Port Mirroring auf Cisco Catalyst 2940, 2950, 2955, 2970 und 3550
Um einen Sniffer wie Wireshark oder ein IDS an einem Switch zu betreiben, benötigt der Adminstrator
an diesem Switch einen Spiegelport. An diesen Port kann sämtlicher Traffic eines anderen Ports
gespiegelt werden. Dieses Feature wird auch SPAN-Port, Monitor Port und Mirror Port genannt.
Für die Konfiguration eines SPAN-Ports gibt es bei Cisco ja nach Switch unterschiedliche
Kommandos. Dieses Tutorial beschreibt das Vorgehen für die Switche der Reihen 2940, 2950,
2955, 2970 und 3550.
Terminologie
Eine eingerichtete Portspiegelung wird bei Cisco als SPAN-Session
bezeichnet. Jede SPAN-Session benötigt mindestens einen Source Port und einen
Destination Port.
Der Source Port ist die Quelle der interessierenden Daten. Er wird auch "monitored port"
genannt. Mit einer SPAN-Session können mehrere Source Ports gespiegelt werden.
Der Source Port darf Member in einem EtherChannel sein.
Eine Kopie aller Frames der Source Ports wird an den Destination Port geleitet.
Er wird auch als "monitoring port" bezeichnet. Jede SPAN-Session hat genau einen Destination Port.
Achten Sie auf die Bandbreite des Destination Ports. Der Switch kann nicht den kompletten Traffic von
zwei oder mehr FastEthernet-Ports auf einen FastEthernet-Port spiegeln.
Einrichten der Portspiegelung
Zur Einrichten einer SPAN-Session wird zuerst mit dem Kommando configure terminal
in den Konfigurationmodus gewechselt. Dort werden dann die folgenden Kommandos abgesetzt:
Switch(config)# no monitor session 1
Switch(config)# monitor session 1 source interface FastEthernet0/5
Switch(config)# monitor session 1 destination interface FastEthernet0/1
Switch(config)# end
Das no monitor session 1 löscht ein eventuell vorhandenes Port Mirroring.
Die beiden folgenden Zeilen legen den Source und Destination Port fest. Im gezeigten
Beispiel werden alle Frames von FastEthernet0/5 auf FastEthernet0/1 gespiegelt.
An FastEthernet0/1 könnte ein PC mit Wireshark angeschlossen werden.
Zur Kontrolle der SPAN-Session dient das Kommando show monitor session.
Switch# show monitor session 1
Session 1
---------
Type : Local Session
Source Ports :
RX Only : None
TX Only : None
Both : Fa0/5
Source VLANs :
RX Only : None
TX Only : None
Both : None
Source RSPAN VLAN : None
Destination Ports : Fa0/1
Reflector Port : None
Filter VLANs : None
Dest RSPAN VLAN : None
Nach Beendigung der Arbeiten sollte der Spiegelport mit dem Kommando no monitor session 1
wieder deaktiviert werden.
Weiterführende Informationen
Weiterführende Informationen finden Sie unter folgenden Links:
| 
