Skip to main content

Инструкция: поиск IP-адреса по MAC-адресу через RSPAN/удаленное зеркалирование на Cisco Catalyst 3750v2

1. Назначение инструкции

Цель — определить IP-адрес устройства, если известны:

MAC-адрес устройства;
коммутатор, куда подключено устройство;
порт подключения устройства;
VLAN/виртуальная локальная сеть, в которой виден MAC-адрес.

При этом:

DHCP/динамической выдачи адресов в сети нет;
IP-адреса задаются вручную;
устройство находится только в L2-сегменте;
устройство нигде не шлюзуется;
пинговать всю сеть нежелательно.

Для решения используется:

RSPAN/удаленное зеркалирование;
VLAN 2150/FOR_RSPAN;
Wireshark/анализатор трафика;
ноутбук, подключенный к локальному коммутатору.

RSPAN/удаленное зеркалирование позволяет копировать трафик с source/источника на одном коммутаторе и передавать его через специальную RSPAN VLAN/служебную VLAN удаленного зеркалирования на destination/назначение на другом коммутаторе, где подключен анализатор трафика.

2. Принцип работы

Обычный SPAN/зеркалирование портов работает локально внутри одного коммутатора:

source/порт-источник → destination/порт назначения

RSPAN/удаленное зеркалирование позволяет передать копию трафика через сеть:

source/порт-источник
→ RSPAN VLAN/служебная VLAN удаленного зеркалирования
→ trunk/транковые порты
→ destination/порт назначения
→ Wireshark/анализатор трафика

Для RSPAN VLAN/служебной VLAN удаленного зеркалирования Cisco указывает специальные свойства: трафик в ней flooding/рассылается, MAC-learning/обучение MAC-адресов не выполняется, а трафик RSPAN VLAN идет только по trunk/транковым портам; сама VLAN должна быть создана командой remote-span.

3. Исходная схема

3.1. Простая схема из двух коммутаторов

[Устройство с неизвестным IP]
        |
     Fa1/0/12
   SW-REMOTE
     Gi1/0/1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
     Gi1/0/1
   SW-LOCAL
     Fa1/0/24
        |
[Ноутбук с Wireshark/анализатором трафика]

Обозначения:

SW-REMOTE  — удаленный коммутатор, где подключено устройство;
SW-LOCAL   — локальный коммутатор, где подключается ноутбук;

Fa1/0/12   — source/источник, порт устройства на SW-REMOTE;
Gi1/0/1    — trunk/транковый порт между коммутаторами;
Fa1/0/24   — destination/назначение, порт ноутбука на SW-LOCAL;

VLAN 2150  — RSPAN VLAN/служебная VLAN удаленного зеркалирования;
FOR_RSPAN  — name/имя VLAN.

Номера портов в инструкции нужно заменить на фактические.

3.2. Схема с промежуточными коммутаторами

[Устройство с неизвестным IP]
        |
     Fa1/0/12
   SW-REMOTE
     Gi1/0/1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-MIDDLE-1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-MIDDLE-2
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-LOCAL
     Fa1/0/24
        |
[Ноутбук с Wireshark/анализатором трафика]

В такой схеме VLAN 2150/FOR_RSPAN должна быть создана и помечена командой remote-span на всех коммутаторах L2-пути:

SW-REMOTE;
SW-MIDDLE-1;
SW-MIDDLE-2;
SW-LOCAL.

monitor session/сессия зеркалирования при этом настраивается только на крайних коммутаторах:

SW-REMOTE — source/источник RSPAN;
SW-LOCAL  — destination/назначение RSPAN.

На промежуточных коммутаторах monitor session/сессия зеркалирования не настраивается.

4. Важный безопасный порядок внедрения VLAN 2150/FOR_RSPAN

Это особенно важно для рабочей кольцевой topology/топологии, где trunk/транковые порты по умолчанию пропускают все VLAN.

