¿Qué es el «traffic mirroring» (SPAN)?

La duplicación del tráfico copia el tráfico de red de una interfaz y lo reenvía a otra —normalmente un dispositivo de seguridad o supervisión fuera de banda— para que la copia pueda inspeccionarse sin alterar el flujo original. En los conmutadores, esta función se conoce comúnmente como «analizador de puertos conmutados» (SPAN); su variante enrutable y encapsulada en GRE se denomina ERSPAN.

Puntos clave

• La duplicación del tráfico copia los paquetes a un puerto de monitorización sin interrumpir el flujo original.
• SPAN realiza el mirroring de forma local; ERSPAN envuelve los paquetes de mirroring en GRE para que lleguen a un monitor remoto.
• VOS es compatible con SPAN/ERSPAN basado en NPU y con el reflejo de flujos de capa 3 independiente para análisis forense.
• Las copias duplicadas alimentan fuera de banda los sistemas IDS/IPS, la captura de paquetes y las herramientas de interceptación legal.
• Dado que la inspección se realiza sobre una copia, la duplicación no añade latencia al tráfico de producción.

En esta página: Por qué es importante · Cómo funciona · Tipos · Duplicación del tráfico y Versa · Preguntas frecuentes

¿Por qué es importante el «traffic mirroring»?

Las herramientas de seguridad y supervisión deben poder ver el tráfico de red sin interponerse en su ruta. Un dispositivo en línea —un cortafuegos o un sensor IDS conectado al flujo— añade latencia, se convierte en un punto único de fallo y solo puede inspeccionar lo que pasa a través de él. La duplicación del tráfico resuelve este problema enviando una copia en su lugar: los paquetes originales siguen su ruta habitual, mientras que la copia duplicada se envía a un dispositivo fuera de banda para su inspección o resolución de incidencias.

Dado que el espejo es solo una copia, es posible añadir, modificar o desactivar una herramienta de supervisión sin afectar al tráfico de producción. Esa es también la razón por la que el espejado constituye la base de tantas herramientas posteriores: la inspección profunda de paquetes, la detección de intrusiones, las capturas forenses y los sistemas de interceptación legal dependen todos de una copia fiel transmitida fuera de banda.

¿Qué es el «traffic mirroring»?

La duplicación del tráfico compara el tráfico con una regla —por interfaz, dirección, zona, aplicación o categoría de URL— y reenvía una copia de cada paquete que cumpla los criterios a una interfaz de duplicación, mientras que el paquete original continúa sin modificaciones por su ruta habitual. La interfaz de duplicación suele conectarse a un dispositivo de monitorización.

Hay dos mecanismos que abarcan la mayoría de las implementaciones. La duplicación basada en hardware opera en la capa de conmutación: una NPU duplica los paquetes coincidentes y reenvía la copia a una interfaz de duplicación local, o la encapsula en GRE para enrutarla a un nodo de monitorización en cualquier punto de la red IP. El mirroring de flujos basado en software funciona en la capa 3, comparando los paquetes según una política y reenviándolos a través de una interfaz virtual o un túnel GRE/IPsec, lo que resulta adecuado para análisis forenses y analíticos en los que el colector se encuentra fuera del dispositivo.

Tipos de duplicación del tráfico

Hay tres mecanismos que abarcan la mayoría de las implementaciones. SPAN (analizador de puertos conmutados) es la forma original y local: el tráfico coincidente en una interfaz se copia a una interfaz espejo en el mismo dispositivo; es la forma más sencilla de conectar un dispositivo de monitorización a un conmutador. ERSPAN (SPAN remoto encapsulado) amplía esta funcionalidad a una red enrutada al encapsular los paquetes de capa 2 duplicados en encabezados GRE e IP, de modo que puedan llegar a cualquier estación a la que se pueda acceder mediante la dirección IP de destino. El reflejo de flujos de capa 3 funciona de manera diferente: un servicio de políticas identifica los paquetes por dirección, zona, aplicación o categoría de URL y los reenvía a través de una interfaz virtual o un túnel GRE/IPsec, lo que resulta adecuado para la interceptación legal, el análisis forense y la analítica.

Duplicación del tráfico y Versa

Los dispositivos VOS admiten ambos mecanismos. En los dispositivos con hardware de conmutación NPU, los administradores configuran las políticas SPAN y ERSPAN desde la vista «Director»: las reglas filtran el tráfico por instancia de enrutamiento, dominio de puente, interfaz y dirección, y cada una establece una interfaz de duplicación local o, en el caso de ERSPAN, un perfil con una IP de destino encapsulada en GRE accesible desde cualquier punto de la red enrutada. Véase «Configuración del reflejo de tráfico de la NPU». Por otra parte, VOS admite el reflejo de flujos de capa 3 para la interceptación legal y el análisis: un servicio de detección de tráfico refleja los paquetes que coinciden con una zona, una dirección, una aplicación o una categoría de URL, y los reenvía a través de una interfaz virtual o un túnel GRE/IPsec a un dispositivo de recopilación.

Preguntas frecuentes

¿Cuál es la diferencia entre SPAN y ERSPAN?

SPAN duplica el tráfico hacia una interfaz del mismo dispositivo: es sencillo, pero se limita a un dispositivo conectado localmente. ERSPAN envuelve los paquetes duplicados en encabezados GRE e IP, de modo que la copia pueda enrutarse a una estación de monitorización en cualquier lugar desde donde se pueda acceder a la dirección IP de destino.

¿Afecta el reflejo del tráfico al tráfico original?

No. La duplicación del tráfico copia los paquetes coincidentes; los originales continúan por su ruta habitual sin sufrir ninguna modificación. Si el enlace de destino está congestionado, la propia copia duplicada puede descartarse, pero eso nunca afecta al tráfico de producción que se está duplicando ni a su entrega.

¿Cuál es la diferencia entre SPAN y el «flow mirroring» en VOS?

SPAN y ERSPAN funcionan en la capa de conmutación por hardware de la NPU, copiando los paquetes por interfaz y dirección. Por su parte, el «flow mirroring» opera en la capa 3 a través de un servicio de detección de tráfico, que compara los paquetes por zona, dirección, aplicación o categoría de URL antes de reenviar las copias.

¿A qué tipo de herramientas se alimenta la duplicación del tráfico?

Cualquier herramienta de supervisión fuera de banda —sensores de detección de intrusiones, dispositivos de inspección profunda de paquetes, herramientas de captura de paquetes y de análisis forense, y dispositivos de recogida de datos para interceptación legal— depende de ella. Dado que el dispositivo solo recibe una copia, inspecciona el tráfico sin interponerse en la ruta ni añadir latencia al trayecto.

¿Puede la replicación de tráfico llegar a un dispositivo que se encuentre fuera de la red local?

Sí, utilizando ERSPAN o el reflejo de flujos de capa 3. Ambos encapsulan el tráfico reflejado —ERSPAN en GRE, y el reflejo de flujos a través de un túnel GRE o IPsec— para que la copia pueda llegar a cualquier dispositivo accesible a través de la red enrutada, y no solo a un puerto local.

Más información sobre el reflejo del tráfico

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el «traffic mirroring», te conviene echar un vistazo a lo siguiente.