SPAN چیست؟ آموزش Port Mirroring در سوئیچ سیسکو

SPAN چیست؟ SPAN یا Switched Port Analyzer قابلیتی در سوئیچ‌های Cisco است که یک کپی از ترافیک ورودی، خروجی یا هر دو را از یک یا چند پورت یا VLAN انتخاب‌شده به پورت مقصد می‌فرستد تا بتوان بسته‌ها را با ابزاری مانند Wireshark تحلیل کرد. در Local SPAN، مبدأ و مقصد روی یک سوئیچ یا Stack قرار دارند؛ اما RSPAN ترافیک مانیتورینگ را از طریق RSPAN VLAN بین سوئیچ‌ها منتقل می‌کند.

⏲ زمان تخمینی مطالعه: 20 دقیقه

برای تنظیم Local SPAN، باید Source، Destination و جهت ترافیک را مشخص کنید؛ سپس وضعیت Session و دریافت واقعی بسته‌ها را بررسی کنید. دستورهای قابل استفاده و محدودیت‌های پیکربندی به مدل سوئیچ و نسخه نرم‌افزاری آن بستگی دارند.

SPAN چیست؟

SPAN برای کپی کردن ترافیک انتخاب‌شده در سوئیچ به کار می‌رود. این قابلیت زمانی مفید است که اطلاعات معمول Interfaceها برای پیدا کردن علت اختلال کافی نباشند و لازم باشد بسته‌های واقعی شبکه بررسی شوند.

فرض کنید یکی از کاربران نمی‌تواند به سرور متصل شود. وضعیت کابل، تنظیمات IP و آمار Interfaceها را بررسی کرده‌اید، اما علت مشکل هنوز مشخص نیست. در چنین شرایطی، می‌توانید پورت متصل به کامپیوتر کاربر را به‌عنوان منبع انتخاب کنید و نسخه‌ای از ترافیک آن را به پورت دیگری بفرستید تا در Wireshark بررسی شود.

در این روش سه جزء اصلی وجود دارد:

• Source: پورت یا VLAN انتخاب‌شده برای مانیتورینگ.
• Destination: پورتی که نسخه کپی‌شده ترافیک را دریافت می‌کند.
• Network Analyzer: دستگاهی مانند کامپیوتر مجهز به Wireshark که بسته‌ها را دریافت و تحلیل می‌کند.

ترافیک اصلی طبق عملکرد عادی سوئیچ به مسیر خود ادامه می‌دهد و نسخه کپی‌شده به پورت Destination فرستاده می‌شود. بنابراین دستگاه تحلیلگر برای مشاهده بسته‌ها در مسیر اصلی ارتباط قرار نمی‌گیرد.

نمای ساده مسیر ترافیک:

SPAN در چه مواقعی استفاده می‌شود؟

وقتی آمار Interfaceها علت اختلال را مشخص نمی‌کنند، می‌توان از SPAN برای مشاهده بسته‌های ردوبدل‌شده در یک بخش مشخص از شبکه استفاده کرد. این کار به مدیر شبکه کمک می‌کند درخواست‌ها و پاسخ‌ها را بررسی کند و سرنخ‌های بیشتری درباره محل مشکل به دست آورد.

کاربردهای متداول SPAN عبارت‌اند از:

• ثبت بسته‌ها در Wireshark: ذخیره ترافیک انتخاب‌شده برای بررسی جزئیات بسته‌ها.
• عیب‌یابی ارتباط کلاینت و سرور: بررسی اینکه درخواست از کلاینت خارج شده و آیا پاسخی در محدوده Capture مشاهده می‌شود.
• بررسی مشکلات یک برنامه: تحلیل تبادل بسته‌ها بین Application و سرور آن.
• بررسی ترافیک مشکوک: در اختیار قرار دادن نسخه‌ای از بسته‌ها برای تحلیل امنیتی.
• مانیتورینگ یک پورت یا VLAN: محدود کردن بررسی به بخشی از شبکه که برای عیب‌یابی اهمیت دارد.