4.1. Почему нельзя просто последовательно создавать VLAN 2150

Если на trunk/транковых портах стоит разрешение всех VLAN, то новый VLAN начинает проходить по trunk/транкам сразу после создания. В рабочей кольцевой topology/топологии это может привести к ситуации, когда на одной стороне VLAN 2150 уже создан как remote-span, а на другой стороне его еще нет или он еще не помечен как remote-span.

Практический риск:

STP/PVST inconsistency;
PVID inconsistency;
RECV_PVID_ERR;
BLOCK_PVID_LOCAL;
LOOPGUARD_BLOCK;
потеря связности даже в рабочих VLAN, например VLAN 1.

Поэтому безопасный порядок такой:

сначала изолировать будущий VLAN 2150 на trunk/транках;
потом создать VLAN 2150/FOR_RSPAN и remote-span на всех коммутаторах;
потом разрешить VLAN 2150 только на нужном маршруте source/источник → destination/назначение.

4.2. Безопасная последовательность

Общий порядок:

1. Найти весь L2-путь от SW-REMOTE до SW-LOCAL.
2. На всех trunk/транковых портах и Port-channel/агрегированных каналах заранее убрать VLAN 2150 из allowed VLAN/разрешенных VLAN.
3. Создать VLAN 2150/FOR_RSPAN с remote-span на всех коммутаторах пути.
4. Проверить, что VLAN 2150 нигде не используется как native VLAN/родная VLAN.
5. Разрешить VLAN 2150 только на нужных trunk/транковых портах выбранного маршрута.
6. Настроить RSPAN source session/сессию источника на SW-REMOTE.
7. Настроить RSPAN destination session/сессию назначения на SW-LOCAL.
8. Запустить Wireshark/анализатор трафика.

5. Нюанс по VLAN 2150 на Cisco Catalyst 3750v2

VLAN 2150 относится к extended-range VLAN/расширенному диапазону VLAN:

1–1005      — normal-range VLAN/обычный диапазон VLAN;
1006–4094   — extended-range VLAN/расширенный диапазон VLAN.

На Catalyst 3750/3750v2 при VTP version 1/2 для создания extended-range VLAN/расширенных VLAN обычно требуется VTP transparent/прозрачный режим VTP. Если коммутатор находится в VTP server/client при VTP v1/v2, VLAN 2150 может быть отклонен. VTP version 3 поддерживает extended-range VLAN/расширенные VLAN шире.

Перед настройкой на каждом коммутаторе:

! Проверяем VTP/version и VTP/mode.
show vtp status

Также желательно проверить, не занят ли VLAN 2150 внутренними нуждами коммутатора:

! Проверяем internal VLAN/внутренние VLAN.
show vlan internal usage

Если используется VTP version 1/2 и VLAN 2150 не создается, потребуется:

conf t

! Для extended-range VLAN/расширенной VLAN 2150 на VTP v1/v2 нужен transparent/прозрачный режим.
! ВАЖНО: выполнять осознанно, если в сети используется VTP/протокол распространения VLAN.
vtp mode transparent

end

! Сохраняем конфигурацию.
write memory

6. Предварительная диагностика

6.1. Найти порт устройства по MAC-адресу на SW-REMOTE

! Ищем MAC-адрес в MAC address-table/таблице коммутации.
show mac address-table address aabb.ccdd.eeff

Пример результата:

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
10      aabb.ccdd.eeff    DYNAMIC     Fa1/0/12

Значит устройство подключено к:

Fa1/0/12

6.2. Проверить порт устройства

! Проверяем status/состояние физического порта.
show interface Fa1/0/12 status

! Проверяем switchport/коммутационные параметры порта.
show interface Fa1/0/12 switchport

6.3. Проверить trunk/транковые порты

На всех коммутаторах пути:

! Проверяем trunk/транковые порты.
show interfaces trunk

Нужно понять, по каким trunk/транковым портам пойдет VLAN 2150/FOR_RSPAN.

