Konfigurieren der Datenverkehrsspiegelung mit einem RSPAN-Port (Remote SPAN)
Dieser Artikel gehört zu einer Reihe von Artikeln, in denen der Bereitstellungspfad für die OT-Überwachung mit Microsoft Defender for IoT beschrieben wird.
In diesem Artikel wird ein Beispielverfahren zum Konfigurieren von RSPAN auf einem Cisco 2960-Switch mit 24 Ports unter iOS beschrieben.
Wichtig
Bei diesem Artikel handelt es sich lediglich um eine Orientierungshilfe und nicht um Anweisungen. Spiegelports für andere Cisco-Betriebssysteme und Switchmarken werden anders konfiguriert. Weitere Informationen finden Sie in Ihrer Switch-Dokumentation.
Voraussetzungen
Bevor Sie beginnen, stellen Sie sicher, dass Sie den Plan für die Netzwerküberwachung mit Defender for IoT verstehen und die SPAN-Ports kennen, die Sie konfigurieren möchten.
Weitere Informationen finden Sie unter Datenverkehrsspiegelungsmethoden für die OT-Überwachung.
RSPAN erfordert ein bestimmtes VLAN, um den überwachten SPAN-Datenverkehr zwischen Switches zu übertragen. Vergewissern Sie sich zunächst, dass der Switch RSPAN unterstützt.
Stellen Sie sicher, dass die Spiegelungsoption auf Ihrem Switch deaktiviert ist.
Vergewissern Sie sich, dass das Remote-VLAN am gebündelten Port zwischen den Quell- und Zielswitches zugelassen wurde.
Stellen Sie sicher, dass alle Switches, die mit derselben RSPAN-Sitzung verbunden sind, von demselben Anbieter stammen.
Vergewissern Sie sich, dass der gebündelte Port, der dasselbe Remote-VLAN zwischen Switches nutzt, nicht bereits als Quellport einer Spiegelsitzung definiert ist.
Das Remote-VLAN erhöht die Bandbreite des gebündelten Ports um die Menge des Datenverkehrs, der von der Quellsitzung gespiegelt wird. Stellen Sie sicher, dass der Trunkport Ihres Switch die erhöhte Bandbreite unterstützen kann.
Achtung
Eine erhöhte Bandbreite, sei es aufgrund großer Mengen an Durchsatz oder einer großen Anzahl von Switches, kann dazu führen, dass ein Switch fehlschlägt und somit das gesamte Netzwerk heruntergefahren wird. Beachten Sie beim Konfigurieren der Datenverkehrsspiegelung mit RSPAN Folgendes:
- Die Anzahl der Zugriffs-/Verteilungsswitches, die Sie mit RSPAN konfigurieren.
- Der korrelierende Durchsatz für das Remote-VLAN auf jedem Switch.
Konfigurieren des Quellswitch
Auf dem Quellswitch:
Wechseln Sie in den Modus
global configuration, und erstellen Sie ein neues dediziertes VLAN.Identifizieren Sie Ihr neues VLAN als RSPAN VLAN, und wechseln Sie dann zurück in den
configure terminal-Modus.Konfigurieren Sie alle 24 Ports als Sitzungsquellen.
Konfigurieren Sie das RSPAN VLAN als Sitzungsziel.
Kehren Sie zum privilegierten
EXEC-Modus zurück, und überprüfen Sie die Konfiguration der Portspiegelung.
Konfigurieren des Zielswitch
Auf dem Zielswitch:
Wechseln Sie in den Modus
global configuration, und konfigurieren Sie das RSPAN VLAN als Sitzungsquelle.Konfigurieren Sie den physischen Port 24 als das Sitzungsziel.
Kehren Sie zum privilegierten
EXEC-Modus zurück, und überprüfen Sie die Konfiguration der Portspiegelung.Speichern Sie die Konfiguration.
Überprüfen der Datenverkehrsspiegelung
Versuchen Sie nach der Konfiguration der Datenverkehrsspiegelung, eine Stichprobe des aufgezeichneten Datenverkehrs (PCAP-Datei) vom Switch-SPAN-Port oder Spiegelungsport zu erhalten.
Eine PCAP-Beispieldatei hilft Ihnen bei folgenden Punkten:
- Überprüfen der Switchkonfiguration
- Vergewissern, dass der Datenverkehr, der ihren Switch durchläuft, für die Überwachung relevant ist
- Identifizieren der Bandbreite und einer geschätzten Anzahl von Geräten, die vom Switch erkannt wurden
Verwenden Sie eine Netzwerkprotokollanalyseanwendung wie Wireshark, um für einige Minuten eine PCAP-Beispieldatei aufzuzeichnen. Verbinden Sie beispielsweise einen Laptop mit einem Port, an dem Sie die Datenverkehrsüberwachung konfiguriert haben.
Überprüfen Sie, ob Unicast-Pakete im aufgezeichneten Datenverkehr vorhanden sind. Unicastdatenverkehr ist Datenverkehr, der von einer Adresse an eine andere gesendet wird.
Wenn der größte Teil des Datenverkehrs ARP-Nachrichten ist, ist Ihre Konfiguration für die Datenverkehrsspiegelung nicht korrekt.
Überprüfen Sie, ob Ihre OT-Protokolle im analysierten Datenverkehr vorhanden sind.
Beispiel:
