SPAN と RSPAN の概要
ここでは、次の内容について説明します。
• 「SPAN と RSPAN の概念と用語」
• 「SPAN と RSPAN のセッション限度」
• 「SPAN と RSPAN のデフォルト設定」
SPAN は、任意の Virtual LAN(VLAN; 仮想 LAN)上の 1 つまたは複数の送信元インターフェイスからのトラフィック、または 1 つまたは複数の VLAN から宛先インターフェイスへのトラフィックを解析するためにミラーリングします。図 50-1 では、イーサネット インターフェイス 5(送信元インターフェイス)上のすべてのトラフィックが、イーサネット インターフェイス 10 にミラーリングされます。イーサネット インターフェイス 10 のネットワーク アナライザは、イーサネット インターフェイス 5 に物理的に接続していなくても、このインターフェイスからのすべてのネットワーク トラフィックを受信できます。
SPAN を設定する場合、送信元インターフェイスと宛先インターフェイスは同一スイッチ上に存在している必要があります。
SPANは、送信元インターフェイス上のネットワーク トラフィックのスイッチングに影響を与えません。送信元インターフェイスが送受信したパケットのコピーは宛先インターフェイスに送信されます。
図 50-1 SPAN の設定例
RSPAN は、ネットワーク内の複数のスイッチの RMON 機能をイネーブルにすることによって、SPAN を拡張します。各 RSPAN セッションのトラフィックは、関与するすべてのスイッチ上のその RSPAN セッション専用のユーザ指定 RSPAN VLAN を介して伝送されます。送信元からの SPAN トラフィックは、RSPAN VLAN にコピーされてから、トランク ポートを介して転送されます。トランク ポートは、RSPAN VLAN をモニタリングする RSPAN 宛先セッションに RSPAN VLAN を伝送します(図 50-2 を参照)。
図 50-2 RSPAN の設定例
SPAN と RSPAN は、送信元ポートまたは送信元 VLAN 上でのネットワーク トラフィックのスイッチングに影響しません。送信元によって送受信されたパケットのコピーは、宛先に送信されます。デフォルトでは、SPAN または RSPAN セッションによって必要とされるトラフィックを除いて、宛先ポートはトラフィックの送受信を行いません。
SPAN または RSPAN 宛先ポートを使用して、ネットワーク セキュリティ デバイスから送信されたトラフィックを転送できます。たとえば、Cisco Intrusion Detection System(IDS; 侵入検知システム)センサー装置を宛先ポートに接続した場合、IDS デバイスは TCP リセット パケットを送信して、疑わしい攻撃者の TCP セッションを停止させることができます。
SPAN セッション
ローカル SPAN セッションは、宛先ポートを送信元ポートに対応付けます。一連のまたは一定範囲のポートおよび送信元 VLAN の着信または発信トラフィックをモニタリングできます。RSPAN セッションは、送信元ポートと送信元 VLAN をネットワーク上の RSPAN VLAN に対応付けます。宛先の送信元は RSPAN VLAN です。
モニタ対象のネットワーク トラフィックの送信元を指定するパラメータを使用して、SPAN セッションを設定します。
個別のまたは重複する一連の SPAN 送信元を使用して、複数の SPAN または RSPAN セッションを設定できます。スイッチド ポートおよびルーテッド ポートはいずれも、SPAN 送信元または宛先ポートとして設定できます。
RSPAN 送信元セッションは、SPAN 送信元ポートまたは VLAN を宛先 RSPAN VLAN に対応付けます。RSPAN 宛先セッションは、RSPAN VLAN を宛先ポートに対応付けます。
SPAN セッションは、スイッチの正常な動作を妨げません。ただし、SPAN の宛先がオーバーサブスクライブ型ポート(たとえば 100 Mbps ポートをモニタリングする 10 Mbps ポート)では、パケットがドロップされるか、失われる可能性があります。
ディセーブルに設定されたポート上でも SPAN セッションを設定できます。ただし、そのセッションに対して宛先ポートと、少なくとも 1 つの送信元ポートまたは VLAN をイネーブルにしない限り、SPAN セッションはアクティブになりません。
SPAN セッションは、システムの起動後に、宛先ポートが動作可能になるまでアクティブになりません。
トラフィック タイプ
SPAN セッションには、次のトラフィック タイプがあります。
• 受信(Rx)SPAN - 受信(または入力)SPANの目的は、スイッチが変更または処理を行う前に、送信元インターフェイスまたはVLANが受信したすべてのパケットをできる限り多くモニタリングすることです。送信元が受信した各パケットのコピーは、その SPAN セッションの宛先ポートに送信されます。1 つの SPAN セッションで、一連のまたは一定範囲の入力ポートまたは VLAN をモニタリングできます。
タグ付きパケット(ISL [スイッチ間リンク]または IEEE 802.1Q)では、タギングは入力ポートで削除されます。宛先ポートでは、タギングがイネーブルの場合、パケットは ISL または 802.1Q ヘッダー付きで表示されます。タギングが指定されていない場合、パケットはネイティブ形式で表示されます。
ルーティングが原因で変更されたパケットは、Rx SPAN 用に変更されることなくコピーされます。つまり、元のパケットがコピーされます。QoS(Quality of Service)が原因で変更されたパケット(たとえば、変更済み Differentiated Services Code Point [DSCP; DiffServ コード ポイント])は、Rx SPAN 用に変更されずにコピーされます。
受信処理中にパケットをドロップする可能性のある機能は、SPAN では無効です。実際の着信パケットがドロップされた場合でも、宛先ポートはパケットのコピーを受信します。これらの機能には、標準および拡張 IP 入力 Access Control List(ACL; アクセス コントロール リスト)、ユニキャストおよび入力側 QoS ポリシング用の標準および拡張 IP 出力 ACL、VLAN マップ、入力側 QoS ポリシング、Policy-Based Routing(PBR; ポリシーベース ルーティング)などがあります。パケットのドロップを引き起こすスイッチ輻輳も、SPAN には影響しません。
• 送信(Tx)SPAN - 送信(または出力)SPANの目的は、スイッチによる変更または処理がすべて実行されたあとに、送信元インターフェイスから送信されたすべてのパケットをできる限り多くモニタリングすることです。パケットが変更されたあと、送信元から各パケットのコピーがそのSPANセッションに対応する宛先ポートに送信されます。1 つの SPAN セッションで一定範囲の出力ポートをモニタリングできます。
ルーティングにより変更されたパケット(Time to Live [TTL; 存続可能時間] または MAC [メディア アクセス制御] による変更など)は、宛先ポートでも変更されます。QoS が原因で変更されたパケットは、SPAN 送信元とは異なる DSCP(IP パケット)または Class of Service(CoS; サービス クラス)(IP 以外のパケット)を設定されることがあります。
送信処理中にパケットをドロップする可能性のある機能は、SPAN 用のコピーにも影響を与えることがあります。このような機能には、VLAN マップ、マルチキャスト パケットに対応する標準および拡張 IP 出力 ACL、出力側 QoS ポリシングがあります。出力 ACL の場合は、SPAN 送信元がパケットをドロップすると、SPAN の宛先もパケットをドロップします。出力側 QoS ポリシングの場合は、SPAN 送信元がパケットをドロップしても、SPAN 宛先はパケットをドロップするとは限りません。送信元ポートがオーバーサブスクライブ型である場合、宛先ポートは別の廃棄動作を行います。
