Qu'est-ce que la réplication du trafic (SPAN) ?

La mise en miroir du trafic consiste à copier le trafic réseau provenant d'une interface et à le transférer vers une autre – généralement un dispositif de sécurité ou de surveillance hors bande – afin que la copie puisse être inspectée sans affecter le flux d'origine. Sur les commutateurs, cette fonctionnalité est communément appelée « Switched Port Analyzer » (SPAN) ; sa variante routable et encapsulée en GRE est appelée ERSPAN.

Points clés à retenir

• La mise en miroir du trafic permet de copier des paquets vers un port de surveillance sans perturber le flux d'origine.
• SPAN effectue une mise en miroir locale ; ERSPAN encapsule les paquets mis en miroir dans un cadre GRE pour les acheminer vers un moniteur distant.
• VOS prend en charge les protocoles SPAN/ERSPAN basés sur le NPU, ainsi que la duplication de flux de couche 3 indépendante à des fins d'analyse judiciaire.
• Les copies en miroir alimentent hors bande les systèmes IDS/IPS, les outils de capture de paquets et les outils d'interception légale.
• Comme l'inspection s'effectue sur une copie, la mise en miroir n'ajoute aucune latence au trafic de production.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Mise en miroir du trafic et Versa · FAQ

Pourquoi la réplication du trafic est-elle importante ?

Les outils de sécurité et de surveillance doivent pouvoir analyser le trafic réseau sans se trouver sur son chemin. Un dispositif en ligne (pare-feu ou capteur IDS intégré au flux) ajoute de la latence, devient un point de défaillance unique et ne peut inspecter que ce qui le traverse. La duplication du trafic résout ce problème en envoyant une copie : les paquets d'origine continuent de suivre leur chemin habituel, tandis que la copie dupliquée est acheminée vers un dispositif hors bande à des fins d'inspection ou de dépannage.

Le miroir n'étant qu'une copie, il est possible d'y ajouter, de modifier ou de désactiver un outil de surveillance sans affecter le trafic de production. C'est également la raison pour laquelle la mise en miroir est à la base d'un grand nombre d'outils en aval : l'inspection approfondie des paquets, la détection des intrusions, les captures à des fins d'analyse judiciaire et les systèmes d'interception légale dépendent tous d'une copie fidèle fournie hors bande.

Qu'est-ce que la réplication du trafic ?

La mise en miroir du trafic consiste à comparer le trafic à une règle (par interface, sens, adresse, zone, application ou catégorie d'URL) et à transférer une copie de chaque paquet correspondant vers une interface miroir, tandis que le paquet d'origine poursuit son chemin sans modification. L'interface miroir est généralement connectée à un dispositif de surveillance.

Deux mécanismes couvrent la plupart des implémentations. La mise en miroir matérielle opère au niveau de la couche de commutation : une NPU duplique les paquets correspondants et transmet la copie à une interface miroir locale, ou l’encapsule dans un tunnel GRE pour l’acheminer vers un nœud de surveillance situé n’importe où sur le réseau IP. La mise en miroir des flux logicielle fonctionne au niveau de la couche 3 : elle fait correspondre les paquets selon des règles et les transmet via une interface virtuelle ou un tunnel GRE/IPsec – une solution adaptée aux analyses forensiques et aux analyses de données lorsque le collecteur est situé en dehors du périphérique.

Types de mise en miroir du trafic

Trois mécanismes couvrent la plupart des déploiements. SPAN (Switched Port Analyzer) est la forme locale d’origine : le trafic correspondant sur une interface est copié vers une interface miroir sur le même périphérique – c’est la manière la plus simple de connecter un appareil de surveillance à un commutateur. ERSPAN (Encapsulated Remote SPAN) étend ce principe à un réseau routé en encapsulant les paquets de couche 2 mis en miroir dans des en-têtes GRE et IP, afin qu’ils puissent atteindre une station partout où l’adresse IP de destination est accessible. La mise en miroir de flux de couche 3 fonctionne différemment : un service de règles fait correspondre les paquets en fonction de leur adresse, de leur zone, de leur application ou de leur catégorie d’URL, puis les transfère via une interface virtuelle ou un tunnel GRE/IPsec – une solution adaptée à l’interception légale, à la criminalistique et à l’analyse.

Mise en miroir du trafic et Versa

Les appareils VOS prennent en charge ces deux mécanismes. Sur les appliances équipées d’un matériel de commutation NPU, les administrateurs configurent les politiques SPAN et ERSPAN depuis la vue Director : les règles filtrent le trafic par instance de routage, domaine de pont, interface et direction, et chacune définit une interface de mise en miroir locale ou, pour ERSPAN, un profil avec une adresse IP de destination encapsulée en GRE accessible partout sur le réseau routé. Voir « Configurer la mise en miroir du trafic NPU ». Par ailleurs, VOS prend en charge la mise en miroir des flux de couche 3 à des fins d’interception légale et d’analyse : un service de détection du trafic met en miroir les paquets correspondant à une zone, une adresse, une application ou une catégorie d’URL, et les transfère via une interface virtuelle ou un tunnel GRE/IPsec vers un périphérique de collecte.

Questions fréquentes

Quelle est la différence entre SPAN et ERSPAN ?

SPAN redirige le trafic vers une interface du même périphérique : une solution simple, mais limitée à un appareil connecté localement. ERSPAN encapsule les paquets redirigés dans des en-têtes GRE et IP, ce qui permet d'acheminer la copie vers un poste de surveillance situé n'importe où, à condition que l'adresse IP de destination soit accessible.

La réplication du trafic a-t-elle une incidence sur le trafic d'origine ?

Non. La mise en miroir du trafic consiste à copier les paquets correspondants ; les paquets d'origine continuent leur chemin normal sans subir la moindre modification. Si la liaison de destination est encombrée, la copie mise en miroir peut elle-même être rejetée, mais cela n'affecte en aucun cas le trafic de production mis en miroir ni sa transmission.

Quelle est la différence entre SPAN et la réplication de flux dans VOS ?

Les protocoles SPAN et ERSPAN fonctionnent au niveau de la couche de commutation matérielle de l'unité de traitement réseau (NPU), en copiant les paquets par interface et par direction. La mise en miroir des flux, quant à elle, opère au niveau de la couche 3 via un service de détection du trafic, qui fait correspondre les paquets par zone, adresse, application ou catégorie d'URL avant de transférer les copies.

Quels types d'outils la mise en miroir du trafic alimente-t-elle ?

Tous les outils de surveillance hors bande — capteurs de détection d'intrusion, appareils d'inspection approfondie des paquets, outils de capture de paquets et d'analyse forensic, ainsi que les dispositifs de collecte pour l'interception légale — s'appuient sur cette technologie. Comme l'appareil ne reçoit qu'une copie, il inspecte le trafic sans s'interposer dans le flux ni ajouter de latence au parcours.

La réplication du trafic peut-elle atteindre un appareil situé en dehors du réseau local ?

Oui, en utilisant ERSPAN ou la mise en miroir de flux de couche 3. Ces deux techniques encapsulent le trafic mis en miroir — ERSPAN dans un tunnel GRE, et la mise en miroir de flux via un tunnel GRE ou IPsec — afin que la copie puisse atteindre n'importe quel périphérique accessible sur le réseau routé, et pas seulement un port local.

En savoir plus sur la réplication du trafic

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la réplication du trafic, voici quelques articles qui méritent d'être consultés ensuite.