Was ist Traffic Mirroring (SPAN)?

Beim Traffic Mirroring wird der Netzwerkverkehr von einer Schnittstelle kopiert und an eine andere weitergeleitet – in der Regel an ein Out-of-Band-Sicherheits- oder Überwachungsgerät –, sodass die Kopie überprüft werden kann, ohne den ursprünglichen Datenfluss zu beeinträchtigen. Bei Switches wird diese Funktion üblicherweise als „Switched Port Analyzer“ (SPAN) bezeichnet; ihre GRE-gekapselte, routbare Variante ist ERSPAN.

Die wichtigsten Erkenntnisse

• Beim Traffic-Mirroring werden Pakete an einen Überwachungsport kopiert, ohne den ursprünglichen Datenfluss zu unterbrechen.
• SPAN führt eine lokale Spiegelung durch; ERSPAN verpackt die gespiegelten Pakete in GRE, um sie an einen entfernten Monitor zu senden.
• VOS unterstützt NPU-basiertes SPAN/ERSPAN sowie separates Layer-3-Flow-Mirroring für forensische Zwecke.
• Gespiegelte Kopien versorgen IDS/IPS-, Paketaufzeichnungs- und Lawful-Intercept-Tools außerhalb des Netzwerkbandbreitenbereichs.
• Da die Überprüfung an einer Kopie erfolgt, verursacht die Spiegelung keine zusätzliche Latenz im Produktionsdatenverkehr.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Traffic-Spiegelung & Versa · Häufig gestellte Fragen

Warum ist Traffic-Mirroring wichtig?

Sicherheits- und Überwachungstools müssen den Netzwerkverkehr erfassen können, ohne sich in dessen Weg zu befinden. Ein Inline-Gerät – eine Firewall oder ein IDS-Sensor, der in den Datenfluss eingebunden ist – verursacht Latenz, wird zu einem Single Point of Failure und kann nur das überprüfen, was durch das Gerät fließt. Das Traffic-Mirroring löst dieses Problem, indem stattdessen eine Kopie gesendet wird: Die ursprünglichen Pakete folgen weiterhin ihrem normalen Weg, während die gespiegelte Kopie zur Überprüfung oder Fehlerbehebung an ein Out-of-Band-Gerät weitergeleitet wird.

Da es sich bei dem Spiegel nur um eine Kopie handelt, kann ein Überwachungstool hinzugefügt, geändert oder deaktiviert werden, ohne den Produktionsdatenverkehr zu beeinträchtigen. Das ist auch der Grund, warum die Spiegelung die Grundlage für so viele nachgelagerte Tools bildet – Deep-Packet-Inspection, Intrusion Detection, forensische Erfassungen und Systeme zur rechtmäßigen Überwachung basieren alle auf einer originalgetreuen Kopie, die außerhalb des Datenflusses bereitgestellt wird.

Was ist Traffic-Mirroring?

Beim Traffic-Mirroring wird der Datenverkehr anhand einer Regel abgeglichen – nach Schnittstelle, Richtung, Adresse, Zone, Anwendung oder URL-Kategorie – und eine Kopie jedes übereinstimmenden Pakets an eine Mirror-Schnittstelle weitergeleitet, während das Original unverändert seinen normalen Weg fortsetzt. Die Mirror-Schnittstelle ist in der Regel mit einem Überwachungsgerät verbunden.

Zwei Mechanismen decken die meisten Implementierungen ab. Die hardwarebasierte Spiegelung erfolgt auf der Switching-Ebene: Eine NPU dupliziert übereinstimmende Pakete und leitet die Kopie an eine lokale Spiegelungsschnittstelle weiter oder kapseln sie in GRE ein, um sie an einen Überwachungsknoten an einer beliebigen Stelle im IP-Netzwerk weiterzuleiten. Softwarebasierte Flussspiegelung erfolgt auf Schicht 3, wobei Pakete anhand von Richtlinien abgeglichen und über eine virtuelle Schnittstelle oder einen GRE/IPsec-Tunnel weitergeleitet werden – geeignet für forensische Untersuchungen und Analysen, bei denen sich der Collector außerhalb des Geräts befindet.