• 双方向 - 1 つの SPAN セッションで、一連の単一ポートまたは一定範囲のポートの受信パケットと送信パケットを両方モニタリングできます。
送信元ポート
送信元ポート(別名 モニタ対象ポート )は、ネットワーク トラフィック解析のためにモニタリングするスイッチド ポートまたはルーテッド ポートです。単一のローカル SPAN セッションまたは RSPAN 送信元セッションで、受信(Rx)、送信(Tx)、または双方向(both)の送信元ポート トラフィックをモニタリングできます。スイッチは、任意の数の送信元ポート(スイッチで使用可能なポートの最大数まで)および任意の数の送信元 VLAN をサポートしています。
送信元ポートには、次の特性があります。
• すべてのポート タイプ(EtherChannel、ファスト イーサネット、ギガビット イーサネットなど)が可能です。
• 複数の SPAN セッションでモニタリングできます。
• 宛先ポートに指定することはできません。
• 各送信元ポートに、モニタリングする方向(入力、出力、または両方)を設定できます。EtherChannel の送信元に設定する場合、モニタリングする方向はグループ内のすべての物理ポートに適用されます。
• 送信元ポートは同じ VLAN 内にあっても異なる VLAN にあってもかまいません。
• VLAN SPAN 送信元の場合、送信元 VLAN 内のすべてのアクティブ ポートは、送信元ポートとして組み入れられます。
トランク ポートを、送信元ポートとして設定できます。デフォルトでは、トランク上でアクティブなすべての VLAN がモニタされます。VLAN フィルタリングを使用することにより、トランク送信元ポート上の SPAN トラフィックのモニタリングを特定の VLAN に制限できます。選択された VLAN のスイッチド トラフィックだけが宛先ポートに送信されます。この機能は、宛先 SPAN ポートに転送されたトラフィックだけに影響し、通常のトラフィックのスイッチングには影響を与えません。この機能は、VLAN 送信元によるセッションでは許可されません。
宛先ポート
各ローカル SPAN セッションまたは RSPAN 宛先セッションには、送信元ポートおよび VLAN からのトラフィックのコピーを受信する宛先ポート(別名 モニタリング ポート )を設定する必要があります。
宛先ポートには、次の特性があります。
• 送信元ポートと同じスイッチ上になければなりません(ローカル SPAN セッションの場合)。
• 任意のイーサネット物理ポートに指定できます。
• 同時に 1 つの SPAN セッションにしか参加できません (ある SPAN セッションの宛先ポートは、別の SPAN セッションの宛先ポートになることはできません)。
• 送信元ポートに指定することはできません。
• EtherChannel グループに指定することはできません。
• EtherChannel グループが SPAN 送信元として指定されている場合でも、EtherChannel グループに割り当てられた物理ポートに指定できます。ポートは、SPAN 宛先ポートとして設定されている間は、グループから削除されます。
• ラーニングがイネーブルに設定されていない限り、ポートは SPAN セッションが必要とするものを除いて、トラフィックの転送を行いません。ラーニングがイネーブルに設定されている場合、ポートは、宛先ポート上で学習されたホストに向けられたトラフィックも伝送します。
• 入力トラフィックの転送がネットワーク セキュリティ デバイスでイネーブルの場合、宛先ポートはレイヤ2でトラフィックを転送します。
• SPAN セッションがアクティブな間は、スパニングツリーに参加しません。
• 宛先ポートである場合は、どのレイヤ 2 プロトコル(Spanning-Tree Protocol [STP; スパニングツリー プロトコル]、VLAN Trunking Protocol [VTP; VLAN トランキング プロトコル]、Cisco Discovery Protocol [CDP; シスコ検出プロトコル]、Dynamic Trunking Protocol [DTP]、Port Aggregation Protocol [PAgP])にも参加しません。
• SPAN セッションの送信元 VLAN に所属する宛先ポートは、送信元リストから除外され、モニタされません。
• すべてのモニタされた送信元ポートの送受信されたトラフィックのコピーを受信します。宛先ポートがオーバーサブスクライブ型である場合、輻輳を起こす可能性があります。この輻輳は、1 つまたは複数の送信元ポートにおいてトラフィック転送に影響を与えます。
VSPAN
VLAN-based SPAN(VSPAN)は、1 つまたは複数の VLAN でのネットワーク トラフィックをモニタリングします。
VSPAN セッションでは、次の注意事項に従ってください。
• RSPAN VLAN 上のトラフィックは、VSPAN セッションではモニタされません。
• モニタ対象の VLAN 上のトラフィックだけが宛先ポートに送信されます。
• 宛先ポートが送信元 VLAN に所属する場合は、送信元リストから除外され、モニタされません。
• ポートが送信元 VLAN に追加または送信元 VLAN から削除されると、これらのポートで受信された送信元 VLAN 上のトラフィックは、モニタ中の送信元に追加または送信元から削除されます。
• VLAN プルーニングと VLAN 許可リストは、SPAN モニタでは無効です。
• VSPAN がモニタリングするのはスイッチに入るトラフィックに限られ、VLAN 間でルーティングされるトラフィックはモニタリングしません。たとえば、VLAN が受信でモニタされ、マルチレイヤ スイッチが別の VLAN からのトラフィックをモニタ対象の VLAN にルーティングする場合、そのトラフィックはモニタ対象とはならず、SPAN 宛先ポート上で受信されません。
• 同じセッション内のフィルタ VLAN を VLAN 送信元と併用することはできません。
• モニタリングできるのは、イーサネット VLAN だけです。
SPAN トラフィック
ローカル SPAN を使用すれば、マルチキャスト パケットおよび Bridge Protocol Data Unit(BPDU; ブリッジ プロトコル データ ユニット)パケットをはじめ、CDP、VTP、DTP、STP、PAgP の各パケットを含む、すべてのネットワーク トラフィックをモニタリングできます 。 RSPAN を使用して、レイヤ2プロトコルをモニタリングすることはできません (詳細については、「RSPAN 設定時の注意事項」を参照してください)。
SPAN の設定によっては、同じ送信元パケットの複数のコピーが SPAN 宛先ポートに送信される場合があります。たとえば、送信元 a1 受信モニタおよび a2 受信/送信モニタから宛先ポート d1 まで、双方向(受信と送信の両方)SPAN セッションが設定されているとします。パケットが a1 からスイッチに入り、a2 へスイッチングされると、着信パケットおよび発信パケットの両方が宛先ポート d1 に送信されます。このため、両方のパケットは同じものになります(レイヤ 3 書き換えが行われた場合には、付加されたレイヤ 3 情報のため異なるパケットになります)。
SPAN と RSPAN のセッション限度
入力送信元を含む同時 SPAN セッションを最大 8 つ設定できます。また、出力送信元を含む同時セッションを最大 8 つ設定できます。双方向送信元は、入力と出力の両方として数えます。RSPAN 宛先セッションは、入力側送信元を含むセッションとして数えます。
(注) Supervisor Engine 6-E では、最大 16 の SPAN/RSPAN セッションが可能です(受信元との同時 8 セッション、および送信元との同時 8 セッション)。双方向送信元は、受信と送信の両方としてカウントされます。他のすべてのスーパーバイザ エンジンでは、最大 6 つのセッションが可能です(受信元との同時 2 セッション、および送信元との同時 4 セッション)。
