Port mirroring (SPAN)

Port mirroring (Cisco terminologija: SPAN — Switched Port Analyzer) je funkcija switch-a koja kopira sav saobraćaj sa izvornog porta (ili VLAN-a) na destinacioni port. Destinacioni port je onda priključen na alat za analizu — Wireshark, Snort IDS, Zeek, dedicirani IPS uređaj.

Tipovi:

• SPAN (lokalni) — mirror unutar istog switch-a
• RSPAN (Remote SPAN) — mirror preko VLAN-a do drugog switcha
• ERSPAN — encapsulira mirror saobraćaj u GRE i šalje na bilo koji ruter

Pravila:

• Destinacioni port ne može da se koristi za normalan saobraćaj
• Brzina destinacionog porta mora biti ≥ ukupan saobraćaj svih izvora (inače gubitak paketa)
• Tipično se mirror-uje u oba smera (RX + TX)

Tipični primeri primene: forensic istraga (tko šalje šta), validacija novog firewall pravila, DPI analiza.