得され、もう 1 つのコピーは出力ポートの出力トラフィックから取得されます。
- VSPAN は、VLAN 内のレイヤ 2 ポートを出入りするトラフィックのみを監視します。
リモートSPAN（RSPAN）
リモートSPAN（RSPAN）はSPANに似ていますが、異なるスイッチ上の送信元ポート、送信元VLAN、および宛先ポートをサポートします。これにより、複数のスイッチに分散された送信元ポートからのトラフィックをリモート監視し、宛先ネットワークキャプチャデバイスを集中管理できます。各RSPANセッションは、参加しているすべてのスイッチでユーザーが指定した専用RSPAN VLANを介してSPANトラフィックを伝送します。このVLANは他のスイッチにトランク接続され、RSPANセッショントラフィックを複数のスイッチ間で転送し、宛先キャプチャステーションに配信できます。RSPANは、RSPAN送信元セッション、RSPAN VLAN、およびRSPAN宛先セッションで構成されます。
RSPAN のガイドラインまたは制限:
- 宛先ポートに向かってトランク リンク経由で中間スイッチを通過する SPAN 宛先に対して、特定の VLAN を設定する必要があります。
- 同じソース タイプを作成できます (少なくとも 1 つのポートまたは少なくとも 1 つの VLAN)。ただし、混在させることはできません。
- セッションの宛先はスイッチ内の単一ポートではなく RSPAN VLAN であるため、RSPAN VLAN 内のすべてのポートがミラーリングされたトラフィックを受信します。
- 参加しているすべてのネットワークデバイスがRSPAN VLANの設定をサポートしている限り、任意のVLANをRSPAN VLANとして設定し、各RSPANセッションに同じRSPAN VLANを使用します。
- VTP は、1 ～ 1024 の番号が付けられた VLAN の設定を RSPAN VLAN として伝播できますが、すべての送信元、中間、および宛先ネットワーク デバイスで、1024 を超える番号の VLAN を RSPAN VLAN として手動で設定する必要があります。
- RSPAN VLAN では MAC アドレス学習が無効になっています。
カプセル化されたリモート SPAN (ERSPAN)
カプセル化リモート SPAN (ERSPAN) は、キャプチャされたすべてのトラフィックに汎用ルーティング カプセル化 (GRE) をもたらし、それをレイヤー 3 ドメイン全体に拡張できるようにします。
ERSPANはシスコ独自のこの機能は現在、Catalyst 6500、7600、Nexus、およびASR 1000プラットフォームでのみ利用可能です。ASR 1000は、ファストイーサネット、ギガビットイーサネット、およびポートチャネルインターフェイスでのみERSPAN送信元（モニタリング）をサポートします。
ERSPAN のガイドラインまたは制限:
- ERSPAN送信元セッションは、送信元ポートからERSPAN GREカプセル化トラフィックをコピーしません。各ERSPAN送信元セッションは、ポートまたはVLANのいずれかを送信元として使用できますが、両方は使用できません。
- 設定されているMTUサイズに関係なく、ERSPANは最大9,202バイトのレイヤ3パケットを作成します。ERSPANトラフィックは、ネットワーク内の9,202バイト未満のMTUサイズを強制するインターフェースによってドロップされる可能性があります。
- ERSPANはパケットのフラグメンテーションをサポートしていません。ERSPANパケットのIPヘッダーには「フラグメント禁止」ビットが設定されています。ERSPAN宛先セッションは、フラグメント化されたERSPANパケットを再構成できません。
- ERSPAN ID は、同じ宛先 IP アドレスに到着する ERSPAN トラフィックを、さまざまな異なる ERSPAN 送信元セッションから区別します。設定された ERSPAN ID は、送信元デバイスと宛先デバイスで一致する必要があります。
- 送信元ポートまたは送信元VLANの場合、ERSPANは入力トラフィック、出力トラフィック、または入力と出力の両方のトラフィックを監視できます。デフォルトでは、ERSPANはマルチキャストフレームとブリッジプロトコルデータユニット（BPDU）フレームを含むすべてのトラフィックを監視します。
- ERSPAN 送信元セッションの送信元ポートとしてサポートされるトンネル インターフェイスは、GRE、IPinIP、SVTI、IPv6、IPv6 over IP トンネル、マルチポイント GRE (mGRE)、およびセキュア仮想トンネル インターフェイス (SVTI) です。
- フィルタ VLAN オプションは、WAN インターフェイス上の ERSPAN 監視セッションでは機能しません。
- Cisco ASR 1000 シリーズ ルータの ERSPAN はレイヤ 3 インターフェイスのみをサポートします。レイヤ 2 インターフェイスとして設定されている場合は、ERSPAN ではイーサネット インターフェイスはサポートされません。
- ERSPAN設定CLIを使用してセッションを設定した場合、セッションIDとセッションタイプは変更できません。変更するには、まず設定コマンドのno形式を使用してセッションを削除し、その後セッションを再設定する必要があります。
- Cisco IOS XE リリース 3.4S:- IPsec で保護されていないトンネル パケットの監視は、ERSPAN 送信元セッションに対してのみ IPv6 および IPv6 over IP トンネル インターフェイスでサポートされ、ERSPAN 宛先セッションに対してはサポートされません。
- Cisco IOS XE リリース 3.5S では、送信元セッションの送信元ポートとして、シリアル（T1/E1、T3/E3、DS0）、Packet over SONET（POS）（OC3、OC12）、およびマルチリンク PPP（multilink、pos、および serial キーワードが source interface コマンドに追加されました）のタイプの WAN インターフェイスのサポートが追加されました。
ERSPAN をローカル SPAN として使用する:
ERSPAN を使用して、同じデバイス内の 1 つ以上のポートまたは VLAN を通過するトラフィックを監視するには、同じデバイス内に ERSPAN 送信元セッションと ERSPAN 宛先セッションを作成する必要があります。データ フローは、ローカル SPAN の場合と同様に、ルータ内で発生します。
ERSPAN をローカル SPAN として使用する場合、次の要素が適用されます。
- 両方のセッションは同じ ERSPAN ID を持ちます。
- 両方のセッションは同じIPアドレスを持ちます。このIPアドレスはルータ自身のIPアドレス、つまりループバックIPアドレスまたは任意のポートに設定されているIPアドレスです。
| (config)# monitor session 10 type erspan-source |
| (config-mon-erspan-src)# 送信元インターフェイス Gig0/0/0 |
| (config-mon-erspan-src)# 宛先 |
| (config-mon-erspan-src-dst)# IPアドレス 10.10.10.1 |
| (config-mon-erspan-src-dst)# 送信元IPアドレス 10.10.10.1 |
| (config-mon-erspan-src-dst)# erspan-id 100 |
投稿日時: 2024年8月28日
