دنياي شبكه

قابليت SPAN در سوئيچ هاي سيسكو چيست؟ بهترين روش جهت دريافت ترافيك به صورت واقعي و بدون هيچ گونه كم و كاستي از تجهيزات شبكه مخصوصا سوئيچ شبكه، استفاده از تكنيكي به نام port mirroring است. همانطور كه گفتيم تكنيك port mirroring در سوئيچ هاي شبكه مورد استفاده قرار ميگيرد. كاربران ميتوانند با استفاده از اين تكنيك يك كپي از تمامي داده و اطلاعاتي كه در سوئيچ منتقل ميشود را به صورت تمام و كمال دريافت كنند. حتي مي توانند كل ترافيك شبكه LAN را كه به سمت يك پورت خاص از سوئيچ هدايت مي شود را دريافت كنند، لازم به ذكر است كه در طرف ديگر قضيه يك نرم افزار آناليزور ترافيك وجود دارد.

Port Monitoring و يا Port Mirroring، براي آناليز و بررسي ترافيك شبكه توسط ابزارهاي آناليزور شبكه استفاده مي شود. ابزارهاي آناليزور شبكه مي تواند تجهيزات كاوشگر سيسكو (Cisco Switchprobe) يا ابزارها يا نرم افزارهاي كاوشگر راه دور (Remote Monitoring Probe) باشد. از ساده ترين نرم افزارهاي آناليز شبكه مي توان به Wireshark و يا Microsoft Network Monitor اشاره كنيم. همچنين به ابزارهاي كاوشگر شبكه، Sniffer گفته مي شود. ما در اين مقاله قصد داريم در رابطه با قابليت SPAN در سوئيچ هاي سيسكو صحبت كنيم، پس در ادامه همراه ما باشيد.

كاربرد تكنيك port mirroring چيست:

شايد براي شما سوال پيش بيايد كه اين تكنيك در كجا استفاده ميشود؟ بايد بگوييم كه تكنيك port mirroring در تجهيزات مانيتورينگ ترافيك شبكه از جمله سيستم هاي تشخيص نفوذ يا ID، سيستم هاي جلوگيري از نفوذ يا IPS، سيستم هاي Passive Probe، سيستم هاي مانيتورينگ واقعي كاربران يا Real User Monitoring كه به RUM معروف هستند مورد استفاده قرار ميگيرد. همچنين Port Mirroring در تجهيزاتي كه براي بررسي عملكرد و كارايي نرم افزارهاي كاربردي شبكه شما است نيز كاربرد دارد.

دقت داشته باشيد كه Port Mirroring با NetFlow تفاوت دارد ممكن است شما اين دو تكنيك را باهم اشتباه بگيريد. در NetFlow شما در حقيقت meta data را از شبكه موجود دريافت كرده و اطلاعات اصلي را هيچوقت دريافت نخواهيد كرد، به اين معنا كه اصل داده اطلاعاتي حذف ميشود و براي نرم افزار مانيتورينگ ترافيك فقط Meta Data كه شامل اطلاعات كلي است ارسال مي شود، اما در Port Mirroring تمامي بسته هاي اطلاعاتي منتقل شده در تجهيزات به صورت كلي براي پورت مورد نظر ارسال مي شوند و به همين علت محتواي اطلاعات نيز در چنين حالتي قابل تجزيه و تحليل است.

در سوئيچ هاي سيسكو Switched Port Analyzer ،SPAN يا Remote Switched Port Analyzer RSPAN به تكنيك Port Mirroring معروف اند. در برند هاي توليد كننده تجهيزات شبكه ديگر مانند 3COM با اسامي مختلفي مثل Roving Analysis Port يا RAP  معروف است كه با توجه به اينكه اولويت ما در سازمان ها استفاده از سويچ هاي شركت سيسكو است در اين مقاله در رابطه با قابليت SPAN در سوئيچ هاي سيسكو با شما صحبت خواهيم كرد.

همانطور كه در بخش بالا اشاره كرديم سويچ هاي شركت سيسكو قابليتي به نام قابليت SPAN دارند كه به شما اين امكان را مي دهد كه ترافيك يك پورت فيزيكي خاص يا حتي يك VLAN خاص را Mirror كنيد. اين قابليت به شدت براي اطمينان از عملكرد شبكه پيشنهاد مي شود، به خصوص در فرآيند هاي مانيتورينگ امنيتي استفاده از SPAN يكي از پيشنهاد هاي اصلي يك كارشناس امنيت به كاربران جهت حفظ امنيت شبكه شما است.

SPAN چيست:

هنگامي كه از SPAN صحبت مي شود به اين معناست كه آدرس مبدا و مقصدي را كه قرار است ترافيك از آن گرفته و به آن ارسال شود بر روي همان سوئيچي قرار دارد كه در حال حاضر به آن متصل شده است. اگر قرار است ترافيك از سوئيچ ديگري دريافت شود  و در حقيقت مقصد ما يك سوئيچ remote باشد، از تكنيك ديگري به نام remote span استفاده ميشود.