7. Безопасная изоляция VLAN 2150 до создания RSPAN

Перед созданием VLAN 2150 нужно заранее убрать его из allowed VLAN/разрешенных VLAN на trunk/транках и Port-channel/агрегированных каналах, особенно если сейчас там фактически allowed all/разрешены все VLAN.

7.1. На физических trunk/транковых портах

Пример:

conf t

interface Gi1/0/1
 description TRUNK_TO_NEXT_SWITCH

 ! Заранее убираем VLAN 2150 из allowed-list/списка разрешенных VLAN.
 ! Это безопасно даже если VLAN 2150 еще не создан.
 switchport trunk allowed vlan remove 2150

end

7.2. На Port-channel/агрегированном канале

Если trunk/транк выполнен через EtherChannel/агрегированный канал, команду нужно давать на Port-channel/логическом агрегированном интерфейсе:

conf t

interface Port-channel1
 description TRUNK_TO_NEXT_SWITCH

 ! Убираем VLAN 2150 из allowed-list/списка разрешенных VLAN на Port-channel/агрегированном канале.
 switchport trunk allowed vlan remove 2150

end

Обычно allowed VLAN/разрешенные VLAN задаются именно на Port-channel, а physical member ports/физические порты-участники наследуют настройку. Если в вашей конфигурации allowed-list/список разрешенных VLAN задан отдельно на физических портах, нужно проверить и их.

7.3. Проверка

! Проверяем trunk/транковые порты.
show interfaces trunk

В выводе VLAN 2150 не должен быть разрешен до момента, когда все коммутаторы готовы.

8. Создание VLAN 2150/FOR_RSPAN на всех коммутаторах пути

Этот раздел нужно выполнить на:

SW-REMOTE;
всех SW-MIDDLE/промежуточных коммутаторах;
SW-LOCAL.

conf t

! Создаем VLAN/виртуальную локальную сеть 2150.
vlan 2150
 name FOR_RSPAN

 ! Помечаем VLAN как RSPAN VLAN/служебную VLAN удаленного зеркалирования.
 remote-span

exit

end

Проверка:

! Проверяем, что VLAN 2150 создана.
show vlan id 2150

! Проверяем список RSPAN VLAN/служебных VLAN удаленного зеркалирования.
show vlan remote-span

Ожидаемо 2150 должен отображаться как RSPAN VLAN/служебная VLAN удаленного зеркалирования.

9. Проверка native VLAN/родной VLAN

VLAN 2150/FOR_RSPAN нельзя использовать как native VLAN/родную VLAN на trunk/транковых портах.

Проверка:

! Проверяем trunk/транковые порты и native VLAN/родную VLAN.
show interfaces trunk

Если где-то VLAN 2150 указана как native VLAN/родная VLAN, это нужно исправить до включения RSPAN/удаленного зеркалирования.

Пример исправления:

conf t

interface Gi1/0/1

 ! Пример: возвращаем native VLAN/родную VLAN на штатное значение.
 ! Указать вашу фактическую native VLAN/родную VLAN.
 switchport trunk native vlan 1

end

10. Разрешение VLAN 2150 только на нужном L2-пути

После того как VLAN 2150/FOR_RSPAN создана с remote-span на всех коммутаторах пути, можно поэтапно разрешить ее на нужных trunk/транковых портах.

10.1. На SW-REMOTE

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_LOCAL_OR_SW_MIDDLE

 ! Разрешаем VLAN 2150 на trunk/транковом порту.
 ! Используем add, чтобы не стереть существующий список VLAN.
 switchport trunk allowed vlan add 2150

exit

end

10.2. На каждом SW-MIDDLE/промежуточном коммутаторе

Если промежуточный коммутатор имеет два trunk/транковых порта:

Gi1/0/1 — в сторону SW-REMOTE;
Gi1/0/2 — в сторону SW-LOCAL.