SPAN と RSPAN のデフォルト設定
表 50-1 に、SPAN と RSPAN のデフォルト設定を示します。
表 50-1 SPAN と RSPAN のデフォルト設定
|
|
SPAN ステート |
ディセーブル。 |
モニタリングする送信元ポートのトラフィック |
受信トラフィックと送信トラフィックの両方( both ) |
フィルタ |
すべての VLAN、すべてのパケット タイプ、すべてのアドレス タイプ |
カプセル化タイプ(宛先ポート) |
ネイティブ形式(カプセル化タイプ ヘッダーなし) |
入力転送(宛先ポート) |
ディセーブル。 |
ホスト学習(宛先ポート) |
ディセーブル。 |
SPAN の設定
ここでは、SPANを設定する方法について説明します。
• 「SPAN 設定時の注意事項および制約事項」
• 「SPAN 送信元の設定」
• 「SPAN 宛先の設定」
• 「トランク インターフェイス上の送信元 VLAN のモニタリング」
• 「設定例」
• 「SPAN の設定の確認」
(注) SPAN コンフィギュレーション コマンドを入力しても、すでに設定された SPAN パラメータはクリアされません。設定済みの SPAN パラメータをクリアするには、no monitor sessionコマンドを使用する必要があります。
SPAN 設定時の注意事項および制約事項
SPAN を設定する際、次の注意事項および制約事項に従ってください。
• ネットワーク アナライザを使用して、インターフェイスをモニタリングする必要があります。
• SPAN セッションでは、送信元 VLAN とフィルタ VLAN を混在させることはできません。送信元 VLAN またはフィルタ VLAN を使用することはできますが、両方を同時には使用できません。
• EtherChannel インターフェイスを、SPAN 送信元インターフェイスにできますが、SPAN 宛先インターフェイスにできません。
• 送信元インターフェイスを指定し、トラフィック タイプ(tx、rx、または both)を指定しなかった場合、デフォルトで [both] が使用されます。
• 複数の SPAN 送信元インターフェイスを指定する場合、各インターフェイスはそれぞれ異なる VLAN に属していてもかまいません。
• no monitor session number コマンドを他のパラメータを指定せずに入力して、SPAN のセッション 番号 をクリアする必要があります。
• no monitor コマンドを実行すると、すべての SPAN セッションがクリアされます。
• SPAN 宛先は、スパニングツリー インスタンスに参加しません。SPAN はモニタ対象トラフィックに BPDU を含みます。したがって、SPAN 宛先上で検出される BPDU は、SPAN 送信元からのものです。
• SPAN 宛先ポートは 1 セッションにつき 1 つに制限されています。
• SPAN セッションを作成すると、パケット フィルタのタイプ(正常または異常)に関係なく、正常へのパケット フィルタが上書きされ、自動的に次のような別の設定行が表示されます。
monitor session 1 filter packet-type good rx
monitor session 1 filter packet-type good rx コマンドを再入力してください。
SPAN 送信元の設定
SPAN セッションの送信元を設定するには、次の作業を行います。
|
|
Switch(config)# [no] monitor session { session_number } { source { interface <interface_list> | { vlan vlan_IDs | cpu [queue queue_ids] } [ rx | tx | both ] |
SPAN セッション番号(1 ~ 6)、送信元インターフェイス(FastEthernet または GigabitEthernet)、VLAN(1 ~ 4094)、CPU から送受信されたトラフィックがセッションの宛先にコピーされるかどうか、およびモニタリングするトラフィックの方向を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-list には、モニタリングする送信元ポートを指定します。有効なインターフェイスには、物理インターフェイスとポートチャネル論理インターフェイス( port-channel port-channel-number ) があります。 vlan_IDs には、送信元 VLAN を指定します。 queue_ids には、関連するキューを指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送信(tx)と受信(rx)の両方のトラフィックを送信します。追加の送信元ポートは、受信トラフィックだけをモニタリングします。 • rx - 受信トラフィックをモニタリングします。 • tx - 送信 トラフィック をモニタリングします。 • both - 送受信両方 の トラフィック(双方向) をモニタリングします。 キューは、番号または名前のどちらかによって識別されます。キュー名には、便宜上、複数の番号付けキューを組み入れることができます。 デフォルトの設定に戻すには、no キーワードを使用します。 |
次に、SPAN セッション 1 で、送信元ファスト イーサネット インターフェイス 5/1 からの双方向トラフィックをモニタリングするように設定する例を示します。
Switch(config)# monitor session 1 source interface fastethernet 5/1
次に、SPAN セッション内で送信元を異なる方向に設定する例を示します。
Switch(config)# monitor session 1 source interface fa2/3 rx
Switch(config)# monitor session 1 source interface fa2/2 tx
SPAN 宛先の設定
SPAN セッションの宛先を設定するには、次の作業を行います。
|
|
Switch(config)# [no] monitor session < session_number > destination interface <interface> [ encapsulation {isl | dot1q }] [ ingress [ vlan vlan_IDs ] [ learning }] |
SPAN セッション番号(1 ~ 6)および宛先インターフェイスまたは VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface には、宛先インターフェイスを指定します。 vlan_IDs には、宛先 VLAN を指定します。 デフォルトの設定に戻すには、no キーワードを使用します。 |
(注) SPAN 宛先ポートは 1 セッションにつき 1 つに制限されています。
次に、SPAN セッション 1 の宛先として、ファスト イーサネット インターフェイス 5/48 を設定する例を示します。
Switch(config)# monitor session 1 destination interface fastethernet 5/48
トランク インターフェイス上の送信元 VLAN のモニタリング
SPAN 送信元がトランク インターフェイスである場合、特定の VLAN をモニタリングするには、次の作業を行います。
|
|
Switch(config)# [no] monitor session { session_number } filter {vlan vlan_IDs [, | - ]} | {packet-type {good | bad}} | {address-type {unicast | multicast | broadcast} [rx | tx | both]} |
