Netzwerk/L2/Port/Mirroring

Port Mirroring - Kopieren des Datenverkehrs einer Quelle (Ports, LAGs oder die CPU) an einen Zielport

Beschreibung

Motivation

• Verhalten von Endgeräte untersuchen

Möglichkeiten

• Port Mirroring am Switch
• Netwerk-Tap

Problematik

Der Einsatz von NetMon 3 und WireShark erfordert, dass man die Pakete auch geliefert bekommt, die man anschauen will

• Das funktioniert auf einem "shared Medium" wie dem alten BNC-Kabel (10MBit) oder einem Hub recht einfach
• Aber schon bei 100MBit sind Switches im Einsatz und die entscheiden anhand der MAC-Adresse, was ich sehen kann

Allerdings gibt es bei "verwalteten" Switches oft die Möglichkeit, einen Port zu "Spiegeln" (Mirroring), d.h. alle Daten, die auf einem Port raus- und reingehen, werden auf einem anderen Port als Kopie noch einmal ausgegeben.

• So kann dann ein an diesem Port angeschlossener Analyseclient diese Daten mitschneiden und analysieren.

Einsatzbereich

Analyse von Endgeräten

• Ich schaue schon mal gerne einem VoIP-Telefon auf die Finger
• in welcher Reihenfolge es versucht Namen aufzulösen und Hosts zu erreichen
• Auch "Smart-TVs" sind durchaus für eine weitere Untersuchung interessant

Verkehrsdatenerfassung

• Wenn ihr Router/Switch kein SFLOW, NetFlow o.ä. unterstützt, dann ist es durchaus eine Option, die fragliche Leitung zu "spiegeln" und an einem anderen System die Datenpakete auf Quelle und Ziel zu untersuchen, z. B.  mit NTOP o.ä. Fehlersuche
• Generell ist so ein Mitschnitt immer dann ein Weg zur Fehlersuche, wenn alle anderen "offensichtlichen" Probleme nicht zutreffen
• Selbst ein Netzwerkmonitor auf einem beteiligten Server sieht immer nur, was über den Netzwerkstack zur Netzwerkkarte geht, aber nicht, was letztlich auf dem Kabel landet
• Ich kann mich gut an den Fall erinnern, als zwischen zwei Exchange Servern Mails mit 25 Empfänger nicht zugestellt wurden
• Ursache war ein fehlerhafter Netzwerktreiber, der das Paket nie auf die Leitung gesetzt hat
• Das war in NETMON auf dem absendenden Server nicht zu sehen

Das Problem der großen Switches ist aber, dass sie ein groß sind und damit eher stationär eingesetzt werden

• Weiterhin muss das Mirroring über die Managementfunktionen konfiguriert werden, die sich nicht immer auf Anhieb erschließen
• Zudem sind solche Switches in der Regel etwas teurer

Port-Spiegelung

Port Mirroring wird auf einem Netzwerk-Switch verwendet, um eine Kopie von Netzwerk- [1], die auf einem Switch-[2] (oder einem gesamten VLAN) gesehen werden, an eine Netzwerküberwachung-Verbindung auf einem anderen Switch-Port zu senden.

• Dies wird üblicherweise für Netzwerkgeräte verwendet, die eine Überwachung des Netzwerkverkehrs erfordern, wie z. B.  ein Intrusion Detection System, Passive Probe oder Real User Monitoring (RUM) Technologie, die zur Unterstützung von Application Performance Management (APM) verwendet wird.
• Port Mirroring auf einem Cisco Systems Switch wird im Allgemeinen als Switched Port Analyzer (SPAN) oder Remote Switched Port Analyzer (RSPAN) bezeichnet.
• Andere Hersteller haben andere Bezeichnungen dafür, z. B.  Roving Analysis Port (RAP) auf 3Com-Switches.

Netzwerktechniker oder -administratoren verwenden die Port-Spiegelung, um Daten zu analysieren und debug oder Fehler in einem Netzwerk zu diagnostizieren.

