ciscomonitorsessionWord下载.docx

ciscomonitorsessionWord下载.docx

《ciscomonitorsessionWord下载.docx》由会员分享，可在线阅读，更多相关《ciscomonitorsessionWord下载.docx（8页珍藏版）》请在冰豆网上搜索。

----LocalSwitchedPortAnalyzer（SPAN）andRemoteSPAN（RSPAN），实现方法上稍有不同。

　　利用SPAN技术我们可以把交换机上某些想要被监控端口（以下简称受控端口）的数据流COPY或MIRROR一份，发送给连接在监控端口上的流量分析仪，比如CISCO的IDS或是装了SNIFFER工具的PC.受控端口和监控端口可以在同一台交换机上（本地SPAN），也可以在不同的交换机上（远程SPAN）。

　　二、名词解释

　　SPANSession——SPAN会话

　　SPAN会话是指一组受控端口与一个监控端口之间的数据流。

可以同时对多个端口的进入流量或是一个端口的外出流量进行监控，也可以对VLAN内所有端口的进入流量进行监控，但不能同时对多个端口的外出流量及VLAN的外出流量进行监控，可以对处于关闭状态的端口设置SPAN，但此时的SPAN会话是非活动，但只要相关的接口被打开，SPAN就会变为活动的。

　　监控端口最好是>

=受控端口的带宽，否则可能会出现丢包的情况。

　　SPANTraffic——SPAN的流量

　　使用本地SPAN可以监控所有的网络流量，包括multicast、bridgeprotocoldataunit（BPDU），和CDP、VTP、DTP、STP、PagP、LACPpackets.RSPAN不能监控二层协议。

　　TrafficTypes——流量类型

　　被监控的流量类型分为三种，Receive（Rx）SPAN受控端口的接收流量，Transmit（Tx）SPAN受控端口的发送流量，Both一个受控端口的接收和发送流量。

　　SourcePort——SPAN会话的源端口（也就是monitoredport-即受控端口）

　　受控端口可以是实际的物理端口、VLAN、以太通道端口组EtherChannel，物理端口可以在不同的VLAN中，受控端口如果是VLAN则包括此VLAN中的所以物理端口，受控端口如果是以太通道则包括组成此以太通道组的所有物理端口，如果受控端口是一个TRUNK干道端口，则此TRUNK端口上承载的所有VLAN流量都会受到监控，也可以使用filtervlan参数进行调整，只对filtervlan中指定的VLAN数据流量做监控。

　　DestinationPort——SPAN会话的目的端口（也就是monitoringport-即监控端口）

　　监控端口只能是单独的一个实际物理端口，一个监控端口同时只能在一个SPAN会话中使用，监控端口不参与其它的二层协议如：

　　Layer2protocols

　　CiscoDiscoveryProtocol（CDP），

　　VLANTrunkProtocol（VTP），

　　DynamicTrunkingProtocol（DTP），

　　SpanningTreeProtocol（STP），

　　PortAggregationProtocol（PagP），

　　LinkAggregationControlProtocol（LACP）。

　　缺省情况下监控端口不会转发除SPANSession以外的任何其它的数据流，也可以通过设置ingress参数，打开监控端口的二层转发功能，比如当连接CISCOIDS的时会有这种需求，此时IDS不仅要接收SPANSession的数据流，IDS本身在网络中还会与其它设备有通讯流量，所以要打开监控端口的二层转发功能.

ReflectorPort——反射端口

　　反射端口只在RSPAN中使用，与RSPAN中的受控端口在同一台交换机上，是用来将本地的受控端口流量转发到RSPAN中在另一台交换机上的远程监控端口的方法，反射端口也只能是一个实际的物理端口，它不属于任何VLAN（ItisinvisibletoallVLANs.）。

　　RSPAN中还要使用一个专用的VLAN来转发流量，反射端口会使用这个专用VLAN将数据流通过TRUNK端口发送给其它的交换机，远程交换机再通过此专用VLAN将数据流发送到监控端口上的分析仪。

　　关于RSPANVLAN的创建，所有参与RSPAN的交换机应在同一个VTP域中，不能用VLAN1，也不能用1002-1005，这是保留的（reservedforTokenRingandFDDIVLANs），如果是2-1001的标准VLAN，则只要在VTPServer上创建即可，其它的交换机会自动学到，如果是1006-4094的扩展VLAN，则需要在所有交换机上创建此专用VLAN.