SPAN 送信元がトランク インターフェイスである場合に、特定の VLAN をモニタリングします。filter キーワードで、指定された VLAN 上のトラフィックにモニタリングを限定します。これは通常、トランク インターフェイスをモニタリングする場合に使用します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan_IDs には、VLAN を指定します。 指定された VLAN のすべてのポートを介したモニタが設定されます。 デフォルトの設定に戻すには、no キーワードを使用します。 |
次に、SPAN 送信元がトランク インターフェイスである場合に、VLAN 1 ~ 5 および 9 をモニタリングする例を示します。
Switch(config)# monitor session 2 filter vlan 1 - 5 , 9
設定例
この章で説明したコマンドを使用して SPAN セッションを完全に設定する例、および設定を解除する例を示します。送信元ファスト イーサネット インターフェイス 4/10 からの双方向トラフィックをモニタリングすると想定します。このインターフェイスは、VLAN 1 ~ 4094 を伝送するトランク インターフェイスとして設定されています。さらに、そのトランク上の VLAN 57 のトラフィックだけをモニタリングするものとします。宛先インターフェイスとして FastEthernet 4/15 を使用し、次のコマンドを入力します。
Switch(config)# monitor session 1 source interface fastethernet 4/10
Switch(config)# monitor session 1 filter vlan 57
Switch(config)# monitor session 1 destination interface fastethernet 4/15
これで、VLAN 57 上のファスト イーサネット インターフェイス 4/10 からのトラフィックが、ファスト イーサネット インターフェイス 4/15 でモニタされます。SPAN セッションをディセーブルにする場合は、次のコマンドを入力します。
Switch(config)# no monitor session 1
SPAN の設定の確認
次に、SPAN セッション 2 の設定を確認する例を示します。
Switch# show monitor session 2
Destination Ports: Fa5/45
入力パケット
入力がイネーブルにされている場合、SPAN 宛先ポートは(指定されたカプセル化モードによってタグ付けされている可能性のある)着信パケットを受け入れ、通常どおりスイッチングします。SPAN 宛先ポートを設定する場合、入力機能がイネーブルにされているかどうか、およびタグなし入力パケットをスイッチングするのに使用する VLAN について指定できます (すべての ISL カプセル化パケットに VLANタグが付加されている場合は、入力 VLAN を指定する必要がありません)。ポートは STP フォワーディング ステートですが、STP には参加しないため、スパニングツリー ループがネットワークに生じないように、この機能を設定する場合は注意してください。入力およびトランク カプセル化の両方が SPAN 宛先ポート上で指定されている場合、すべてのアクティブ VLAN でポートが転送を行います。存在しない VLAN を入力 VLAN として設定することはできません。
デフォルトでは、ホスト学習は入力がイネーブルに設定された SPAN 宛先ポート上でディセーブルに設定されています。また、このポートは VLAN のフラッディング セットから削除されるので、通常のトラフィックは宛先ポートからスイッチングされません。ただし、学習がイネーブルに設定されている場合は、宛先ポート上で学習されたホストのトラフィックが宛先ポートからスイッチングされます。SPAN 宛先ポートに接続されているホストは、ブロードキャスト ARP 要求を受信しないため、応答しません。また、SPAN 宛先ポート上にスタティック ホスト エントリ(スタティック ARP エントリおよび MAC アドレス テーブルのスタティック エントリを含む)を設定することもできます。
(注) 設定は、SPAN セッションに送信元が設定されていない場合は機能しません。このセッションは、SPAN 宛先ポートだけでは、半分しか設定されていないことになります。
入力パケットとカプセル化を設定するには、次の作業を行います。
|
|
Switch(config)# [no] monitor session < session_number > destination interface <interface> [ encapsulation {isl | dot1q}] [ ingress [ vlan vlan_IDs ] [ learning ]] |
入力パケットの設定と宛先ポートのカプセル化タイプを指定します。 (注) isl キーワードは、Supervisor Engine 6-E ではサポートされません。 session_number には、この SPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface には、宛先インターフェイスを指定します。 vlan_IDs には、宛先 VLAN を指定します。 デフォルトの設定に戻すには、no キーワードを使用します。 |
次に、ネイティブ VLAN 7 を使用して、宛先ポートに 802.1Q カプセル化と入力パケットを設定する例を示します。
Switch(config)# monitor session 1 destination interface fastethernet 5/48
encapsulation dot1q ingress vlan 7
この設定では、セッション 1 に対応付けられた SPAN 送信元からのトラフィックは、802.1Q カプセル化を使用して、ファスト イーサネット インターフェイス 5/48 からコピーされます。着信トラフィックは、タグなしパケットが VLAN 7 に分類されてから、受け入れられてスイッチングされます。
アクセス リスト フィルタリング
SPAN セッションを設定する場合、アクセス リスト フィルタリングを適用できます。アクセス リスト フィルタリングは、出力方向または入力方向でスニッフィングされた SPAN 宛先ポートを通過するすべてのパケットに適用されます。アクセス リスト フィルタは、ローカル SPAN セッションでだけ許可されます。SPAN の宛先が RSPAN VLAN である場合、アクセス リスト フィルタは拒否されます。
(注) アクセス リスト フィルタリングは、Cisco IOS Release 12.2(20)EW 以降で使用できます。
ACL 設定時の注意事項
SPAN セッション上で ACL を設定できます。ACL/SPAN セッションでは、次の注意事項に従ってください。
• ACL が SPAN セッションに関連付けられている場合、ACL に関連付けられるルールは、SPAN 宛先インターフェイスに存在するすべてのパケットに対して適用されます。それまで SPAN 宛先インターフェイスに関連付けられていた他の VACL または RACL に関連するルールは、適用されません。
• SPAN セッションに関連付けできる ACL は 1 つだけです。
• SPAN 宛先インターフェイスに存在するパケットに ACL が適用されていない場合、それまで宛先インターフェイスまたは SPAN 宛先インターフェイスが所属する VLAN に適用されていた PACL、VACL、または RACL に関係なく、すべてのトラフィックが許可されます。
• ACL が SPAN セッションから削除されると、すべてのトラフィックが再び許可されます。
• SPAN セッションから SPAN 設定が削除されると、SPAN 宛先インターフェイスに関連付けられたすべてのルールが、再び適用されます。