Команды:

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE

 ! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-REMOTE.
 switchport trunk allowed vlan add 2150

exit

interface Gi1/0/2
 description TRUNK_TO_SW_LOCAL

 ! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-LOCAL.
 switchport trunk allowed vlan add 2150

exit

end

10.3. На SW-LOCAL

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE_OR_SW_MIDDLE

 ! Разрешаем VLAN 2150 на trunk/транковом порту.
 switchport trunk allowed vlan add 2150

exit

end

10.4. Проверка

На каждом коммутаторе:

! Проверяем, что VLAN 2150 разрешена и активна на нужных trunk/транковых портах.
show interfaces trunk

11. Настройка RSPAN source session/сессии источника на SW-REMOTE

SW-REMOTE — коммутатор, где подключено устройство с неизвестным IP-адресом.

Пример:

Fa1/0/12 — порт устройства;
VLAN 2150 — RSPAN VLAN/служебная VLAN удаленного зеркалирования.

Команды:

conf t

! Удаляем старую monitor session/сессию зеркалирования 1, если она была.
no monitor session 1

! source/источник — порт устройства с неизвестным IP-адресом.
! both/оба направления — копируем входящий и исходящий трафик.
monitor session 1 source interface Fa1/0/12 both

! destination/назначение для удаленной source session/сессии источника — RSPAN VLAN 2150.
monitor session 1 destination remote vlan 2150

end

Проверка:

! Проверяем RSPAN source session/сессию источника.
show monitor session 1

Ожидаемая логика:

Session 1
---------
Type                   : Remote Source Session
Source Ports           : Fa1/0/12
Destination RSPAN VLAN : 2150

12. Настройка промежуточных коммутаторов SW-MIDDLE

На промежуточных коммутаторах должно быть только:

VLAN 2150/FOR_RSPAN создана;
remote-span задан;
VLAN 2150 разрешена на trunk/транковых портах в обе стороны.

На промежуточных коммутаторах не нужно настраивать:

monitor session 1 source ...
monitor session 1 destination ...

Также нельзя назначать пользовательские access/порты доступа в VLAN 2150:

switchport access vlan 2150

Промежуточный коммутатор должен только транспортировать RSPAN VLAN/служебную VLAN удаленного зеркалирования.

13. Подготовка порта ноутбука на SW-LOCAL

SW-LOCAL — коммутатор, где подключается ноутбук с Wireshark/анализатором трафика.

Пример:

Fa1/0/24 — порт ноутбука.

Порт ноутбука не нужно делать access/портом доступа в VLAN 2150.

Не нужно:

switchport access vlan 2150

Рекомендуемая подготовка:

conf t

interface Fa1/0/24
 description WIRESHARK_RSPAN_CAPTURE

 ! Включаем порт.
 no shutdown

 ! Отключаем CDP/протокол обнаружения Cisco, чтобы уменьшить лишний служебный трафик.
 no cdp enable

 ! Отключаем DTP/динамическое согласование trunk, чтобы порт не пытался согласовывать trunk/транк.
 switchport nonegotiate

exit

end

После назначения как destination/порт назначения SPAN/RSPAN этот порт перестает быть обычным пользовательским портом и используется для вывода копии трафика на анализатор.

14. Настройка RSPAN destination session/сессии назначения на SW-LOCAL

Команды:

conf t

! Удаляем старую monitor session/сессию зеркалирования 1, если она была.
no monitor session 1

! source/источник для локального вывода — RSPAN VLAN 2150.
monitor session 1 source remote vlan 2150

! destination/назначение — порт ноутбука с Wireshark/анализатором трафика.
monitor session 1 destination interface Fa1/0/24

end

Проверка:

! Проверяем RSPAN destination session/сессию назначения.
show monitor session 1

Ожидаемая логика:

Session 1
---------
Type              : Remote Destination Session
Source RSPAN VLAN : 2150
Destination Ports : Fa1/0/24

15. Настройка ноутбука

На ноутбуке IP-адрес почти не важен, потому что ноутбук не становится участником сети. Он просто принимает копии Ethernet-кадров с destination/порта назначения.

