リモート SPAN (RSPAN) ポートを使用してトラフィックミラーリングを構成する

この記事は、Microsoft Defender for IoT を使用した OT 監視のデプロイパスについて説明するシリーズ記事の 1 つです。

この記事では、IOS を実行する 24 個のポートを備えた Cisco 2960 スイッチに RSPAN を設定するためのサンプル手順について説明します。

重要

この記事は、あくまでガイダンスであり、手順として使用されることを意図したものではありません。他の Cisco オペレーティングシステムや他のスイッチブランドのミラーポートは、別の方法で構成されています。詳細については、スイッチのドキュメントを参照してください。

前提条件

開始する前に、Defender for IoT を使用したネットワーク監視の計画と、構成する SPAN ポートについて理解していることを確認してください。

詳細については、OT モニタリングのためのトラフィックミラーリング方法に関するページを参照してください。
RSPAN には、スイッチ間で監視対象の SPAN トラフィックを伝送するための特定の VLAN が必要です。開始する前に、スイッチで RSPAN がサポートされていることを確認してください。
スイッチのミラーリングオプションがオフになっていることを確認します。
送信元と送信先スイッチ間のトランクポートでリモート VLAN が許可されていることを確認します。
同じ RSPAN セッションに接続するすべてのスイッチが同じベンダーからのものであることを確認します。
スイッチ間でリモート VLAN を共有しているトランクポートが、既にミラーセッションの送信元ポートとして定義されていないことを確認します。
リモート VLAN では、送信元セッションからミラーリングされているトラフィックの量によってトランクポートの帯域幅が増加します。スイッチのトランクポートで帯域幅の増加をサポートできることを確認します。

注意事項

大量のスループットまたは多数のスイッチが原因で帯域幅が増加すると、スイッチに障害が発生し、ネットワーク全体がダウンする可能性があります。 RSPAN を使用してトラフィックミラーリングを構成する場合は、次の点を考慮してください。

送信元スイッチで次の手順を実行します。

送信先スイッチで次の手順を実行します。

トラフィックミラーリングを構成したら、スイッチの SPAN (またはミラー) ポートから記録されたトラフィック (PCAP ファイル) のサンプルの受信を試みます。

サンプルの PCAP ファイルは、次の場合に役立ちます。

Wireshark などのネットワークプロトコルアナライザーアプリケーションを使用して、サンプル PCAP ファイルを数分間記録します。たとえば、トラフィック監視を構成したポートにノート PC を接続します。
記録するトラフィックにユニキャストパケットがあることを確認します。ユニキャストトラフィックは、アドレスから別のアドレスに送信されるトラフィックです。

ほとんどのトラフィックが ARP メッセージの場合は、トラフィックミラーリングの構成が正しくありません。
分析されたトラフィックに OT プロトコルが存在することを確認します。

次に例を示します。