• SPAN 宛先ポートが、トランクポートとして設定され、所属する VLAN に関連付けられた ACL が設定されている場合、トラフィックは VACL の対象となりません。
• ACL 設定は通常、RSPAN VLAN、および RSPAN VLAN を伝送するトランク ポートに適用されます。この設定により、ユーザは RSPAN VLAN 上の VACL を適用できるようになります。ユーザが、宛先ポートを RSPAN VLAN として、SPAN セッション上で ACL の設定を試みる場合、この設定は拒否されます。
• CAM(連想メモリ)が過負荷状態で、パケットが検索のために CPU に引き渡される場合、SPAN セッションに関連付けられた出力ポートの ACL はいずれも、適用されません。
• ACL が作成される前に、名前つき IP ACL が SPAN セッション上で設定される場合、この設定は受け入れられ、ソフトウェアは Access Control Entry(ACE; アクセス コントロール エントリ)なしで空の ACL を作成します (空の ACL は、すべてのパケットを許可します)。その後、ACL にルールを追加できます。
• SPAN セッションに関連付けられた ACL は、出力宛先インターフェイス上で適用されます。
• SPAN ポートに存在するトラフィックでは、ポリシングが許可されません。
• SPAN セッションでは、IP ACL だけがサポートされます。
アクセス リスト フィルタリングの設定
アクセス リスト フィルタリングを設定するには、次の作業を行います。
|
|
Switch(config)# [no] monitor session { session_number } filter {ip access-group [ name | id] }{vlan vlan_IDs [, | - ] } | {packet-type {good | bad}} | {address-type {unicast | multicast | broadcast} [rx | tx | both]} |
アクセス リストに基づいて、フィルタ スニッフィングを指定します。 session_number には、この SPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 アクセス リストには、名前または数値の ID のいずれかを指定できます。 name には、IP アクセス リスト名を指定します。 id には、標準の <1 ~ 199> または拡張の <1300 ~ 2699> の IP アクセス リストを指定します。 |
(注) IP アクセス リストは、コンフィギュレーション モードで作成される必要があります(「ACL によるネットワーク セキュリティの設定」の章を参照)。
次に、SPAN セッション上で IP アクセス グループ 10 を設定し、アクセス リストが設定されたことを確認する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# monitor session 1 source interface fa6/1 both
Switch(config)# monitor session 1 destination interface fa6/2
Switch(config)# monitor session 1 filter vlan 1
Switch(config)# monitor session 1 filter ip access-group 10
Destination Ports : Fa6/2
RSPAN の設定
ここでは、スイッチ上で RSPAN を設定する手順について説明します。具体的な設定情報は次のとおりです。
• 「RSPAN 設定時の注意事項」
• 「RSPAN セッションの作成」
• 「RSPAN 宛先セッションの作成」
• 「RSPAN 宛先セッションの作成および入力トラフィックのイネーブル化」
• 「RSPAN セッションからのポートの削除」
• 「モニタリングする VLAN の指定」
• 「フィルタリングする VLAN の指定」
RSPAN 設定時の注意事項
RSPAN の設定時には、次の注意事項に従ってください。
(注) RSPAN VLAN には特殊なプロパティがあるので、RSPAN VLAN として使用する VLAN をネットワーク上に一部確保します。これらの VLAN にはアクセス ポートを割り当てないでください。
(注) RSPAN トラフィックに出力 ACL を適用して、特定のパケットを選択的にフィルタリングまたはモニタリングできます。これらの ACL は、RSPAN 送信元スイッチ内の RSPAN VLAN 上で指定します。
• RSPAN セッションは、「SPAN と RSPAN のセッション限度」に記載された限度内であれば、SPAN セッションと共存できます。
• RSPAN の設定では、送信元ポートと宛先ポートをネットワーク内の複数のスイッチに分散させることができます。
• RSPAN は、BPDU パケット モニタリングまたはその他のレイヤ2スイッチ プロトコルをサポートしていません。
• RSPAN VLAN はトランク ポート上にだけ設定されており、アクセス ポート上には設定されていません。不要なトラフィックが RSPAN VLAN に発生するのを防ぐため、参加しているすべてのスイッチで RSPAN VLAN 機能がサポートされていることを確認してください。RSPAN VLAN 上のアクセス ポートは自動的にディセーブルになります。
• RSPAN VLAN を作成してから、RSPAN 送信元または宛先セッションを設定します。
• VTP および VTP プルーニングがイネーブルの場合、RSPAN トラフィックはトランクでプルーニングされ、ネットワーク上で 1005 未満の VLAN ID が RSPAN トラフィックの不要なフラッディングを防止できます。
• RSPAN トラフィックは RSPAN VLAN のネットワーク上で伝送されるため、ミラーリングされたパケットの元の VLAN アソシエーションは失われます。したがって、RSPAN では、IDS デバイスからユーザが指定した単一 VLAN へのトラフィック転送だけをサポートしています。
RSPAN セッションの作成
最初に、RSPAN に参加させる予定のスイッチのいずれにおいても、RSPAN セッション用として 存在していない RSPAN VLAN を作成します。ネットワークで VTP がイネーブルになっている場合、1 つのスイッチで RSPAN VLAN を作成して、VTP がその RSPAN VLAN を、VLAN ID が 1005 未満の、VTP ドメイン内の他のスイッチに伝播させることができます。
VTP プルーニングを使用して、RSPAN トラフィックのフローを効率化するか、または RSPAN トラフィックを伝送する必要のないすべてのトランクから、RSPAN VLAN を手動で削除します。
RSPAN 送信元セッションを開始し、送信元(モニタ対象)ポートおよび宛先 RSPAN VLAN を指定するには、次の作業を行います。
|
|
|
ステップ 1 |
Switch# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# no monitor session { session_number | all | local | remote } |
セッションの既存の RSPAN 設定をクリアします。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 すべての RSPAN セッションを削除するには all を、すべてのローカル セッションを削除するには local を、すべてのリモート SPAN セッションを削除するには remote を指定します。 |
ステップ 3 |
Switch(config)# vlan {remote_vlan_ID} |
リモート VLAN ID を指定します。 この VLAN ID がユーザ トラフィックで使用されていないことを確認してください。 |