مثلاً اگر می‌خواهید بدانید یک کلاینت درخواست خود را به سرور می‌فرستد یا خیر، می‌توانید پورت متصل به آن را مانیتور کنید. با این حال، مشاهده نشدن پاسخ در Capture به‌تنهایی ثابت نمی‌کند سرور پاسخی نداده است. ممکن است بسته پاسخ در محدوده انتخاب‌شده قرار نداشته باشد یا محدودیتی در مسیر مانیتورینگ وجود داشته باشد.

نتیجه تحلیل به Source، جهت ترافیک و محدودیت‌های تجهیزات بستگی دارد. همچنین ترافیک یک پورت نماینده تمام ارتباطات شبکه نیست.

Source Port و Destination Port در SPAN چیست؟

Source Port پورتی است که ترافیک آن برای مانیتورینگ انتخاب می‌شود. Destination Port نسخه کپی‌شده ترافیک را دریافت می‌کند و دستگاه تحلیلگر به آن متصل است.

فرض کنید کامپیوتر کاربر به پورت GigabitEthernet1/0/1 وصل است و می‌خواهید ترافیک آن را با Wireshark بررسی کنید. در این مثال، پورت اول Source و پورت GigabitEthernet1/0/10 مقصد Capture است؛ البته به شرطی که مدل سوئیچ از این پیکربندی پشتیبانی کند.

هر SPAN Session با یک شماره مشخص می‌شود. مثلاً عدد 1 در دستور monitor session 1 شناسه Session است، نه شماره پورت شبکه.

پورت Destination را پیش از پیکربندی با دقت انتخاب کنید. در بسیاری از پیاده‌سازی‌های SPAN، این پورت به دریافت ترافیک مانیتورینگ اختصاص پیدا می‌کند و ممکن است برای Forwarding عادی قابل استفاده نباشد. محدودیت دقیق آن را باید در مستندات مدل سوئیچ بررسی کنید.

در SPAN می‌توان Port را مانیتور کرد یا VLAN را؟

در SPAN می‌توان یک یا چند Interface یا یک VLAN را به‌عنوان منبع ترافیک انتخاب کرد. انتخاب روش به محدوده‌ای بستگی دارد که قصد بررسی آن را دارید.

Port-based SPAN برای مانیتور کردن پورت‌های مشخص استفاده می‌شود. اگر مشکل به یک کامپیوتر مربوط است، انتخاب پورت متصل به همان دستگاه می‌تواند ترافیک غیرمرتبط را کاهش دهد.

VLAN-based SPAN که با نام VSPAN نیز شناخته می‌شود، امکان انتخاب VLAN به‌عنوان منبع را فراهم می‌کند. این روش برای بررسی ترافیک یک بخش از شبکه مناسب است؛ البته بسته‌های قابل مشاهده و محدودیت‌های پیکربندی به مدل سوئیچ بستگی دارند.

انتخاب Source Port یا Source VLAN

فرض کنید در شبکه سازمان، کاربران به یک سرور داخلی متصل می‌شوند و فقط یکی از کاربران با تأخیر یا قطعی ارتباط مواجه است.

• اگر مشکل به یک کاربر مشخص مربوط است: ابتدا پورت سوئیچ متصل به کامپیوتر همان کاربر را به‌عنوان Source Port در نظر بگیرید. این انتخاب محدوده بررسی را هدفمندتر می‌کند.
• اگر مشکل چند کاربر یک VLAN را درگیر کرده است: انتخاب Source VLAN می‌تواند برای بررسی ترافیک آن بخش مناسب‌تر باشد؛ مشروط به اینکه سوئیچ از این حالت پشتیبانی کند و محدودیت‌های آن بررسی شده باشد.
• اگر چند پورت پرترافیک را انتخاب می‌کنید: ظرفیت Destination و توان دریافت و ذخیره بسته‌ها در سیستم تحلیلگر را هم بررسی کنید.

برای انتخاب روش مناسب، فقط به تعداد دستگاه‌ها توجه نکنید؛ جهت ترافیک موردنیاز، حجم بسته‌ها و قابلیت‌های مدل سوئیچ هم اهمیت دارند.

