Зеркалирование порта (SPAN)
Простыми словами
SPAN копирует выбранный трафик коммутатора на порт наблюдения, не меняя исходный поток. К копии подключают анализатор, IDS или средство захвата, но при перегрузке копирующего порта часть пакетов может потеряться.
Как применяется
Администратор выбирает source-порты или VLAN, направления RX/TX и отдельный destination-порт. Производительность, асимметрию, инкапсуляцию и доступ к копии учитывают заранее, а для критичного мониторинга сравнивают SPAN с сетевым TAP.
Пример применения
Трафик серверного VLAN зеркалируется на сенсор NDR. Нагрузка исходных линков может превысить 10 Гбит/с, поэтому один гигабитный destination-порт признан недостаточным и заменён агрегирующим TAP с фильтрацией.
Не путать с
- TAPTAP физически или логически снимает трафик с линии и обычно даёт более предсказуемую полноту.
Как это работает
- Выбрать источникиОпределяют порты, VLAN и направления, необходимые конкретному средству анализа.
- Назначить приёмникВыделяют защищённый destination-порт без обычной коммутации пользовательского трафика.
- Копировать пакетыКоммутатор дублирует подходящие кадры с учётом своей производительности и очередей.
- Проверить полнотуСравнивают ожидаемый объём, дропы и видимость обеих сторон соединения, документируют ограничения.
Частые вопросы
Да. При превышении пропускной способности порта назначения, перегрузке и особенностях ASIC копия может быть неполной, хотя основной трафик продолжает проходить.
Видит ли SPAN ошибки физического уровня?Не всегда: коммутатор может отбросить повреждённый кадр до зеркалирования; TAP подходит лучше для такого анализа.
Можно ли подключать ноутбук к SPAN-порту?Только по контролируемой процедуре: копия может содержать чувствительные данные, а порт и устройство должны быть защищены.