　　反射端口最好是>

　　VLAN-BasedSPAN——基于VLAN的SPAN

　　基于VLAN的SPAN只能监控VLAN中所有活动端口接收的流量（onlyreceived（Rx）traffic），如果监控端口属于此VLAN，则此端口不在监控范围内，VSPAN只监控进入交换机的流量，不对VLAN接口上的路由数据做监控。

　　（VSPANonlymonitorstrafficthatenterstheswitch，nottrafficthatisroutedbetweenVLANs.Forexample，ifaVLANisbeingRx-monitoredandthemultilayerswitchroutestrafficfromanotherVLANtothemonitoredVLAN，thattrafficisnotmonitoredandisnotreceivedontheSPANdestinationport.）

　　三、SPAN和RSPAN与其它特性的互操作性

　　Routing——SPAN不监控VLAN间的路由数据；

（不好理解）

　　Routing—IngressSPANdoesnotmonitorroutedtraffic.VSPANonlymonitorstrafficthatenterstheswitch，nottrafficthatisroutedbetweenVLANs.Forexample，ifaVLANisbeingRx-monitoredandthemultilayerswitchroutestrafficfromanotherVLANtothemonitoredVLAN，thattrafficisnotmonitoredandnotreceivedontheSPANdestinationport.

　　STP——监控端口和反射端口不会参与STP，但SPAN对受控端口的STP没有影响；

　　CDP——监控端口不参与CDP；

　　VTP——RSPANVLAN可以被修剪pruning；

　　VLANandtrunking——可以修改受控端口、监控端口和反射端口的VLAN和TRUNK设置，受控端口的改变会立即生效，而监控端口和反射端口则要在从SPAN中去除后才会生效；

　　EtherChannel——整个以太通道组可以做为受控端口使用，如果一个属于某个以太通道组的物理端口被配成了受控端口、监控端口或反射端口，则此端口会自动从以太通道组去除，当SPAN删除后，它又会自动加入原以太通道组；

　　QoS——由于受QoS的策略影响，监控端口上收到的数据流会与受控端口实际的数据流不同，比如DSCP值被修改等；

　　Multicast——SPAN可以监控组播的数据流；

　　Portsecurity——安全端口不能做为监控端口使用；

　　802.1x——受控端口、监控端口和反射端口上可以设置802.1x，但有些限制。

　　四、SPAN和RSPAN的配置举例

　　SPAN的限制和缺省设置

　　Catalyst3550交换机上最多只能设置两个SPANSession，缺省SPAN没有使用，如果做了设置，缺省情况下，第一个被设为受控端口的接口进出流量都会受到监控，以后再追加的受控端口只会对接收的流量进行监控，监控端口的默认封装类型为Native，也就是没有打VLAN的标记.

1、ConfiguringSPAN——配置本地SPANSwitch（config）#nomonitorsession1//先清除可能已经存在SPAN设置

Switch（config）#monitorsession1sourceinterfacefastethernet0/10

//设定SPAN的受控端口

Switch（config）#monitorsession1destinationinterfacefastethernet0/20

//设定SPAN的监控端口

Switch#shmon

Session1

---------

Type:

LocalSession

SourcePorts:

Both:

Fa0/10//注意此处是Both

DestinationPorts:

Fa0/20

Encapsulation:

Native

Ingress:

Disabled

Switch（config）#monitorsession1sourceinterfacefastethernet0/11-13

//添加SPAN的受控端口

RXOnly:

Fa0/11-13//注意此处是RXOnly

Fa0/10//注意此处还是Both

Switch（config）#monitorsession1destinationinterfacefa0/20ingressvlan5

//设定SPAN的监控端口并启用二层转发

Fa0/11-13

Fa0/10

Enabled,defaultVLAN=5//允许正常的流量进入

Ingressencapsulation:

　　3、SpecifyingVLANstoFilterSwitch（config）#nomonitorsession2

Switch（config）#monitorsession2sourcevlan101-102rx

Switch（config）#monitorsession2destinationinterfacefa