ステップ 4 |
Switch(config-vlan)# remote-span |
VLAN ID をリモート VLAN ID に変換します。 |
ステップ 5 |
Switch(config-vlan)# exit |
グローバル コンフィギュレーション モードに戻ります。 |
ステップ 6 |
Switch(config)# [no] monitor session { session_number } { source { interface <interface_list> | { vlan vlan_IDs | cpu [queue queue_ids]} [ rx | tx | both ] |
RSPAN セッションおよび送信元ポート(モニタ対象ポート)を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-list には、モニタリングする送信元ポートを指定します。有効なインターフェイスには、物理インターフェイスとポートチャネル論理インターフェイス( port-channel port-channel-number ) があります。 vlan-IDs には、1 つまたは複数のモニタ対象送信元 VLAN を指定します。有効な VLAN の範囲は、1 ~ 4094 です。 queue_ids には、一連の CPU キュー識別番号(1 ~ 32)または名前指定のキューのどちらかを指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送信(tx)と受信(rx)の両方のトラフィックを送信します。追加の送信元ポートは、受信トラフィックだけをモニタリングします。 • rx - 受信トラフィックをモニタリングします。 • tx - 送信トラフィック をモニタリングします。 • both - 送受信両方のトラフィック(双方向) をモニタリングします。 |
ステップ 7 |
Switch(config)# monitor session session_number destination remote vlan vlan-ID |
RSPAN セッションと宛先リモート VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan-ID には、モニタ対象トラフィックを宛先ポートに伝送する RSPAN VLAN を指定します。 |
ステップ 8 |
Switch(config)# end |
特権 EXEC モードに戻ります。 |
ステップ 9 |
Switch# show monitor [ session session_number ] |
入力を確認します。 |
ステップ 10 |
Switch# copy running-config startup-config |
(任意)コンフィギュレーション ファイルに設定を保存します。 |
次に、セッション 1 の既存の RSPAN 設定をクリアし、複数の送信元インターフェイスをモニタリングする RSPAN セッション 1 を設定し、宛先 RSPAN VLAN を設定する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# no monitor session 1
Switch(config)# monitor session 1 source interface fastEthernet3/10 tx
Switch(config)# monitor session 1 source interface fastEthernet3/2 rx
Switch(config)# monitor session 1 source interface fastEthernet3/3 rx
Switch(config)# monitor session 1 source interface port-channel 102 rx
Switch(config)# monitor session 1 destination remote vlan 901
RSPAN 宛先セッションの作成
RSPAN 宛先セッションを作成し、送信元 RSPAN VLAN および宛先ポートを指定するには、次の作業を行います。
|
|
|
ステップ 1 |
Switch# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# monitor session session_number source remote vlan vlan-ID |
RSPAN セッションと送信元 RSPAN VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan-IDs には、モニタリングする送信元 RSPAN VLAN を指定します。 |
ステップ 3 |
Switch(config)# [no] monitor session < session_number > destination interface < interface > [ encapsulation { isl | dot1q }] [ ingress [ vlan vlan_IDs ] [learning ]] |
RSPAN セッションと宛先インターフェイスを指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface には、宛先インターフェイスを指定します。 vlan_IDs には、必要に応じて、入力 VLAN を指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送受信両方のトラフィックを送信します。追加の送信元ポートは、受信( rx )トラフィックだけをモニタリングします。 • isl - ISL カプセル化を使用します。 • dot1q - 802.1Q カプセル化を使用します。 |
ステップ 4 |
Switch(config)# end |
特権 EXEC モードに戻ります。 |
ステップ 5 |
Switch# show monitor [ session session_number ] |
入力を確認します。 |
ステップ 6 |
Switch# copy running-config startup-config |
(任意)コンフィギュレーション ファイルに設定を保存します。 |
次に、VLAN 901 を送信元リモート VLAN に、ポート 5 を宛先インターフェイスに設定する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# monitor session 1 source remote vlan 901
Switch(config)# monitor session 1 destination interface gigabitEthernet1/2
RSPAN 宛先セッションの作成および入力トラフィックのイネーブル化
RSPAN 宛先セッションを作成して、送信元 RSPAN VLAN を指定し、ネットワーク セキュリティ デバイス(Cisco IDS センサー装置など)用に宛先ポート上の入力トラフィックをイネーブルにするには、次の作業を行います。
|
|
|
ステップ 1 |
Switch# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# monitor session { session_number } source vlan vlan_IDs |
RSPAN セッションと送信元 RSPAN VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan_IDs には、1 つまたは複数のモニタ対象送信元 VLAN を指定します。有効な VLAN の範囲は、1 ~ 4094 です。 |
ステップ 3 |
