lunedì, Ottobre 7, 2024

Analizzare il traffico della propria rete mediante lo SPAN

Fabio Semperboni
Fabio Semperbonihttp://www.ciscozine.com?ref=areanetworking
Laureato in Ing. Informatica al Politecnico di Milano, si occupa di Networking dal 2005. Appassionato della tecnologia e sicurezza, ha lavorato per importanti enti internazionali quali NASA ed ESA dando supporto tecnico alle missioni Nodo2 (STS-120) e Columbus (STS-122). Attualmente lavora come Network/Security Engineer presso una importante Banca Italiana e, da alcuni anni, gestisce il sito web www.ciscozine.com

Ed eccomi qua a scrivere per AreaNetworking :-) In questo primo articolo cercherò di spiegarvi lo Switched Port Analyzer (SPAN), funzionalità spesso chiamata come ‘Port Mirroring’ o ‘Port Monitoring’.

Ma che cosa è lo SPAN e quando implementarlo? Lo SPAN è una feature che permette di replicare interamente tutto il traffico generato da/verso una o più vlan/interfacce verso una interfaccia fisica (per esempio una gigabitethernet). Su tale porta di destinazione solitamente troveremo connesso sonde o network analyzer, permettendoci di conoscere meglio la nostra rete oltre a creare statistiche e report di vario genere.

Detto questo passiamo a come configurare una SPAN port. La configurazione è estremamente semplice e servono implementare solamente 2 comandi:

  • Quale traffico replicare
  • Su quale interfaccia il traffico verrà replicato

Supponiamo di avere la configurazione seguente: sullo switch vi sono connessi 2 hosts (pc A / pc B) rispettivamente sulla porta fastethernet0/1 e fastethernet0/2, mentre sulla porta fastethernet0/24 vi è connesso un network analyzer.

Pertanto se volessimo monitorare i 2 hosts mediante il network analyzer, la configrazione dello SPAN sarebbe la seguente:

Ciscozine(config)#monitor session 1 source interface fastethernet 0/1, fastethernet 0/2 bofh
Ciscozine(config)#monitor session 1 destination interface fastethernet 0/3

Una volta implementato lo SPAN, è possibile visionare la configurazione mediante il seguente comando:

Ciscozine#show monitor session 1
Session 1
---------
Source Ports:
  RX Only:  None
  TX Only:  None
  Both:  Fa0/1, Fa0/2
Destination Ports: Fa0/24
Ciscozine#

Tenete però presente che il numero delle sessioni e il numero delle interfacce monitorabili dipende dal tipo di apparato utilizzato. Per esempio uno switch Catalyst 3550 permette di gestire fino a 2 sessioni di span, ma non permette di monitorare più di una interfaccia sulla stessa sessione. Per intenderci se dovessimo eseguire il comando:

Ciscozine(config)#monitor session 1 source interface fastethernet 0/1, fastethernet 0/2 bofh

Il sistema ci restituirebbe il segente messaggio di errore:

% This platform allows a maximum of 1 TX monitor interface(s)

Occorre inoltre ricordare che “A destination port receives copies of sent and received traffic for all monitored source ports. If a destination port is oversubscribed, it can become congested. This congestion can affect traffic forwarding on one or more of the source ports.”

Infine, alcuni tool famosi che permettono l’analisi del traffico mediante uno SPAN port sono i seguenti. Con l’occasione consiglio di leggere anche il Corso su Wireshark presente qui, su AreaNetworking.it: Corso Wireshark , prima lezione.

Alcuni commenti sull’articolo presenti anche QUI, su LinkedIn.

Articoli correlati

Scopri il Programma del GDPR Day 2024, la Conferenza di riferimento sulla Data Protection e Cyber Security

 La Conferenza nazionale GDPR Day 2024, evento leader in Italia sulla protezione dei dati, si terrà il 24 ottobre al Grand Tour Italia, ex-FICO Eataly World di Bologna. La conferenza sarà preceduta da una cena di networking il 23 ottobre, occasione unica per connettersi con i principali esperti del settore.

Digital Transformation


 

Noleggia una Tesla per il tuo evento ICT!

Categorie