Arten der Datenverkehrsspeicherung

Drei Mechanismen decken die meisten Einsatzszenarien ab. SPAN (Switched Port Analyzer) ist die ursprüngliche, lokale Variante: Der entsprechende Datenverkehr an einer Schnittstelle wird auf eine Spiegel-Schnittstelle desselben Geräts kopiert – die einfachste Methode, um ein Überwachungsgerät an einen Switch anzuschließen. ERSPAN (Encapsulated Remote SPAN) erweitert dies auf ein geroutetes Netzwerk, indem gespiegelte Layer-2-Pakete in GRE- und IP-Header verpackt werden, sodass sie jede Station erreichen können, an der die Ziel-IP erreichbar ist. Layer-3-Flow-Mirroring funktioniert anders: Ein Policy-Dienst gleicht Pakete anhand von Adresse, Zone, Anwendung oder URL-Kategorie ab und leitet sie über eine virtuelle Schnittstelle oder einen GRE/IPsec-Tunnel weiter – geeignet für rechtmäßige Überwachung, Forensik und Analysen.

Verkehrsspiegelung & Versa

VOS-Geräte unterstützen beide Mechanismen. Auf Appliances mit NPU-Switching-Hardware konfigurieren Administratoren SPAN- und ERSPAN-Richtlinien über die Director-Ansicht: Die Regeln ordnen den Datenverkehr nach Routing-Instanz, Bridge-Domäne, Schnittstelle und Richtung zu, und jede Regel legt eine lokale Spiegelungsschnittstelle fest oder – im Falle von ERSPAN – ein Profil mit einer GRE-gekapselten Ziel-IP-Adresse, die überall im gerouteten Netzwerk erreichbar ist. Siehe „NPU-Datenverkehrsspeiegelung konfigurieren“. Unabhängig davon unterstützt VOS Layer-3 -Flow-Spiegelung für rechtmäßige Überwachung und Analyse: Ein Dienst zur Datenerkennung spiegelt Pakete, die nach Zone, Adresse, Anwendung oder URL-Kategorie abgeglichen wurden, und leitet sie über eine virtuelle Schnittstelle oder einen GRE/IPsec-Tunnel an ein Erfassungsgerät weiter.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SPAN und ERSPAN?

SPAN spiegelt den Datenverkehr auf eine Schnittstelle desselben Geräts – einfach, jedoch auf ein lokal angeschlossenes Gerät beschränkt. ERSPAN verpackt die gespiegelten Pakete in GRE- und IP-Header, sodass die Kopie an eine Überwachungsstation weitergeleitet werden kann, sofern die Ziel-IP-Adresse erreichbar ist.

Hat das Traffic-Mirroring Auswirkungen auf den ursprünglichen Datenverkehr?

Nein. Beim Traffic-Mirroring werden übereinstimmende Pakete kopiert; die Originale werden völlig unverändert auf ihrem normalen Weg weitergeleitet. Ist die Zielverbindung überlastet, kann die gespiegelte Kopie selbst verworfen werden, was jedoch keinerlei Auswirkungen auf den gespiegelten Produktionsdatenverkehr oder dessen Zustellung hat.

Was ist der Unterschied zwischen SPAN und Flow Mirroring in VOS?

SPAN und ERSPAN arbeiten auf der Hardware-Switching-Ebene der NPU und kopieren Pakete nach Schnittstelle und Richtung. Die Flussspiegelung hingegen erfolgt auf Schicht 3 über einen Dienst zur Verkehrserkennung, der Pakete nach Zone, Adresse, Anwendung oder URL-Kategorie abgleicht, bevor die Kopien weitergeleitet werden.

Welche Arten von Tools werden durch Traffic-Mirroring gespeist?

Jedes Out-of-Band-Überwachungstool – sei es Sensoren zur Erkennung von Eindringlingen, Deep-Packet-Inspection-Geräte, Tools zur Paketerfassung und forensische Tools oder Systeme zur rechtmäßigen Überwachung – stützt sich darauf. Da das Gerät lediglich eine Kopie erhält, überprüft es den Datenverkehr, ohne in die Verbindung eingebunden zu sein oder die Latenz auf dem Übertragungsweg zu erhöhen.

Kann das Traffic-Mirroring ein Gerät außerhalb des lokalen Netzwerks erreichen?

Ja, mithilfe von ERSPAN oder Layer-3-Flow-Mirroring. Bei beiden Verfahren wird der gespiegelte Datenverkehr gekapselt – bei ERSPAN in GRE, beim Flow-Mirroring über einen GRE- oder IPsec-Tunnel –, sodass die Kopie jedes Gerät erreichen kann, das über das geroutete Netzwerk erreichbar ist, und nicht nur einen lokalen Port.

Mehr zum Thema Traffic-Mirroring

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Traffic-Mirroring beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.