یک نکته فنی مهم: در راهنمای Cisco برای Catalyst 9300 با IOS XE 17.2.x، ترکیب Source Port و Source VLAN در یک SPAN Session مجاز نیست. این محدودیت را نباید بدون بررسی مستندات به همه مدل‌ها و نسخه‌های Cisco تعمیم داد.

Local SPAN چیست؟

Local SPAN حالتی از SPAN است که Source و Destination آن روی یک سوئیچ یا Switch Stack قرار دارند. برای این کار نیازی نیست ترافیک مانیتورینگ از طریق VLAN اختصاصی بین سوئیچ‌های مختلف منتقل شود.

فرض کنید یک سوئیچ Cisco دارید و کامپیوتر کاربر به پورت اول آن متصل است. لپ‌تاپ تحلیلگر نیز به پورت دهم همان سوئیچ وصل می‌شود. با تعریف پورت اول به‌عنوان Source و پورت دهم به‌عنوان Destination، می‌توانید نسخه‌ای از ترافیک انتخاب‌شده را در Wireshark مشاهده کنید.

تفاوت SPAN و RSPAN چیست؟

تفاوت اصلی Local SPAN و RSPAN در محل قرارگیری Source و Destination و نحوه انتقال ترافیک مانیتورینگ است. در Local SPAN هر دو در یک سوئیچ یا Stack قرار دارند، اما RSPAN برای انتقال ترافیک بین سوئیچ‌های مختلف طراحی شده است.

برای استفاده از RSPAN، علاوه بر تعیین منبع و مقصد، باید RSPAN VLAN و مسیر عبور آن بین سوئیچ‌ها به‌درستی تنظیم شده باشند. جزئیات پیکربندی به مدل سوئیچ و نسخه نرم‌افزار بستگی دارد؛ بنابراین پیش از اجرا باید راهنمای رسمی همان پلتفرم بررسی شود.

در شرایطی که ابزار تحلیل ترافیک به سوئیچ دیگری متصل است، می‌توان از RSPAN برای انتقال ترافیک مانیتورینگ بین سوئیچ‌ها استفاده کرد. برای آشنایی با مراحل تنظیم این قابلیت، راهنمای آموزش پیکربندی Remote SPAN را مطالعه کنید.

تفاوت SPAN، RSPAN و ERSPAN چیست؟

این سه روش برای در اختیار قرار دادن نسخه‌ای از ترافیک شبکه جهت تحلیل استفاده می‌شوند، اما شیوه انتقال آن‌ها متفاوت است.

• Local SPAN: کپی ترافیک به Destination در همان سوئیچ یا Stack.
• RSPAN: انتقال ترافیک مانیتورینگ بین سوئیچ‌ها با استفاده از RSPAN VLAN.
• ERSPAN: انتقال ترافیک مانیتورینگ به‌صورت کپسوله‌شده روی بستر IP، با GRE، در پلتفرم‌های پشتیبانی‌شده.

کدام روش برای مانیتورینگ شبکه مناسب‌تر است؟

برای انتخاب روش مناسب، ابتدا مشخص کنید سیستم تحلیلگر در کجا قرار دارد و ترافیک باید چه مسیری را طی کند.

این راهنما انتخاب اولیه را ساده می‌کند؛ اما پیش از اجرا باید پشتیبانی پلتفرم، محدودیت Sessionها و ظرفیت مقصد بررسی شود. اگر ابزار تحلیل به همان سوئیچ متصل است، Local SPAN معمولاً ساده‌ترین گزینه است. اگر مقصد روی سوئیچ دیگری قرار دارد، RSPAN یا ERSPAN را با توجه به زیرساخت شبکه و قابلیت تجهیزات بررسی کنید.

آموزش کانفیگ SPAN در سوئیچ Cisco

برای اجرای دستورات پیکربندی SPAN، ابتدا باید از طریق یکی از روش‌های مناسب مانند اتصال کنسولی یا SSH به سوئیچ دسترسی پیدا کنید. روش‌های مختلف برقراری ارتباط با دستگاه در مقاله نرم‌افزار و روش‌های مختلف اتصال به سوئیچ سیسکو توضیح داده شده‌اند.

