Netzwerk/L2/Port/Mirroring

topic - Kurzbeschreibung

Beschreibung

Warum Mirroring?

Port Mirroring

• Verhalten von Endgeräte im Netzwerk untersuchen
• Port Mirroring am Switch
• Andere günstige Lösung

Der Einsatz von NetMon 3 und WireShark erfordert, dass man die Pakete auch geliefert bekommt, die man anschauen will.

• Das funktioniert auf einem "shared Medium" wie dem alten BNC-Kabel (10MBit) oder einem Hub recht einfach.
• Aber schon bei 100MBit sind Switches im Einsatz und die entscheiden anhand der MAC-Adresse, was ich sehen kann.

Allerdings gibt es bei "verwalteten" Switches oft die Möglichkeit, einen Port zu "Spiegeln" (Mirroring), d.h. alle Daten die auf einem Port raus und rein gehen, werden auf einem anderen Port als Kopie noch einmal ausgegeben.

• So kann dann ein an diesem Port angeschlossener Analyseclient diese Daten mitschneiden und analysieren.

Einsatzbereich

• Analyse von Endgeräten
  • Ich schaue schon mal gerne einem VoIP-Telefon auf die Finger, in welcher Reihenfolge es versucht Namen aufzulösen und Hosts zu erreichen.
• Auch "Smart-TVs" sind durchaus für eine weitere Untersuchung interessant.
• VerkehrsdatenerfassungWenn ihr Router/Switch kein SFLOW, NetFlow o.ä.
• Unterstützt, dann ist es durchaus eine Option die fragliche Leitung zu "spiegeln" und an einem anderen System die Datenpakete auf Quelle und Ziel zu untersuchen, z.B. mit NTOP o.ä. FehlersucheGanz generell ist so ein Mitschnitt immer dann ein Weg zur Fehlersuche, wenn alle anderen "offensichtlichen" Probleme nicht zutreffen.
• Selbst ein Netzwerkmonitor auf einem beteiligten Server sieht immer nur, was über den Netzwerkstack zur Netzwerkkarte geht aber nicht, was letztlich auf dem Kabel landet.
• Ich kann mich gut an den Fall erinnern, als zwischen zwei Exchange Servern Mails mit 25 Empfänger nicht zugestellt wurden.
• Ursache war ein fehlerhafter Netzwerktreiber, der das Paket nie auf die Leitung gesetzt hat.
• Das war in NETMON auf dem absendenden Server nicht zu sehen.

Das Problem der großen Switches ist aber, dass Sie ein groß sind und damit eher stationär eingesetzt werden

• Weiterhin muss das Mirroring über die Managementfunktionen konfiguriert werden, die sich nicht immer auf Anhieb erschließen.
• Zudem sind solche Switches in der Regel etwas teurer.

Port mirroring

Port mirroring is used on a network switch to send a copy of network packets seen on one switch port (or an entire VLAN) to a network monitoring connection on another switch port.

• This is commonly used for network appliances that require monitoring of network traffic such as an intrusion detection system, passive probe or real user monitoring (RUM) technology that is used to support application performance management (APM).
• Port mirroring on a Cisco Systems switch is generally referred to as Switched Port Analyzer (SPAN) or Remote Switched Port Analyzer (RSPAN).
• Other vendors have different names for it, such as Roving Analysis Port (RAP) on 3Com switches.

Network engineers or administrators use port mirroring to analyze and debug data or diagnose errors on a network.

• It helps administrators keep a close eye on network performance and alerts them when problems occur.
• It can be used to mirror either inbound or outbound traffic (or both) on single or multiple interfaces.

External links

• Cisco Systems - Catalyst Switched Port Analyzer (SPAN) Configuration Example
• Port mirroring (roving analysis port) - TechTarget, 2014
• Port Mirroring - Technopedia

https://en.wikipedia.org/wiki/Port_mirroring

Port-Mirroring

Beim Port-Mirroring spiegelt der Switch die Datenströme eines ausgewählten Ports (monitored Port) auf einen Ausgabe-Port (Monitoring-Port).

• So kann der Datenstrom des ausgewählten Ports mittels einem am Monitoring-Port angeschlossenen Messgerät analysiert werden, wie in Abbildung 2-8 dargestellt.

"Bild :Datenverkehr auslesen mittels Port-Mirroring"

Bild

Datenverkehr auslesen mittels Port-Mirroring

Der verwendete Switch muss hierzu Port-Mirroring unterstützen.

• Die gesendeten und empfangenen Daten des zu überwachenden Ports (monitored Port) werden auf den Monitoring Port übertragen.
• Die Datenrate des Monitoring-Ports begrenzt dabei die zu analysierende Datenmenge.
• Die Summe der ein- und ausgehenden Daten auf dem monitored Port darf die Datenrate des Monitoring-Ports nicht übersteigen.

• Port-Mirroring bietet eine einfache Methode, Datenströme auszulesen.
• Der verwendete Switch muss Port Mirroring unterstützen und es muss ein freier Port am Switch zur Verfügung stehen.
• Es können nur Daten erfasst werden, die den Switch durchlaufen.
• Von dem Einbauort des Switches hängt daher ab, welche Datenströme erfasst werden können.
• Die am Monitoring-Port ausgegebenen Pakete können sich von den ursprünglichen Paketen in Bezug auf ihren Aufbau (VLAN-Tag) sowie die zeitliche Zuordnung unterscheiden.

https://www.profinet.felser.ch/port-mirroring.html

Siehe auch

1. VLAN access control list (VACL)

Links

Weblinks

• https://www.juniper.net/documentation/us/en/software/junos/network-mgmt/topics/topic-map/port-mirroring-and-analyzers.html
• https://www.msxfaq.de/tools/3rdparty/portmirroring.htm
• NTOP
• NetMon 3
• WireShark
• Network taphttp://en.wikipedia.org/wiki/Network_tap
• Passiver Ethernet Tap im Praxistexthttp://www.nwlab.net/art/taps/passiver-tap.html
• Netgear GS-105Ehttp://www.netgear.de/products/business/switches/prosafe-plus-switches/gs105e.aspx
• Vulnerability Note VU#143740https://www.kb.cert.org/vuls/id/143740Laut Webseite wurde die VU gerade mal 2 Tage früher erstellt, als diese Seite per RSS-Feed publiziert wurde.
• Netter Zufall.
• Es schauen also auch noch andere ab und an in ein BIOS-update
• Deploying Deskphones für Lync? You Want This Switch!http://insideactiveroles.com/2014/09/09/deploying-deskphones-for-lync-you-want-this-switch/comment-page-1
• http://wiki.wireshark.org/TapReference
• http://ask.wireshark.org/questions/3413/network-tap
• https://ask.wireshark.org/questions/13814/where-can-i-find-a-good-tap
• http://www.lovemytool.com/blog/2011/07/cheap-and-cheerful-tap-alternative-by-tony-fortunato.html
• http://www.dual-comm.com/gigabit_port-mirroring-LAN_switch.htm
• http://www.netscout.com/products/service_provider/nSAS/ngenius_switches/ngenius_1500_series/Pages/default.aspx
• https://www.securityforrealpeople.com/2014/09/how-to-build-10-network-tap.html

https://www.msxfaq.de/tools/3rdparty/portmirroring.htm

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5