在构建交换园区网的时候,我们经常用一些抓包工具对数据包进行分析,进行入侵检测.本文以Catalyst 3550/3750/4000(native IOS)/6500(native IOS)为例,从理论到配置,讲述如果实现这一功能.如有不足或错误之处,欢迎读者指正与交流.〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|(}G;gd+}m7jM7d"`

#I\)E,A$}〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|
_qql,^工程师在线交流论坛->IT技术交流|考试认证|资料共享
"|0e)`A*kIoM3?网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置一.什么是交换端口分析:e8IFPt4VA1{9Grm
交换式端口分析器(SPAN)分析经过某个本地端口或VLAN的流量信息.SPAN发送一份流量的拷贝给连接安全设备的交换机端口.注意,一旦启用了 SPAN,VSPAN或RSPAN,目标端口的STP*作就被禁止,可能会造成环路.另外,配置RSPAN之前要先定义一个RSPAN专用的VLAN.如果在VTP服务器上配置了RSPAN VLAN,那么VTP服务器自动将正确的信息传播给其他中间交换机;否则要确保每台中间交换机都配置的有RSPAN VLAN.
T R9b.HX(K1y2c o7h1S
IT动力源8F7b G8?)l7St
SPAN的3种模式:
        }tUV/u_IT动力源 1.SPAN:源端口和目标端口都处于同一交换机,并且源端口可以是一个或多个交换机端口.
l{:T ^C(E)Q工程师在线交流论坛->IT技术交流|考试认证|资料共享2.基于VLAN的交换式端口分析器(VSPAN):SPAN的一种变体,源端口不是物理端口,而是VLAN.工程师在线交流论坛->IT技术交流|考试认证|资料共享0t5Fg2[tYT g
3.远程交换式端口分析器(RSPAN):源端口和目标端口处于不同的交换机.
;T@L1U*W:g网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置:}^1b BA

B k?#@.A0V%I网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置二.配置步骤:
#}6XC4^~%tu*NIT动力源X}&Z-qU+?@
配置SPAN和VSPAN的步骤如下:
&c{*R-[E
_u〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|1.定义SPAN会话的源端口,对于Catalyst 3550交换机,会话数只支持两条,即1和2.还可以定义监听流量的方向,默认监听双向流量.如果需要多个源端口,重复该步骤:|#b k!KHJ2vW
Aiko(config)#monitor session {session-number} source {interface interface|vlan vlan-id} [rx|tx|both]IT动力源o@2^K{-^`
2.定义SPAN会话的目标端口,要确保目标端口和源端口处于同一VLAN,并且每条SPAN会话只能有一个目标端口,还可以定义封装方式:/G^C4U C1~#e$sbBb
Aiko(config)#monitor session {session-number} destination {interface interface} [encapsulation {dot1q|isl}]
9[:ok_2Dk3.限制要监视的VLAN.可以定义多个VLAN,以逗号或连字符相连.可选:
.Bj3N+q:cRVZ工程师在线交流论坛->IT技术交流|考试认证|资料共享Aiko(config)#monitor session {session-number} filter vlan {vlan-list}
.@:f        `eA?M~%G,[i
s!Jd{'d6Mi
配置RSPAN的步骤如下:
D|1_y;?:d2A网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置1.创建RSPAN专用的VLAN:
cA$i~S        fOS8Y网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置Aiko(config)#vlan {vlan-id}
8x0w:]Jb%b/gs)|2.定义该VLAN为RSPAN VLAN:网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置!H']dW] NfoS
Aiko(config-vlan)#remote-span
"p!E/k9RVL9J)Kcq+]?IT动力源3.定义源交换机的源端口.对于Catalyst 3550交换机,会话数只支持两条,即1和2,还可以定义监听流量的方向,默认监听双向流量:
0T0q"Nhb
TWx工程师在线交流论坛->IT技术交流|考试认证|资料共享Aiko(config)#monitor session {session-number} source {interface interface|vlan vlan-id} [rx|tx|both]网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置B;Si2Dx^~X2R%iT
4.定义源交换机的目标端口:

E.lN/EI O M9n〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|Aiko(config)#monitor session {session-number} destination remote vlan {rspan-vlan-id}工程师在线交流论坛->IT技术交流|考试认证|资料共享
G*p3q%K4L2n
h
5.定义目标交换机的源端口:
Z*y3wi9QLWu*Vh
_工程师在线交流论坛->IT技术交流|考试认证|资料共享Aiko(config)#monitor session {session-number} source remote vlan {rspan-vlan-id}工程师在线交流论坛->IT技术交流|考试认证|资料共享4d4]UJT J
6.定义目标交换机的目标端口:Mj6e,f(l a9v \
Aiko(config)#monitor session {session-number} destination {interface interface|vlan vlan-id} [rx|tx|both]
3E"fp!D*Qc
y1yg$u?h工程师在线交流论坛->IT技术交流|考试认证|资料共享+k V
Sg.~"lfA4Do7Y

-GNZRGcJhP?I〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|三.使用RSPAN监听交换机A连接服务器的端的实例:
&g        f2`V#QSPAN/RSPAN与配置详解_职场
t7nh2^8D,o〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|2UPz)H#NbT%j
交换机A配置如下:
?N3G}H?b5B〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|!
U&oH0F
t!Hj〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|vlan 925网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置ti9xsgLQ\
remote-span〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|!uFad0cQ$W?k B
monitor session 1 source interface FastEthernet1/1 both
@'[E-\(wD|,hZIT动力源monitor session 1 destination remote vlan 925        F#wV1U8xh-JZ
!
Q(~)TK7I;}2yZZc,D$z工程师在线交流论坛->IT技术交流|考试认证|资料共享7]V P9hof,A{#v
交换机B配置如下:
!l(D?K,T9]$p??[6k0ZS7D工程师在线交流论坛->IT技术交流|考试认证|资料共享!5[r'gL;WSpl
vlan 925〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|NP)v;o1G`"f
remote-span网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置6JG:{,qd        m
!
2~}
o
X!Ud!P2r(NH+kPIT动力源-i        poM        _cLg8[
交换机C配置如下:
        TX{-Ctv'?`KIT动力源 !N(AV*a        OX'Y
vlan 925
S:c/K,a/O'g        EN.}jremote-span
\5G:X6w5To:L2_8Smonitor session 1 source remote vlan 925
Q
E6_{[ G'T9y&@monitor session 1 destination interface Fastethernet 2/2
~
mo3}{ h0[:A6JD@!IT动力源_"EGJ[2`_/N

~UXAu;T5K.w:P网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置

@ C:[|Ks        plr工程师在线交流论坛->IT技术交流|考试认证|资料共享转载请注明作者信息:网络,技术,路由,交换,安全,IT,通信,考试,认证,TESTKING,视频,msce,ccna,ccnp,思科,华为,配置c2b*Cp v\Gl(B
作者:红头发
s Hw8B!C
主页:[url]http:///[/url]〓IT动力源〓IT技术交流|考试认证|资料共享【中国最大的IT网络信息技术门户网站】[url][/url]|[url]http://[/url]|[url]http://[/url]|Yw0X-r
f"}Q
QQ:13030130
 原文地址 [url]http:///viewthread.php?tid=70456[/url]