برای پیکربندی Local SPAN باید منبع ترافیک، پورت مقصد و شماره Session را مشخص کنید. در مثال زیر ترافیک پورت GigabitEthernet1/0/1 برای بررسی در سیستمی که به GigabitEthernet1/0/10 متصل است کپی می‌شود.

چطور فقط ترافیک ورودی یا خروجی را در SPAN Mirror کنیم؟

برای محدود کردن Capture می‌توان جهت ترافیک Source را مشخص کرد. در این اصطلاحات، RX و TX از دید Interface تعریف می‌شوند:

• RX: بسته‌هایی که از طریق Interface وارد سوئیچ می‌شوند.
• TX: بسته‌هایی که از طریق Interface از سوئیچ خارج می‌شوند.
• Both: هر دو جهت ترافیک.

مثلاً اگر Source پورت متصل به کامپیوتر باشد، RX برای مشاهده بسته‌های ورودی از سمت کامپیوتر به سوئیچ و TX برای مشاهده بسته‌های خروجی از سوئیچ به سمت کامپیوتر به کار می‌رود.

در پلتفرم‌های پشتیبانی‌شده، نمونه دستور انتخاب ترافیک ورودی به این صورت است:

Switch(config)# monitor session 1 source interface gigabitEthernet1/0/1 rx

پیش از اجرا، نحو معتبر و گزینه‌های قابل استفاده را در راهنمای همان مدل بررسی کنید. اگر به هر دو جهت نیاز دارید، تنظیمات Session را مطابق مستندات سوئیچ انجام دهید.

محدودیت‌های SPAN و ظرفیت Capture

پیکربندی صحیح SPAN به‌تنهایی تضمین نمی‌کند که همه بسته‌های انتخاب‌شده در Wireshark دیده شوند. ظرفیت پورت مقصد، حجم ترافیک منبع و توان دریافت و ذخیره بسته‌ها در سیستم تحلیلگر بر نتیجه Capture تأثیر می‌گذارند.

۱. اشباع ظرفیت پورت مقصد (Oversubscription)

فرض کنید چند پورت منبع را مانیتور می‌کنید و مجموع ترافیک آن‌ها از ظرفیت پورت Destination بیشتر می‌شود. در این حالت، ممکن است پورت مقصد نتواند همه بسته‌های کپی‌شده را دریافت کند و بخشی از ترافیک در مسیر مانیتورینگ از دست برود.

برای مثال، اگر ترافیک چند منبع به پورتی با ظرفیت 1 Gbps ارسال شود، مجموع نرخ ترافیک کپی‌شده و الگوی Burst آن اهمیت دارد. حتی اگر میانگین نرخ پایین‌تر از ظرفیت باشد، افزایش کوتاه‌مدت ترافیک می‌تواند باعث پرشدن بافر و Drop شدن بسته‌ها شود.

این مثال یک اصل ظرفیت را نشان می‌دهد؛ ظرفیت واقعی قابل استفاده و رفتار بافر به مدل سوئیچ، پیکربندی و شرایط ترافیک بستگی دارد. بنابراین نباید صرفاً با مقایسه میانگین پهنای باند، کامل بودن Capture را قطعی فرض کرد.

۲. محدودیت سیستم تحلیلگر

بسته‌ها باید پس از خروج از پورت Destination توسط کارت شبکه، سیستم‌عامل و نرم‌افزار Capture دریافت و پردازش شوند. در نرخ‌های بالای ترافیک، توان پردازشی سیستم، کارت شبکه، بافر Capture و فضای ذخیره‌سازی هم می‌توانند در کامل بودن داده‌های ثبت‌شده مؤثر باشند.

در نتیجه، اگر بخشی از بسته‌ها در Wireshark دیده نمی‌شود، فقط تنظیمات SPAN را بررسی نکنید؛ ظرفیت پورت مقصد و وضعیت سیستم تحلیلگر را نیز در نظر بگیرید.