Можно оставить:

IPv4: получить автоматически;
Gateway/шлюз: пусто;
DNS: пусто.

Так как DHCP/динамической выдачи IP-адресов нет, Windows может назначить адрес вида:

169.254.x.x

Это нормально и не мешает Wireshark/анализатору трафика.

Можно вручную задать любой неиспользуемый адрес без gateway/шлюза и DNS, например:

IP:      192.0.2.10
Mask:    255.255.255.0
Gateway: пусто
DNS:     пусто

Ноутбук не нужно адресовать из VLAN 2150. VLAN 2150/FOR_RSPAN — это transport VLAN/транспортная VLAN для зеркалированного трафика между коммутаторами, а не пользовательская VLAN/сеть для ноутбука.

16. Захват трафика в Wireshark/анализаторе трафика

На ноутбуке:

1. Подключить кабель в Fa1/0/24 на SW-LOCAL.
2. Запустить Wireshark/анализатор трафика.
3. Выбрать физический Ethernet-интерфейс.
4. Запустить capture/захват.
5. Проверить, что включен promiscuous mode/режим приема чужих кадров.

16.1. Основной filter/фильтр по MAC-адресу

eth.addr == aa:bb:cc:dd:ee:ff

16.2. Основной filter/фильтр для поиска IP-адреса

Так как DHCP/динамической выдачи адресов нет:

eth.addr == aa:bb:cc:dd:ee:ff && (arp || ip)

16.3. Только ARP/протокол разрешения адресов

eth.addr == aa:bb:cc:dd:ee:ff && arp

16.4. Только IPv4/IP-трафик

eth.addr == aa:bb:cc:dd:ee:ff && ip

17. Как определить IP-адрес устройства

17.1. Вариант 1 — ARP request/ARP-запрос

В Wireshark/анализаторе трафика может быть строка:

Who has 192.168.10.1? Tell 192.168.10.55

Здесь вероятный IP-адрес устройства:

192.168.10.55

17.2. Вариант 2 — ARP reply/ARP-ответ

Может быть строка:

192.168.10.55 is at aa:bb:cc:dd:ee:ff

Тогда связка прямая:

MAC aa:bb:cc:dd:ee:ff = IP 192.168.10.55

17.3. Вариант 3 — обычный IPv4/IP-пакет

Открыть packet/пакет и посмотреть поля:

Ethernet II
    Source: aa:bb:cc:dd:ee:ff

Internet Protocol Version 4
    Source Address: 192.168.10.55

Если Ethernet Source/MAC-источник совпадает с искомым MAC-адресом, то IPv4 Source Address/IP-адрес источника обычно и есть IP-адрес устройства.

18. Если в Wireshark/анализаторе трафика ничего нет

Если устройство со статическим IP-адресом полностью молчит, RSPAN/удаленное зеркалирование не сможет показать IP-адрес. RSPAN/удаленное зеркалирование не вычисляет IP по MAC, а только передает фактический трафик.

Можно подождать несколько минут. Часто устройство периодически отправляет:

ARP/протокол разрешения адресов;
gratuitous ARP/безвозмездный ARP;
служебный IP-трафик к серверу/ПЛК/SCADA;
LLDP/CDP, но они не всегда показывают IP.

Если допустим кратковременный обрыв связи, можно перезапустить порт устройства на SW-REMOTE:

conf t

interface Fa1/0/12

 ! Кратковременно отключаем порт устройства.
 shutdown

 ! Включаем порт обратно.
 no shutdown

end

После поднятия link/линка устройство может отправить ARP/IP-пакеты.

На производственной сети делать это только если кратковременный разрыв связи допустим.

