核心内容摘要
jizzww：探索无限可能，点燃你的创作激情
在学习交换机和局域网时同学们可能会产生一个疑问交换机内部的数据是如何流动的网络故障时管理员又是如何“看到”网络中的数据包的要回答这些问题就离不开我们今天要介绍的网络知识——SPANSwitch Port Analyzer交换式端口分析器它还有一个更形象的名字叫做端口镜像Port Mirroring。
为什么需要 SPAN在早期使用集线器Hub的网络中所有数据都会广播到每一个端口只要在任意一台电脑上抓包就能看到整个网络的通信数据。
但现在的网络中交换机是主流设备。
交换机会根据 MAC 地址表只把数据转发到目标端口。
这虽然提高了性能和安全性却带来了一个问题普通情况下我们无法直接捕获其他端口的数据流量。
当网络出现以下情况时管理员就会非常头疼网络访问速度异常缓慢某台主机可能存在病毒或异常流量需要分析某个应用的通信过程进行网络安全审计或入侵检测这时就需要一种方法把指定端口的数据复制一份发送到另一个端口进行分析SPAN 正是解决这一问题的技术。
什么是 SPAN端口镜像SPAN是交换机提供的一种流量监控功能。
它可以将一个或多个源端口Source Port或 VLAN 的数据流量完整复制到一个目的端口Destination Port。
简单理解就是交换机像一面镜子把指定端口上的数据“照”到另一个端口上。
在目的端口上我们通常连接抓包电脑运行 Wireshark网络分析仪入侵检测系统IDS网络性能监控设备这样就可以在不影响原有通信的情况下实时分析网络数据。
SPAN 的基本工作原理SPAN 的工作流程可以
总结为四步在交换机上选择需要监控的端口或 VLAN配置一个空闲端口作为镜像端口交换机将源端口的数据流量复制一份复制后的数据被发送到镜像端口供分析使用需要注意的是镜像端口一般只能用于接收数据不能正常通信。
SPAN 的常见类型根据监控范围和实现方式的不同SPAN 通常分为以下几种
本地 SPANLocal SPAN这是最常见的一种方式源端口和目的端口在同一台交换机上适合实验室或小型网络。
远程 SPANRSPAN当源端口和分析设备不在同一台交换机上时就可以使用 RSPAN。
它通过一个专用的 VLAN将镜像流量传送到远端交换机。
封装远程 SPANERSPANERSPAN 会将镜像流量封装成 IP 数据包通过三层网络传输适合大型网络和跨区域监控。
SPAN 的典型应用场景网络故障排查协议学习与教学实验网络安全监控流量分析与性能优化入侵检测与取证分析