Analizador de puerto de conmutador (SPAN)

Switch Port Analyzer (SPAN) es una herramienta específica de conmutador que copia las tramas de Ethernet que pasan a través de los puertos del conmutador y las envía a un puerto específico. El conmutador en sí no analiza estos marcos copiados, envía marcos desde un puerto específico al analizador de red. Un analizador de red puede ser un dispositivo de hardware de construcción específica o una aplicación que se ejecuta en el host. El análisis de estos marcos se realiza para solucionar problemas de red. A veces, el análisis de marcos también se realiza para extraer el contenido del marco y encontrar cualquier contenido malicioso oculto dentro del marco.

De hecho, también puede instalar el analizador de red en su PC (p. ej. , el analizador de red Wireshark ) y comenzar a analizar tramas Ethernet y tramas 802.11 fuera de la NIC Ethernet y la NIC inalámbrica, respectivamente.

Funcionamiento de Span:
considere la figura que se muestra a continuación que contiene el conmutador, el servidor, la PC y el analizador de red. Hasta la configuración de SPAN en el conmutador, las tramas fluyen normalmente desde la PC al servidor y viceversa. Pero después de la configuración de SPAN en el conmutador, el conmutador comienza a hacer copias de las tramas que pasan por sus puertos y las envía al analizador de red.

Figura: copia y reenvío de tramas en SPAN

Cambie las tramas de copias después de la transferencia de tramas fuera del puerto y luego envíelas al analizador de red. La regla de «desde qué puertos copiar tramas y dónde enviar tramas copiadas» se define en la sesión SPAN. Puede definir muchas sesiones SPAN en el interruptor.

Puede haber más de un puerto de origen, pero solo un puerto de destino en la sesión SPAN. El puerto desde el que se copian los fotogramas se denomina puerto de origen y el puerto desde el que se envían los fotogramas copiados se denomina puerto de destino. La sesión SPAN se puede definir en los puertos para el flujo de tráfico en ambas direcciones o en una sola dirección. También se puede definir una sesión de intervalo en las VLAN; el conmutador copiará las tramas de todos los puertos en esa VLAN. Pero no puede definir una sesión que contenga puertos y VLAN. Una sesión dividida debe contener solo puertos o solo VLAN.

SPAN remoto y SPAN remoto encapsulado:
Considere la situación, qué sucede si el puerto de destino no está presente en el conmutador donde se configura el intervalo. Cisco ofrece dos soluciones para este problema, RSPAN y ERSPAN.

RSPAN utiliza vlan para encapsular tramas en el encabezado de trama 802.1Q (encabezado que define la pertenencia de la trama a una vlan específica) y enviarlo a través de la red. ERSPAN es aplicable en conmutadores de capa 3, encapsula el tráfico de tramo en el túnel GRE y reenvía el tráfico a la red.

Algunas reglas importantes con respecto a SPAN:

• Una sesión SPAN contiene solo un puerto de destino.
• No hay dos sesiones SPAN que tengan el mismo puerto de destino.
• El puerto de destino no se puede utilizar como puerto de origen.
• El puerto de destino no funciona normalmente, ya no aprende las direcciones MAC.
• Una sesión SPAN puede contener varios puertos de origen.
• Una sesión SPAN no puede mezclar puertos y vlans.