۳. تفاوت Packet Loss در مسیر مانیتورینگ با افت بسته در شبکه اصلی

از دست رفتن بسته‌ها در Capture لزوماً به معنی Drop شدن همان بسته‌ها در مسیر اصلی شبکه نیست. SPAN یک نسخه از ترافیک را برای تحلیل فراهم می‌کند و محدودیت‌های مسیر مانیتورینگ می‌تواند باعث شود بخشی از نسخه‌های کپی‌شده به سیستم تحلیلگر نرسند.

برای نمونه، اگر پورت Destination با حجم بالای ترافیک روبه‌رو شود، ممکن است در Capture بعضی بسته‌ها وجود نداشته باشند، درحالی‌که این موضوع به‌تنهایی ثابت نمی‌کند انتقال همان بسته‌ها در شبکه اصلی هم با مشکل مواجه شده است.

برای تشخیص افت بسته در شبکه اصلی، شواهد دیگری مانند آمار Interfaceها، شمارنده‌های Drop، وضعیت مسیر و داده‌های سایر نقاط شبکه را نیز بررسی کنید.

۴. انتخاب محدوده مناسب برای مانیتورینگ

برای کاهش احتمال ازدست‌رفتن بسته‌ها:

• فقط پورت‌ها یا VLANهای مرتبط با مسئله را انتخاب کنید.
• در صورت امکان، به‌جای چند منبع پرترافیک، از یک Source هدفمند شروع کنید.
• جهت RX، TX یا Both را مطابق سؤال عیب‌یابی انتخاب کنید.
• ظرفیت پورت Destination و توان سیستم تحلیلگر را بررسی کنید.
• در صورت مشاهده Capture ناقص، تنظیمات SPAN و آمار مرتبط با پورت مقصد را دوباره بررسی کنید.

چطور ترافیک SPAN را با Wireshark بررسی کنیم؟

بعد از پیکربندی Session، سیستم تحلیلگر را به Destination Port متصل کنید و دریافت بسته‌ها را در Wireshark بررسی کنید.

مراحل کار به این ترتیب است:

1. SPAN Session را با Source و Destination موردنظر ایجاد کنید.
2. سیستم تحلیلگر را به پورت Destination وصل کنید.
3. Wireshark را اجرا کنید.
4. کارت شبکه متصل به Destination را انتخاب کنید.
5. Capture را شروع کنید.
6. در صورت نیاز، Display Filter مناسب را برای محدود کردن بسته‌های نمایش‌داده‌شده به کار ببرید.

برای محدود کردن بسته‌های نمایش‌داده‌شده، می‌توانید از Display Filter مناسب در Wireshark استفاده کنید. این فیلتر فقط نحوه نمایش بسته‌های Captureشده را محدود می‌کند و بسته‌ای را که دریافت نشده است، به Capture اضافه نمی‌کند.

Wireshark بین دو نوع فیلتر تفاوت می‌گذارد:

• Capture Filter: بسته‌هایی را که هنگام Capture ثبت می‌شوند، بر اساس شرط انتخاب می‌کند.
• Display Filter: بسته‌های ثبت‌شده را برای نمایش محدود می‌کند؛ بسته‌های پنهان‌شده همچنان در Capture باقی می‌مانند.

برای مثال، اگر Capture انجام شده و فیلتر نمایشی tcp را وارد کنید، Wireshark فقط بسته‌های TCP را در نمای فعلی نشان می‌دهد. اگر بسته‌ای از ابتدا دریافت یا ثبت نشده باشد، تغییر Display Filter آن را ایجاد نمی‌کند.

اگر هیچ بسته‌ای نمایش داده نمی‌شود، پیش از تغییر تنظیمات نرم‌افزار، Source، جهت ترافیک، وضعیت Session و Interface انتخاب‌شده در Wireshark را بررسی کنید.

خطاهای رایج هنگام تنظیم SPAN در Cisco

اگر Capture نتیجه موردنظر را نشان نمی‌دهد، بهتر است بررسی را از تنظیمات اصلی شروع کنید و هر بار یک مورد را تغییر دهید.