براي اينكه rspan به درستي كار كند يك vlan مخصوص بايد به rspan اختصاص پيدا كند و ترافيك مانيتور شده را بين سوئيچ مبدا و مقصد عبور بدهيم. در نتيجه اگر قرار بر اين باشد كه ترافيك شبكه از چندين زير ساخت شبكه گوناگون عبور كند بايد از تكنيك ديگر به نام ERSPAN استفاده شود.

اگر بخواهيم SPAN را تعريف كنيم، متشكل از حداقل يك پورت فيزيكي يا يك VLAN روي همان سويچي است كه مي خواهيم آن را مانيتور كنيم. كه البته پورت مقصد نيز بايستي بر روي همان سويچ قرار گرفته باشد. وقتي پيكربندي شد ترافيك SPAN Source به سمت SPAN Destination Port ارسال مي شود.

انواع SPAN:

• SPAN يا SPAN محلي
• Remote SPAN يا RSPAN
• Remote SPAN اختصاري يا ERSPAN

صرف نظر از نوع SPAN، منبع SPAN مي‌تواند در هر نوع پورتي شامل پورت مسيريابي، پورت سوئيچ فيزيكي، پورت دسترسي، ترانك، VLAN (همه پورت‌هاي فعال سوئيچ )، كانال اتر (يك پورت يا كل پورت)، رابط‌هاي كانال و غيره باشد. با اين‌حال توجه داشته باشيد كه يك پورت پيكربندي شده براي مقصد SPAN نمي‌تواند بخشي از VLAN منبع SPAN آن باشد. با استفاده از ويژگي SPAN مي‌توانيد ترافيك را از يك پورت به پورت ديگري كپي كنيد.

1. SPAN: اجازه دريافت اطلاعات از سوئيچ محلي (Local) را در اختيار ما قرار مي دهد. براي مثال ترافيك پورت هاي 1 و 2 سوئيچ را به سمت پورت 6 همان سوئيچ كه نرم افزار Wireshark به آن متصل مي باشد ارسال مي گردد. در SPAN نمي توان اطلاعات سوئيچ ديگري را مورد بررسي قرار داد و فقط دسترسي به سوئيچ محلي امكان پذير است.
2. RSPAN: كه به عنوان Remote SPAN هم شناخته مي شود اجازه نظارت بر سوئيچ ديگر را در اختيار كاربران قرار مي دهد. در RSPAN مي توان با استفاده از پورت Trunk بين دو سوئيچ، ترافيك پورت هاي خاصي از يك سوئيچ را در سوئيچ ديگري مورد بررسي قرار داد.
3. ERSPAN: در اين حالت مي توان اطلاعات شبكه Remote را دريافت كنيد. در ERSPAN مي توان ترافيك پورت سوئيچ هايي كه در شبكه هاي ديگر قرار دارند و به واسطه روتر ها مسير يابي مي شوند را مورد بررسي قرار داد. بايد دقت داشت كه استفاده از اين قابليت به شدت كيفيت اتصال WAN را كاهش خواهد داد چرا كه تمامي ترافيك هاي مورد نظر به واسطه اتصال WAN انتقال خواهد يافت.

دستورالعمل هاي پيكربندي SPAN:

• در اين مرحله پياده سازي SPAN در يك سوئيچ به صورت محلي (Local) است. پياده سازي SPAN به صورت تصوير زير است:

• در تصوير بالا دو PC1 و PC2 با يكديگر در ارتباط هستند و يك Ping بين آن ها در حال اجرا است. در اينجا مي خواهيم ترافيك پورت هاي g 0/1 و g 0/2 را كه به كامپيوتر ها متصل هستند به كمك پورت g 0/0 كه به نرم افزار Wireshark متصل است را تحليل كنيم. قبل از انجام هر كاري در سمت پورت g 0/0 نرم افزار Wireshark هيچ بسته ICMP را نمايش نخواهد داد چرا كه تنظيمات SPAN انجام نگرفته است. براي تنظيمات مورد نظر دستورات زير را در سوئيچ اجرا كنيد:
• در دستور اول SPAN را در پورت هاي مبدا فعال كنيد و در دستور بعدي پورت مقصد كه قصد داريم ترافيك ها را به سمت آن ارسال و توسط Wireshark مورد بررسي قرار دهيم، مشخص كنيد.

استفاده از ERSPAN به عنوان محلي SPAN:

براي استفاده از ERSPAN براي مانيتور كردن ترافيك از طريق يك يا چند پورت يا VLAN در همان دستگاه، بايد يك منبع ERSPAN و يك مقصد ERSPAN را در همان دستگاه ايجاد كنيم، كه در اين حالت جريان داده در داخل روتر انجام مي‌شود، كه شبيه به SPAN محلي است.

فاكتورهاي زير هنگام استفاده از ERSPAN به عنوان يك SPAN محلي قابل اعمال هستند:

• چه منبع و چه مقصد هر دو داراي شناسه ERSPAN يكسان هستند.
• هر دو داراي آدرس IP يكساني هستند. اين آدرس IP آدرس IP خود روترها است. يعني آدرس IP Loopback يا آدرس IP پيكربندي شده روي هر پورتي.

منبع: 

قابليت SPAN در سوئيچ هاي سيسكو