Switch(config)# [ monitor session session_number destination interface interface-id [ encapsulation { dot1q [ ingress vlan vlan id ] | ISL [ ingress ]} | ingress vlan vlan id ] [learning]] |
RSPAN セッション、宛先ポート、パケット カプセル化、および入力側 VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-id には、宛先ポートを指定します。有効なインターフェイスは物理インターフェイスなどです。 (任意)RSPAN 宛先ポート上で送信されるパケットのカプセル化を指定します。カプセル化タイプが指定されていない場合、すべての送信パケットはネイティブ形式(タグなし)で送信されます。 • タグなしのネイティブ VLAN パケットと、他のすべての dot1q タグ付き VLAN tx パケットを送信する場合は、 encapsulation dot1q と入力します。 • ISL を使用してカプセル化されたすべての tx パケットを送信する場合は、 encapsulation isl を入力します。 (任意)RSPAN 宛先ポート上で入力トラフィックの転送をイネーブルにするか否かを指定します。 • ネイティブ(タグなし)および dot1q カプセル化の場合、 ingress vlan vlan id を指定し、 vlan id をネイティブ VLAN として入力転送をイネーブルにします。また、 vlan id は、送信パケット用のネイティブ VLAN としても使用されます。 • ISL カプセル化を使用する場合、 ingress を指定して入力転送をイネーブルにします。 • 入力がイネーブルの場合、learning を指定して学習をイネーブルにします。 |
ステップ 4 |
|
特権 EXEC モードに戻ります。 |
ステップ 5 |
Switch#
show monitor [
session
session_number ]
|
入力を確認します。 |
ステップ 6 |
Switch#
copy running-config startup-config
|
(任意)コンフィギュレーション ファイルに設定を保存します。 |
次に、送信元リモート VLAN として VLAN 901 を設定し、802.1Q カプセル化をサポートするセキュリティ デバイスを使用して VLAN 5 上の入力トラフィック用の宛先ポートを設定する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# monitor session 1 source remote vlan 901
Switch(config)# monitor session 1 destination interface gigabitEthernet1/2 ingress vlan 5
RSPAN セッションからのポートの削除
セッションの RSPAN 送信元としてのポートを削除するには、次の作業を行います。
|
|
|
ステップ 1 |
Switch#
configure terminal
|
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# [no]
monitor session {
session_number } {
source {
interface interface_list | {
vlan
vlan_IDs | cpu
[queue queue_ids]} [
rx |
tx |
both ]
|
削除する RSPAN 送信元ポート(モニタ対象ポート)の特性を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-list には、モニタリングを中止する送信元ポートを指定します。有効なインターフェイスには、物理インターフェイスとポートチャネル論理インターフェイス( port-channel port-channel-number )があります。 vlan_IDs には、1 つまたは複数のモニタ対象送信元 VLAN を指定します。有効な VLAN の範囲は、1 ~ 4094 です。 queue_ids には、一連の CPU キュー識別番号(1 ~ 32)または名前指定のキューのどちらかを指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送信(tx)と受信(rx)の両方のトラフィックを送信します。追加の送信元ポートは、受信トラフィックだけをモニタリングします。 • rx - 受信トラフィックをモニタリングします。 • tx - 送信トラフィック をモニタリングします。 • both - 送受信両方のトラフィック(双方向) をモニタリングします。 |
ステップ 3 |
|
特権 EXEC モードに戻ります。 |
ステップ 4 |
Switch#
show monitor [
session
session_number ]
|
入力を確認します。 |
ステップ 5 |
Switch#
copy running-config startup-config
|
(任意)コンフィギュレーション ファイルに設定を保存します。 |
次に、RSPAN セッション 1 の RSPAN 送信元としてのポート 1 を削除する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# no monitor session 1 source interface gigabitEthernet1/1
次に、双方向モニタ用に設定されたポート 1 上での受信トラフィック モニタリングをディセーブルにする例を示します。
Switch(config)# no monitor session 1 source interface gigabitEthernet1/1 rx
ポート 1 上での受信トラフィックのモニタはディセーブルになりますが、このポートから送信されたトラフィックは引き続きモニタリングされます。
モニタリングする VLAN の指定
VLAN のモニタは、ポートのモニタリングと類似しています。モニタリングする VLAN を指定するには、次の作業を行います。
|
|
|
ステップ 1 |
Switch# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# no monitor session { session_number | all | local | remote } |
セッションの既存の SPAN 設定をすべてクリアします。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 すべての SPAN セッションを削除するには all を、すべてのローカル セッションを削除するには local を、すべての RSPAN セッションを削除するには remote を指定します。 |
ステップ 3 |
Switch(config)# [no] monitor session { session_number } { source { interface interface_list | { vlan vlan_IDs | cpu [queue queue_ids]} [ rx | tx | both ] |
RSPAN セッションおよび送信元 VLAN(モニタ対象ポート)を指定します。モニタリングできるのは、VLAN 上の受信( rx )トラフィックだけです session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-list には、モニタリングを中止する送信元ポートを指定します。有効なインターフェイスには、物理インターフェイスとポートチャネル論理インターフェイス( port-channel port-channel-number )があります。 vlan-IDs の範囲は 1 ~ 4094 です。先行 0 は入力しないでください。 queue_ids には、送信元キューを指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送信(tx)と受信(rx)の両方のトラフィックを送信します。追加の送信元ポートは、受信トラフィックだけをモニタリングします。 • rx - 受信トラフィックをモニタリングします。 • tx - 送信トラフィック をモニタリングします。 • both - 送受信両方のトラフィック(双方向) をモニタリングします。 |
