SPAN/RSPAN/ERSPAN

在构建交换园区网的时候,我们经常用一些抓包工具对数据包进行分析,进行入侵检测.本文以Catalyst 3550/3750/4000(native IOS)/6500(native IOS)为例,从理论到配置,讲述如果实现这一功能.如有不足或错误之处,欢迎读者指正与交流.
　　
　　交换端口分析:
　　
　　交换式端口分析器(SPAN)分析经过某个本地端口或VLAN的流量信息.SPAN发送一份流量的拷贝给连接安全设备的交换机端口.注意,一旦启用了SPAN,VSPAN或RSPAN,目标端口的STP*作就被禁止,可能会造成环路.另外,配置RSPAN之前要先定义一个RSPAN专用的VLAN.如果在VTP服务器上配置了RSPAN VLAN,那么VTP服务器自动将正确的信息传播给其他中间交换机;否则要确保每台中间交换机都配置的有RSPAN VLAN.
　　
　　SPAN的3种模式:
　　
　　1.SPAN:源端口和目标端口都处于同一交换机,并且源端口可以是一个或多个交换机端口.
　　
　　2.基于VLAN的交换式端口分析器(VSPAN):SPAN的一种变体,源端口不是物理端口,而是VLAN.
　　
　　3.远程交换式端口分析器(RSPAN):源端口和目标端口处于不同的交换机.

       4. ERSPAN ---- Enhanced Remoted SPAN ---- 增强SPAN

        与SPAN类似，支持位于不同交换机上的源端口、源VLAN和目标端口，甚至于跨越第3层边界，提供了远程监控跨越交换或路由网络的多台 交换机的方法。

每个ERSPAN通过GRE隧道承载SPAN流量。