• Es hilft Administratoren, die Netzwerkleistung genau im Auge zu behalten und alarmiert sie, wenn Probleme auftreten.
• Es kann verwendet werden, um entweder eingehenden oder ausgehenden Datenverkehr (oder beides) auf einer oder mehreren Schnittstellen zu spiegeln.

1. https://en.wikipedia.org/wiki/Port_mirroring

Port-Mirroring

Beim Port-Mirroring spiegelt der Switch die Datenströme eines ausgewählten Ports (monitored Port) auf einen Ausgabe-Port (Monitoring-Port)

• So kann der Datenstrom des ausgewählten Ports mittels einem am Monitoring-Port angeschlossenen Messgerät analysiert werden, wie dargestellt

"Bild :Datenverkehr auslesen mittels Port-Mirroring"

Bild

Datenverkehr auslesen mittels Port-Mirroring

Der verwendete Switch muss hierzu Port-Mirroring unterstützen

• Die gesendeten und empfangenen Daten des zu überwachenden Ports (monitored Port) werden auf den Monitoring Port übertragen
• Die Datenrate des Monitoring-Ports begrenzt dabei die zu analysierende Datenmenge.
• Die Summe der ein- und ausgehenden Daten auf dem monitored Port darf die Datenrate des Monitoring-Ports nicht übersteigen

Port-Mirroring bietet eine einfache Methode, Datenströme auszulesen

• Der verwendete Switch muss Port Mirroring unterstützen und es muss ein freier Port am Switch zur Verfügung stehen
• Es können nur Daten erfasst werden, die den Switch durchlaufen
• Von dem Einbauort des Switches hängt daher ab, welche Datenströme erfasst werden können
• Die am Monitoring-Port ausgegebenen Pakete können sich von den ursprünglichen Paketen in Bezug auf ihren Aufbau (VLAN-Tag) sowie die zeitliche Zuordnung unterscheiden

Anhang

Siehe auch

1. VLAN access control list (VACL)
2. T2600G/Maintenance/Mirroring

• Port Mirroring

Links

Weblinks

• https://www.juniper.net/documentation/us/en/software/junos/network-mgmt/topics/topic-map/port-mirroring-and-analyzers.html
• https://www.msxfaq.de/tools/3rdparty/portmirroring.htm
• NTOP
• NetMon 3
• WireShark
• Network taphttp://en.wikipedia.org/wiki/Network_tap
• Passiver Ethernet Tap im Praxistexthttp://www.nwlab.net/art/taps/passiver-tap.html
• Netgear GS-105Ehttp://www.netgear.de/products/business/switches/prosafe-plus-switches/gs105e.aspx
• Vulnerability Note VU#143740https://www.kb.cert.org/vuls/id/143740Laut Webseite wurde die VU gerade mal 2 Tage früher erstellt, als diese Seite per RSS-Feed publiziert wurde.
• Netter Zufall.
• Es schauen also auch noch andere ab und an in ein BIOS-update
• Deploying Deskphones für Lync? You Want This Switch!http://insideactiveroles.com/2014/09/09/deploying-deskphones-for-lync-you-want-this-switch/comment-page-1
• http://wiki.wireshark.org/TapReference
• http://ask.wireshark.org/questions/3413/network-tap
• https://ask.wireshark.org/questions/13814/where-can-i-find-a-good-tap
• http://www.lovemytool.com/blog/2011/07/cheap-and-cheerful-tap-alternative-by-tony-fortunato.html
• http://www.dual-comm.com/gigabit_port-mirroring-LAN_switch.htm
• http://www.netscout.com/products/service_provider/nSAS/ngenius_switches/ngenius_1500_series/Pages/default.aspx
• https://www.securityforrealpeople.com/2014/09/how-to-build-10-network-tap.html
• Cisco Systems - Catalyst Switched Port Analyzer (SPAN) Configuration Example
• Port mirroring (roving analysis port) - TechTarget, 2014
• Port Mirroring - Technopedia
• https://www.msxfaq.de/tools/3rdparty/portmirroring.htm