ステップ 4 |
Switch(config)# monitor session session_number destination remote vlan vlan-id |
RSPAN セッションと宛先リモート VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan-id には、モニタ対象トラフィックを宛先ポートに伝送する RSPAN VLAN を指定します。 |
ステップ 5 |
Switch(config)# end |
特権 EXEC モードに戻ります。 |
ステップ 6 |
Switch# show monitor [ session session_number ] |
入力を確認します。 |
ステップ 7 |
Switch# copy running-config startup-config |
(任意)コンフィギュレーション ファイルに設定を保存します。 |
RSPAN セッションから 1 つまたは複数の送信元 VLAN を削除するには、 no monitor session session_number source vlan vlan-id rx グローバル コンフィギュレーション コマンドを使用します。
次に、RSPAN セッション 2 の既存の設定をすべてクリアし、VLAN 1 ~ 3 に所属するすべてのポート上で受信トラフィックをモニタリングする RSPAN セッション 2 を設定し、宛先リモート VLAN 902 に送信する例を示します。この設定は次に、VLAN 10 に所属するすべてのポートで受信トラフィックをモニタリングするように変更されています。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# no monitor session 2
Switch(config)# monitor session 2 source vlan 1 - 3 rx
Switch(config)# monitor session 2 destination remote vlan 902
Switch(config)# monitor session 2 source vlan 10 rx
フィルタリングする VLAN の指定
RSPAN 送信元トラフィックを特定の VLAN に制限するには、次の作業を行います。
|
|
|
ステップ 1 |
Switch# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Switch(config)# no monitor session { session_number | all | local | remote } |
セッションの既存の SPAN 設定をすべてクリアします。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 すべての SPAN セッションを削除するには all を、すべてのローカル セッションを削除するには local を、すべての RSPAN セッションを削除するには remote を指定します。 |
ステップ 3 |
Switch(config)# [no] monitor session { session_number } { source { interface interface_list | { vlan vlan_IDs | cpu [queue queue_ids]} [ rx | tx | both ] |
送信元ポート(モニタ対象ポート)と RSPAN セッションの特性を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 interface-list には、モニタリングする送信元ポートを指定します。指定されたインターフェイスは、常にトランク ポートとして設定されている必要があります。 vlan-IDs の範囲は 1 ~ 4094 です。先行 0 は入力しないでください。 queue_ids には、送信元キューを指定します。 (任意) [ , | - ] には、一連のまたは一定範囲のインターフェイスを指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 (任意)モニタリングするトラフィックの方向を指定します。トラフィックの方向を指定しない場合、送信元インターフェイスは、送信(tx)と受信(rx)の両方のトラフィックを送信します。追加の送信元ポートは、受信トラフィックだけをモニタリングします。 • rx - 受信トラフィックをモニタリングします。 • tx - 送信トラフィック をモニタリングします。 • both - 送受信両方のトラフィック(双方向) をモニタリングします。 |
ステップ 4 |
Switch(config)# monitor session session_number filter vlan vlan-id [ , | - ] |
RSPAN 送信元トラフィックを特定の VLAN に制限します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan-id の範囲は 1 ~ 4094 です。先行 0 は入力しないでください。 (任意)カンマ( , )を使用して一連の VLAN を指定するか、ハイフン( - )を使用して一定範囲の VLAN を指定します。カンマのあとにはスペースを入れます。ハイフンの前後にはスペースを 1 つ入れます。 |
ステップ 5 |
Switch(config)# monitor session session_number destination remote vlan vlan-id |
RSPAN セッションと宛先リモート VLAN を指定します。 session_number には、この RSPAN セッションで識別されるセッション番号を指定します(1 ~ 6)。 vlan-id には、モニタ対象トラフィックを宛先ポートに伝送する RSPAN VLAN を指定します。 |
ステップ 6 |
Switch(config)# end |
特権 EXEC モードに戻ります。 |
ステップ 7 |
Switch# show monitor [ session session_number ] |
入力を確認します。 |
ステップ 8 |
Switch#
copy running-config startup-config
|
(任意)コンフィギュレーション ファイルに設定を保存します。 |
トランク ポート上のすべての VLAN をモニタリングするには、 no monitor session session_number filter vlan グローバル コンフィギュレーション コマンドを使用します。
次に、RSPAN セッション 2 の既存の設定をすべてクリアし、トランク ポート 4 上での受信したトラフィックをモニタリングする RSPAN セッション 2 を設定し、VLAN 1 ~ 5 および 9 のトラフィックだけを、宛先リモート VLAN 902 に送信する例を示します。
Switch# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)# no monitor session 2
Switch(config)# monitor session 2 source interface gigabitethernet1/1 rx
Switch(config)# monitor session 2 filter vlan 1 - 5 , 9
Switch(config)# monitor session 2 destination remote vlan 902