۱. هیچ Packetی در Wireshark دیده نمی‌شود

موارد زیر را بررسی کنید:

• Source Port یا Source VLAN درست انتخاب شده است؟
• Destination Port به سیستم تحلیلگر متصل است؟
• Session به‌درستی تعریف شده است؟
• جهت RX یا TX با ترافیک موردنظر مطابقت دارد؟
• Interface صحیح در Wireshark انتخاب شده است؟
• هنگام Capture ترافیکی از Source عبور می‌کند؟

اگر موارد بالا مشکلی نداشتند، خروجی واقعی show monitor session 1 و مستندات مدل سوئیچ را برای بررسی محدودیت‌های پیکربندی کنترل کنید.

۲. فقط بخشی از ترافیک دیده می‌شود

ابتدا بررسی کنید Source و جهت ترافیک با بسته‌هایی که می‌خواهید ببینید مطابقت دارند. اگر VLAN را به‌عنوان منبع انتخاب کرده‌اید، محدوده ترافیک قابل مانیتورینگ را در مستندات سوئیچ بررسی کنید.

حجم بسته‌ها نیز اهمیت دارد. اگر چند پورت پرترافیک را انتخاب کرده‌اید، ممکن است ظرفیت Destination برای دریافت همه نسخه‌های کپی‌شده کافی نباشد. محدودیت‌های کارت شبکه و سیستم Capture را هم بررسی کنید.

۳. Destination Port مانند پورت عادی شبکه کار نمی‌کند

اگر پورت مقصد مانند یک پورت عادی شبکه عمل نمی‌کند، ابتدا بررسی کنید که برای SPAN اختصاص داده شده است یا خیر. در بسیاری از پیاده‌سازی‌ها، Destination Port به دریافت ترافیک کپی‌شده اختصاص پیدا می‌کند و رفتار آن با پورت‌های عادی متفاوت است.

سپس وضعیت Interface و محدودیت‌های مربوط به Destination را در مستندات مدل سوئیچ بررسی کنید.

۴. در Capture بسته‌ها از دست می‌روند

اگر حجم ترافیک کپی‌شده از ظرفیت قابل دریافت مقصد بیشتر شود، ممکن است بخشی از بسته‌ها در مسیر مانیتورینگ از دست بروند. در چنین شرایطی، محدود کردن Sourceها یا انتخاب محدوده دقیق‌تر می‌تواند به کاهش حجم Capture کمک کند.

Drop شدن بسته‌ها در Capture به‌تنهایی نشان نمی‌دهد که همان بسته‌ها در مسیر اصلی شبکه نیز Drop شده‌اند. برای تشخیص مشکل شبکه، وضعیت ترافیک اصلی را جداگانه بررسی کنید.

اگر با وجود تنظیم صحیح SPAN، بخشی از بسته‌ها در ابزار تحلیل دیده نمی‌شوند، باید احتمال ازدحام یا افت بسته در مسیر انتقال را نیز بررسی کنید. برای بررسی دقیق‌تر این وضعیت، مقاله تحلیل Packet Drop در سوئیچ سیسکو بدون Error را ببینید.

مسیر پیشنهادی عیب‌یابی

اگر هنوز مشخص نیست مشکل از کدام بخش است، بررسی را با این ترتیب پیش ببرید:

1. هیچ بسته‌ای دیده نمی‌شود: ابتدا Interface انتخاب‌شده در Wireshark و وجود ترافیک در Source را بررسی کنید.
2. ترافیک موردنظر دیده نمی‌شود: Source Port یا VLAN و جهت RX/TX را کنترل کنید.
3. Session ظاهراً درست است اما Capture ناقص است: ظرفیت Destination، حجم منابع انتخاب‌شده و توان سیستم تحلیلگر را بررسی کنید.
4. پورت مقصد رفتار عادی ندارد: محدودیت‌های Destination Port را در مستندات همان مدل بررسی کنید.
5. نتیجه همچنان مبهم است: خروجی واقعی show monitor session 1 را با پیکربندی مورد انتظار تطبیق دهید و در صورت نیاز، Capture را با محدوده کوچک‌تر تکرار کنید.

