SPAN Avanzado

RSPAN es una manera de monitorizar un puerto de un switch y de destino un puerto de otro switch, da mucha potencia a la hora de hacer troubleshooting puesto que con suerte no te tienes que mover del sitio para saber lo que pasa por un determinado puerto o vlan de un switch.

Veamos una configuración de RSPAN usando 3 switches, SWA, SWB Y SWC y hagamos tres supuestos

• -Monitorizar de SWA el trafico recivido por las vlanes de la 66 a la 68
• -Monitorizar de SCB todo el trafico recivido en la vlan 9
• -Monitorizar de SWB todo el trafico enviado y recibido en la vlan 11

Todo ha de ir a la vlan 99 del switch C que la sacaremos por la interfaz fa0/24 del mismo switch

En SWA

SWA(config)#vlan 199
SWA(config-vlan)#remote span
SWA(config-vlan)#exit
SWA(config)#monitor session 1 source vlan 66 - 68 rx
SWA(config)#monitor session 1 destination remote vlan 199

En SWB

SWB(config)#VLAN 199
SWB(config-vlan)#remote span
SWB(config-vlan)#exit
SWB(config)#monitor session 2 source vlan 9 rx
SWB(config)#monitor session 2 source vlan 11 rx
SWB(config)#monitor sessino 2 destination remote vlan 199

En SWC redirigimos todo el trafico a un puerto

SWC(config)#vlan 99
SWC(config-vlan)#remote span
SWC(config-vlan)# exit
SWC(config)#monitor session 4 source remote vlan 199
SWC(config)#monitor session 4 destination interface fa0/24
SWC(config)#exit

Para verificar el resultado usaremos el mismo comando que en un SPAN normal "show monitor session".

SPAN, analizando puertos.

Los switches cisco soportan un método para redirigir el tráfico de un puerto o de una vlan a otro puerto en concreto. Éste método se llama SPAN (Switch Port Analyzer), podemos utilizar ésta técnica desde para grabar una llamada ip, para pasar los datos por un sensor ids o ips. El puerto de destino del puerto en espejo puede estar en el mismo switch o en otro switch.
Veamos un ejemplo de mirror de un puerto a otro puerto:

Router(config)#monitor session 1 source interface fa 0/2
Router(config)#monitor session 1 destination interface fa 0/3

Podemos especificar si es el tráfico entrante o saliente con rx o tx después de la interfaz.
Ejemplo de monitorización de una vlan

Router(config)#monitor session 1 source vlan 1
Router(config)#monitor session 1 destination interface fa 0/3

También podemos hacerlo sobre un puerto trunk y monitorizar solo las vlanes que creamos oportunas
si fa 2 fuera un puerto trunk

Router(config)#monitor session 1 source interface fa 0/2
Router(config)#monitor session 1 destination interface fa 0/3
Router(config)#monitor session 1 filter vlan 1-3, 229

Para verificar el resultado se puede hacer con show monitor session numero-sesion, el destino siempre tiene que ser puerto físico, aunque el origen pueda ser un puerto un portchannel o una vlan (o varias).

Router#show monitor session 1
Session 1
---------
Source Ports:
    RX Only:       None
    TX Only:       Fa0/0
    Both:          None
Source VLANs:
    RX Only:       None
    TX Only:       None
    Both:          None
Destination Ports: Fa0/2
Filter VLANs:      None