トラフィックミラーリング（SPAN）とは何ですか？

トラフィックミラーリングとは、あるインターフェースからのネットワークトラフィックをコピーし、それを別のインターフェース（通常はアウトオブバンドのセキュリティまたは監視アプライアンス）に転送する機能であり、これにより、元のトラフィックフローに干渉することなく、そのコピーを検査することができます。スイッチにおいて、この機能は一般に「スイッチドポートアナライザー（SPAN）」と呼ばれ、GREカプセル化され、ルーティング可能なそのバリエーションが「ERSPAN」です。

主なポイント

• トラフィックミラーリングは、元の通信フローを妨げることなく、パケットをモニターポートにコピーします。
• SPANはローカルでミラーリングを行い、ERSPANはミラーリングされたパケットをGREでカプセル化して、リモートのモニターに送信します。
• VOSは、NPUベースのSPAN/ERSPANおよびフォレンジック用の独立したレイヤー3フローミラーリングをサポートしています。
• ミラーリングされたコピーは、IDS/IPS、パケットキャプチャ、および合法的傍受ツールに、アウトオブバンドで供給されます。
• 検査はコピー上で実行されるため、ミラーリングによって本番トラフィックに遅延が生じることはありません。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ トラフィックミラーリングとVersa · よくある質問

トラフィックミラーリングはなぜ重要なのでしょうか？

セキュリティおよび監視ツールは、ネットワークトラフィックの経路に直接配置されなくても、そのトラフィックを監視できる必要があります。インライン型アプライアンス（トラフィックの流れに直接接続されたファイアウォールやIDSセンサーなど）は、遅延を発生させ、単一障害点となり、また、自身を通過するトラフィックしか検査できません。トラフィックミラーリングは、代わりにコピーを送信することでこの問題を解決します。つまり、元のパケットは通常の経路をそのまま進み、ミラーリングされたコピーは、検査やトラブルシューティングのためにアウトオブバンドのアプライアンスに送られます。

ミラーは単なるコピーに過ぎないため、本番トラフィックに影響を与えることなく、監視ツールの追加、変更、無効化を行うことができます。また、これがミラーリングが多くの下流ツールの基盤となっている理由でもあります。ディープパケットインスペクション、侵入検知、フォレンジックキャプチャ、合法的傍受システムなどはすべて、帯域外で配信される忠実なコピーに依存しているのです。

トラフィックミラーリングとは何ですか？

トラフィックミラーリングでは、インターフェース、方向、アドレス、ゾーン、アプリケーション、またはURLカテゴリといったルールに基づいてトラフィックを照合し、一致したすべてのパケットのコピーをミラーインターフェースに転送します。一方、元のパケットは変更されることなく通常の経路を辿り続けます。ミラーインターフェースは通常、監視アプライアンスに接続されています。

ほとんどの実装は、2つのメカニズムによってカバーされています。ハードウェアベースのミラーリングはスイッチング層で動作します。NPUが一致するパケットを複製し、そのコピーをローカルのミラーインターフェースに転送するか、GREでカプセル化してIPネットワーク上の任意の場所にある監視ノードへルーティングします。 ソフトウェアベースのフローミラーリングはレイヤ3で動作し、ポリシーに基づいてパケットを照合し、仮想インターフェースまたはGRE/IPsecトンネルを介して転送します。これは、コレクタがデバイス外部に配置されるフォレンジックや分析に適しています。

トラフィックミラーリングの種類

3つの仕組みで、ほとんどの導入事例を網羅できます。SPAN（Switched Port Analyzer）は、最も基本的なローカル形式です。インターフェース上の対象トラフィックを、同じデバイス上のミラーインターフェースにコピーします。これは、監視アプライアンスをスイッチに接続する最もシンプルな方法です。ERSPAN（Encapsulated Remote SPAN）は、ミラーリングされたレイヤ2パケットをGREおよびIPヘッダーでカプセル化することで、ルーティングされたネットワーク全体にこの機能を拡張し、宛先IPに到達可能な場所であればどこにでもパケットを転送できるようにします。レイヤー3フローミラーリングの仕組みはこれとは異なります。ポリシーサービスがアドレス、ゾーン、アプリケーション、またはURLカテゴリに基づいてパケットを照合し、仮想インターフェースまたはGRE/IPsecトンネルを介して転送します。これは、合法的な傍受、フォレンジック、および分析に適しています。

トラフィックミラーリング &Versa

VOSデバイスは、両方のメカニズムに対応しています。NPUスイッチングハードウェアを搭載したアプライアンスでは、管理者はDirectorビューからSPANおよびERSPANポリシーを設定します。ルールは、ルーティングインスタンス、ブリッジドメイン、インターフェース、および方向に基づいてトラフィックを照合し、それぞれローカルミラーインターフェースを設定するか、ERSPANの場合は、ルーティングされたネットワーク上のどこからでも到達可能なGREカプセル化された宛先IPを持つプロファイルを設定します。「NPU トラフィックミラーリングの設定」を参照してください。これとは別に、VOS は合法的な傍受および分析のためのレイヤ 3フローミラーリングをサポートしています。トラフィック検出機能サービスは、ゾーン、アドレス、アプリケーション、または URL カテゴリに一致するパケットをミラーリングし、仮想インターフェースまたは GRE/IPsec トンネルを介して収集デバイスに転送します。

よくある質問

SPANとERSPANの違いは何ですか？

SPANは、トラフィックを同じデバイス上のインターフェースにミラーリングします。これはシンプルな仕組みですが、ローカルに接続されたアプライアンスに限定されます。一方、ERSPANはミラーリングされたパケットをGREおよびIPヘッダーでカプセル化するため、宛先IPに到達可能な場所であればどこにでも、そのコピーをモニタリングステーションへルーティングすることができます。

トラフィックのミラーリングは、元のトラフィックに影響を与えますか？

いいえ。トラフィックミラーリングは、一致するパケットをコピーするものであり、元のパケットは一切変更されることなく通常の経路に沿って送信され続けます。宛先リンクが輻輳している場合、ミラーリングされたコピー自体は破棄される可能性がありますが、それはミラーリング対象となっている本番トラフィックやその配信には一切影響を与えません。

VOSにおけるSPANとフローミラーリングの違いは何ですか？

SPANおよびERSPANは、NPUのハードウェアスイッチング層で動作し、インターフェースおよび転送方向ごとにパケットをコピーします。一方、フローミラーリングは、トラフィック検出機能サービスを通じてレイヤー3で動作し、ゾーン、アドレス、アプリケーション、またはURLカテゴリに基づいてパケットを照合してから、そのコピーを転送します。

トラフィックミラーリングは、どのようなツールにデータを提供しますか？

あらゆるアウトオブバンド監視ツール――侵入検知センサー、ディープパケットインスペクションアプライアンス、パケットキャプチャおよびフォレンジックツール、合法的傍受収集装置など――はすべて、これに依存しています。このアプライアンスはトラフィックのコピーのみを受信するため、通信経路に組み込まれることなく、また経路に遅延を加えることなく、トラフィックを検査することができます。

トラフィックのミラーリングは、ローカルネットワーク外のデバイスに到達できますか？

はい、ERSPANまたはレイヤ3フローミラーリングを使用します。どちらもミラーリングされたトラフィックをカプセル化します（ERSPANはGREで、フローミラーリングはGREまたはIPsecトンネル経由で）。そのため、コピーはローカルポートだけでなく、ルーティングされたネットワークを介して到達可能なあらゆるデバイスに届けることができます。

トラフィックミラーリングの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

トラフィックミラーリングについてお読みなら、次はこれらもぜひチェックしてみてください。