是否可以在没有中继端口的情况下复制 RSPAN 功能？

网络工程 思科 转变 VLAN 镜子
2021-07-22 22:31:20

基本上，我们在园区的不同侧有 2 个分布层交换机，但它们都连接到同一个核心层交换机。我们没有任何访问核心层交换机的权限，而且要让我们上面的人批准我们可能提出的任何更改需要很长时间。

我们的交换机和核心交换机之间的连接是访问端口，这意味着用于设置 RSPAN 的正常 Cisco 配置不可用，因为它需要通过连接中继 VLAN，如果不访问核心交换机，我们就无法做到这一点。我们的交换机为将流量传输到核心交换机的 VLAN 设置了一个 SVI，我们有一个指向核心交换机的默认路由设置。

我们的目标是在任一交换机上只设置一个嗅探器，而不必为每个交换机设置单独的嗅探器。我们的设置可以吗？我想过将其中一个交换机的默认路由设置为另一台交换机的 SVI，但经过深思熟虑，似乎这不会将流量发送到带有嗅探器的交换机，甚至可能会中断服务。

它们确实是访问端口。我们在发行版交换机上设置了 SVI（172.16.x.1/29，其中 x 是 VLAN）。我真的不知道核心交换机是如何设置的，所以我不知道我们是在做第 2 层还是第 3 层。以下是我们其中一个交换机的示例：

interface FastEthernet0/1 switchport mode access switchport access vlan 20

interface vlan 20 ip address 172.16.20.1 255.255.255.240

ip route 0.0.0.0 0.0.0.0 172.16.20.2

1个回答

无论您在交换机上放置何种第 3 层路由，SPAN 和 RSPAN 仅在第 2 层工作，而不在第 3 层接口（例如您的 SVI）上工作。

显而易见的解决方案是将接入端口更改为中继端口，并且只允许您当前拥有的单个 VLAN 作为中继端口上的接入 VLAN，并使该 VLAN 成为本机（非标记）VLAN。您应该使用switchport nonegotiate中继上的命令禁用 DTP，以便禁用 DTP 协商。这就像在中继上有一个接入端口。你说你不能这样做，因为你没有控制核心交换机，这真的让你的问题在这里偏离主题，因为关于你无法控制的网络的问题在这里明确偏离主题。我真的不认为需要更改核心交换机以使用我所描述的中继，除非这确实是第 3 层，而不是第 2 层。

我认为真正的问题是尝试通过单个 100 Mb 接口向核心交换机发送大量 SPAN 流量，这将导致网络其余部分出现真正的问题。

某些交换机型号上可用的一个选项是 ERSPAN，它仅在极少数设备型号（65xx、ASR1xxx、Nexus）上可用，但 Cisco 最近为某些3xxx 和 4xxx 交换机型号发布了更新的代码版本。如果没有特定型号，我无法确定您的特定开关是否支持此新代码。

ERSPAN 将 SPAN 封装到 GRE 隧道中，以便 SPAN 流量可以通过第 3 层路由，这在 SPAN 或 RSPAN 中是不可能的。

章节：配置 ERSPAN

ERSPAN概述

Cisco ERSPAN 功能允许您监控一个或多个端口或多个 VLAN 上的流量，并将监控的流量发送到一个或多个目标端口。ERSPAN 将流量发送到网络分析器，例如 Switch Probe 设备或其他远程监控 (RMON) 探测器。ERSPAN 支持不同路由器上的源端口、源 VLAN 和目的端口，可提供跨网络的多个路由器的远程监控（见下图）。

在 Cisco ASR 1000 系列路由器上，ERSPAN 支持最多 9180 字节的封装数据包。默认的 ERSPAN 最大传输单元 (MTU) 大小为 1500 字节。如果 ERSPAN 有效负载长度（包括封装的 IPv4 标头、通用路由封装 (GRE) 标头、ERSPAN 标头和原始数据包）超过 ERSPAN MTU 大小，则复制的数据包将被截断为默认的 ERSPAN MTU 大小。

ERSPAN 由 ERSPAN 源会话、可路由的 ERSPAN GRE 封装流量和 ERSPAN 目标会话组成。

您可以在 Cisco ASR 1000 系列路由器上配置 ERSPAN 源会话、ERSPAN 目标会话或两者。仅配置了 ERSPAN 源会话的设备称为 ERSPAN 源设备，仅配置了 ERSPAN 目标会话的设备称为 ERSPAN 终止设备。Cisco ASR 1000 系列路由器可以同时用作 ERSPAN 源设备和 ERSPAN 终端设备。您可以在同一 Cisco ASR 1000 系列路由器上终止与目标会话的 ERSPAN 会话。

ERSPAN 源会话由以下参数定义：

  • 会话 ID
  • 会话要监控的源端口或源 VLAN 列表
  • 目的 IP 地址和源 IP 地址
    ，分别用作捕获流量的 GRE 信封的目的 IP 地址和源 IP 地址
  • ERSPAN 流 ID
  • 与 GRE 信封相关的可选属性，例如 IP 服务类型 (TOS) 和 IP 生存时间 (TTL)

ERSPAN 目标会话由以下定义：

  • 会话 ID
  • 目的港
  • 源IP地址，与对应源会话的目的IP地址相同
  • ERSPAN 流 ID，用于匹配目标会话和源会话

ERSPAN 源会话不会从源端口复制 ERSPAN GRE 封装的流量。每个 ERSPAN 源会话可以将端口或 VLAN 作为源，但不能同时具有。

ERSPAN 源会话从源端口或源 VLAN 复制流量，并使用可路由的 GRE 封装数据包将流量转发到 ERSPAN 目标会话。ERSPAN 目标会话将流量切换到目标端口。

图 1. ERSPAN 配置

在此处输入图片说明

监控流量

对于源端口或源 VLAN，ERSPAN 可以监控入口、出口或入口和出口流量。默认情况下，ERSPAN 监控所有流量，包括多播和网桥协议数据单元 (BPDU) 帧。

其它你可能感兴趣的问题
上一篇交换机加入 vtp 域失败，出现未知错误 下一篇如何配置 L3 交换机和 DHCP 服务器？