19. Проверка состояния RSPAN/удаленного зеркалирования

19.1. Проверка на SW-REMOTE

! Проверяем source session/сессию источника.
show monitor session 1

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем RSPAN VLAN/служебные VLAN удаленного зеркалирования.
show vlan remote-span

! Проверяем trunk/транковые порты.
show interfaces trunk

19.2. Проверка на SW-MIDDLE/промежуточных коммутаторах

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем, что VLAN 2150 помечена как RSPAN VLAN/служебная VLAN удаленного зеркалирования.
show vlan remote-span

! Проверяем, что VLAN 2150 разрешена на trunk/транковых портах.
show interfaces trunk

На промежуточных коммутаторах show monitor session 1 может ничего не показывать — это нормально.

19.3. Проверка на SW-LOCAL

! Проверяем destination session/сессию назначения.
show monitor session 1

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем RSPAN VLAN/служебные VLAN удаленного зеркалирования.
show vlan remote-span

! Проверяем trunk/транковые порты.
show interfaces trunk

! Проверяем физический порт ноутбука.
show interface Fa1/0/24 status

20. Типовые ошибки

20.1. VLAN 2150 не создана на промежуточном коммутаторе

Симптом:

На SW-REMOTE source session/сессия источника есть.
На SW-LOCAL destination session/сессия назначения есть.
Но в Wireshark/анализаторе трафика ничего нет.

Проверить:

show vlan id 2150
show vlan remote-span

Исправить:

conf t

vlan 2150
 name FOR_RSPAN
 remote-span

exit

end

20.2. На промежуточном коммутаторе забыли remote-span

Просто создать VLAN недостаточно. Нужно:

conf t

vlan 2150
 remote-span

end

20.3. VLAN 2150 не разрешена на trunk/транковом порту

Проверить:

show interfaces trunk

Исправить:

conf t

interface Gi1/0/1

 ! Добавляем VLAN 2150, не стирая существующие разрешенные VLAN.
 switchport trunk allowed vlan add 2150

end

20.4. На SW-LOCAL порт ноутбука сделали access/портом доступа в VLAN 2150

Так делать не нужно:

switchport access vlan 2150

Нужно именно:

monitor session 1 destination interface Fa1/0/24

20.5. На SW-REMOTE нет source session/сессии источника

На SW-REMOTE должно быть:

monitor session 1 source interface Fa1/0/12 both
monitor session 1 destination remote vlan 2150

20.6. На SW-LOCAL нет destination session/сессии назначения

На SW-LOCAL должно быть:

monitor session 1 source remote vlan 2150
monitor session 1 destination interface Fa1/0/24

20.7. Устройство молчит

Если устройство не отправляет ARP/IP-трафик, то IP-адрес не появится. RSPAN/удаленное зеркалирование не может определить IP-адрес без фактического трафика.

21. Отключение RSPAN после проверки

21.1. На SW-REMOTE удалить source session/сессию источника

conf t

! Удаляем RSPAN source session/сессию источника.
no monitor session 1

end

21.2. На SW-LOCAL удалить destination session/сессию назначения

conf t

! Удаляем RSPAN destination session/сессию назначения.
no monitor session 1

end

21.3. Вернуть порт ноутбука в обычное состояние

conf t

interface Fa1/0/24
 description AVAILABLE_PORT

 ! Включаем CDP/протокол обнаружения Cisco обратно, если он нужен.
 cdp enable

 ! При необходимости возвращаем обычную access/настройку порта доступа.
 ! Пример:
 ! switchport mode access
 ! switchport access vlan <нужный_vlan>

end

21.4. Если VLAN 2150 больше не нужна — убрать ее с trunk/транковых портов

На SW-REMOTE, SW-LOCAL и всех промежуточных коммутаторах:

conf t

interface Gi1/0/1

 ! Убираем VLAN 2150 из allowed-list/списка разрешенных VLAN.
 switchport trunk allowed vlan remove 2150

end

Если на промежуточном коммутаторе VLAN 2150 была разрешена на двух trunk/транковых портах:

