Eclaircissement sur le SPAN Cisco 6500 Fermé

Question

Bonjour, 

J'ai un switch cisco dont je souhaite capturer le trafic transitant par un des ports (que l'on va appeler 6/1) dans les deux sens. Si j'ai bien compris en mettant sur un autre port du switch (6/2) un sniffer et en configurant grace a la commande set span 6/1 6/2 je peux voir ce qui circule a traver ce port.

Ma question est la suivante: Est ce que ce trafic est "copié" puis envoyé dans le port 6/2 ou bien est ce que c'est le fluw original qui passe par 6/2 pour arriver au sniffer puis le sniffer renvoit le flux tel qu'il l'a recu?

Mon but est en fait de mettre un pc sur le port 6/2 et de l'utiliser afin de changer les caracteristiques (latence, gigue, perte de paquets, ...) du flux qui sort ou rentre dans le port 6/1. 

Est ce que cela est possible avec la methode du span? ou y'a t-il une autre méthode?



Configuration: Windows XP / Internet Explorer 6.0

kiki · Answer

C'est en fait du port mirroring, mais ca ne fonctionne que dans un sens. Donc pas possible dans le cas que tu proposes.

Si tu branches le PC directement sur le 6/1, tu peut sniffer son trafic avec wireshark par exemple tout en modifiant des parametres. Mais sur le port 6/2 mirroré le traffic est "passif".

Rythme55555 · Answer

Donc pour pouvoir agir sur le trafic sans eteindre le switch je vais devoir rerouter le trafic entrant ou sortant en 6/1 vers 6/2 en configurant le switch et transformer mon sniffer (pc) en petit routeur si j'ai bien compris.

Mon sniffer (qui ne sera pas seulement ca) dispose de deux cartes reseaux et fonctionne sous linux. Est ce qu'il sera simple de le configurer pour qu'il recoivent le trafic via sa premiere carte connecte en 6/2, qu'il applique au flux les changements de caracteristiques choisis par l'utilisateur et qu'il renvoit le flux modifié via sa deuxieme carte reseau connecte sur le port 6/3?

brupala · Answer

Salut,  
oui, ça c'est possible de renvoyer sur un autre port, mais ça va poser un problème au switch:  
l'adresse mac source sera vue sur deux ports différents, ce qui va certainement planter sa table de forwarding.  
ET Si tu modifies la mac source, le traffic en retour sera renvoyé vers le sniffer plus vers la machine d'origine, à moins que ce soit un flux unidirectionnel .  
Je pense que tu ferais mieux d'intercaler ton appareil à bidouile entre la source et le switch plutôt que sur un port indépendant du switch, tu aurais plus de liberté pour faire ce que tu veux (ton appareil étant configuré en pont presque ..... transparent).  
mais, sinon, pour ta question, les trames sont bien copiées (dupliquées) vers le port span. 
et ... Voili  Voilou  Voila !

Rythme55555 · Answer

Oui mais en intercalant mon appareil a bidouille entre le switch et la source(qui est aussi un switch malheureusement :( ) je vais devoir mettre hors service la communication entre les deux switchs, non?

Rythme55555 · Answer

Le truc c'est qu'on me demande de ne pas couper la connexion ^^ Je sais bien que j'essaye d'avoir le beurre et l'argent du beurre. 

En fait le switch source est connecté a plusieurs postes de travail et mon but c'est  de modifier le flux qui transite a travers ce switch sans pour autant couper les differents utilisateurs connectés à ces postes. Je pense que je vais partir sur une solution avec une coupure à la mise en place de l'appareil de bidouille. car je vois pas comment faire autrement. 

Merci pour vos reponses en tout cas^^

Eclaircissement sur le SPAN Cisco 6500

5 réponses

Discussions similaires