این ترتیب به تفکیک خطای پیکربندی از محدودیت ظرفیت کمک می‌کند؛ اما به‌تنهایی اثبات نمی‌کند که افت بسته در شبکه اصلی رخ داده یا نداده است.

قبل از فعال کردن SPAN به چه نکاتی توجه کنیم؟

پیش از ایجاد Session، این موارد را بررسی کنید:

• محدوده Source: فقط پورت‌ها یا VLANهای مرتبط با مسئله را انتخاب کنید تا حجم ترافیک غیرضروری افزایش پیدا نکند.
• انتخاب Destination: پورتی را در نظر بگیرید که برای دریافت ترافیک مانیتورینگ قابل استفاده باشد.
• ظرفیت Capture: اگر چند منبع پرترافیک انتخاب شده‌اند، احتمال از دست رفتن بسته‌ها را در نظر بگیرید.
• جهت ترافیک: RX، TX یا Both را بر اساس بسته‌هایی که می‌خواهید مشاهده کنید انتخاب کنید.
• سازگاری تجهیزات: نحو دستورات و محدودیت‌های SPAN را با مدل سوئیچ و نسخه نرم‌افزار تطبیق دهید.
• ثبت تنظیمات: پیش از تغییر، وضعیت فعلی Interfaceها و Sessionها را ثبت کنید تا بررسی تغییرات آسان‌تر شود.
• اعتبار نتیجه: تنظیم درست Session را با دریافت واقعی بسته‌ها در Wireshark تأیید کنید؛ نمایش تنظیمات به‌تنهایی برای تأیید کامل بودن Capture کافی نیست.

چه زمانی استفاده از SPAN انتخاب مناسبی نیست؟

SPAN برای Capture هدفمند و عیب‌یابی مناسب است، اما در بعضی سناریوها باید روش‌های دیگری را هم بررسی کنید:

• وقتی به Capture دائمی و گسترده با ظرفیت مشخص نیاز دارید.
• وقتی حجم ترافیک زیاد است و Destination توان دریافت همه بسته‌ها را ندارد.
• وقتی لازم است ترافیک از چند نقطه شبکه به یک محل تحلیل منتقل شود.
• وقتی به انتقال ترافیک بین سوئیچ‌ها نیاز دارید و RSPAN یا ERSPAN با زیرساخت شما سازگارتر است.

در این شرایط، ابتدا نیازمندی‌های Capture، محل ابزار تحلیل، ظرفیت موردنیاز و قابلیت‌های تجهیزات را مشخص کنید؛ سپس روش مناسب را بر اساس مستندات همان پلتفرم انتخاب کنید.

جمع‌بندی

برای عیب‌یابی شبکه با SPAN، ابتدا مشخص کنید کدام پورت یا VLAN به بررسی نیاز دارد. سپس مقصد Capture و جهت ترافیک را انتخاب کنید و پس از پیکربندی، دریافت بسته‌ها را در Wireshark آزمایش کنید.

اگر بخشی از ترافیک دیده نمی‌شود، علاوه بر تنظیمات Session، ظرفیت مقصد، وضعیت سیستم تحلیلگر و محدودیت‌های مدل سوئیچ را بررسی کنید. نبودن بسته در Capture به‌تنهایی ثابت نمی‌کند که همان بسته در مسیر اصلی شبکه از دست رفته است.

اگر مقصد تحلیل روی سوئیچ دیگری قرار دارد، قابلیت‌هایی مانند RSPAN و ERSPAN را با توجه به زیرساخت و پشتیبانی تجهیزات ارزیابی کنید. برای پیکربندی نهایی، مستندات رسمی مدل و نسخه نرم‌افزاری دستگاه را ملاک قرار دهید.

در صورت نیاز به راهنمایی برای انتخاب تجهیزات شبکه متناسب با زیرساخت سازمان، می‌توانید از مشاوره تخصصی تجارت سرور پارسه استفاده کنید.