conf t

interface Gi1/0/1
 switchport trunk allowed vlan remove 2150
exit

interface Gi1/0/2
 switchport trunk allowed vlan remove 2150
exit

end

Если VLAN 2150 была разрешена на Port-channel/агрегированном канале:

conf t

interface Port-channel1

 ! Убираем VLAN 2150 с Port-channel/агрегированного канала.
 switchport trunk allowed vlan remove 2150

end

21.5. Если VLAN 2150 временная — удалить ее

На всех коммутаторах, где она создавалась:

conf t

! Удаляем VLAN 2150.
no vlan 2150

end

! Сохраняем конфигурацию.
write memory

VTP mode/режим VTP обратно автоматически менять не нужно. Если до работ коммутатор был в VTP server/client, а для VLAN 2150 его переводили в transparent/прозрачный режим, возвращать режим обратно нужно только осознанно, с пониманием вашей VTP-архитектуры.

22. Короткая версия команд

22.1. SW-REMOTE

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту.
interface Gi1/0/1
 description TRUNK_TO_SW_LOCAL_OR_SW_MIDDLE
 switchport trunk allowed vlan add 2150
exit

! Создаем source session/сессию источника RSPAN.
no monitor session 1
monitor session 1 source interface Fa1/0/12 both
monitor session 1 destination remote vlan 2150

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk
show monitor session 1

! Сохранение.
write memory

22.2. SW-MIDDLE

Выполнить на каждом промежуточном коммутаторе.

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-REMOTE.
interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE
 switchport trunk allowed vlan add 2150
exit

! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-LOCAL.
interface Gi1/0/2
 description TRUNK_TO_SW_LOCAL
 switchport trunk allowed vlan add 2150
exit

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk

! Сохранение.
write memory

На SW-MIDDLE не нужно:

monitor session 1 source ...
monitor session 1 destination ...

22.3. SW-LOCAL

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту.
interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE_OR_SW_MIDDLE
 switchport trunk allowed vlan add 2150
exit

! Готовим порт ноутбука.
interface Fa1/0/24
 description WIRESHARK_RSPAN_CAPTURE
 no shutdown
 no cdp enable
 switchport nonegotiate
exit

! Создаем destination session/сессию назначения RSPAN.
no monitor session 1
monitor session 1 source remote vlan 2150
monitor session 1 destination interface Fa1/0/24

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk
show monitor session 1
show interface Fa1/0/24 status

! Сохранение.
write memory

23. Wireshark filter/фильтр Wireshark

Основной filter/фильтр:

eth.addr == aa:bb:cc:dd:ee:ff && (arp || ip)

Где:

aa:bb:cc:dd:ee:ff — MAC-адрес устройства с неизвестным IP-адресом;
arp                 — ARP/протокол разрешения адресов;
ip                  — IPv4/IP-трафик.

24. Итоговая логика

Известен MAC-адрес устройства
→ на SW-REMOTE находим порт устройства
→ заранее убираем VLAN 2150 из allowed VLAN/разрешенных VLAN на trunk/транках
→ создаем VLAN 2150/FOR_RSPAN на всех коммутаторах L2-пути
→ на всех этих коммутаторах задаем remote-span
→ проверяем, что VLAN 2150 не является native VLAN/родной VLAN
→ разрешаем VLAN 2150 только на нужных trunk/транковых портах маршрута
→ на SW-REMOTE создаем RSPAN source session/сессию источника
→ на SW-LOCAL создаем RSPAN destination session/сессию назначения
→ подключаем ноутбук с Wireshark/анализатором трафика
→ фильтруем трафик по MAC-адресу
→ смотрим ARP Sender IP или IPv4 Source Address
→ получаем IP-адрес устройства

Ключевой момент: на промежуточных коммутаторах remote-span нужен, потому что VLAN 2150/FOR_RSPAN должна быть именно RSPAN VLAN/служебной VLAN удаленного зеркалирования на всем L2-пути. Но monitor session/сессия зеркалирования на промежуточных коммутаторах не создается.

Back to top