Skip to main content

Инструкция: поиск IP-адреса по MAC-адресу через RSPAN/удаленное зеркалирование на Cisco Catalyst 3750v2

1. Назначение инструкции

Цель инструкции — определить IP-адрес устройства, если известны MAC-адрес, коммутатор, порт подключения и VLAN/виртуальная локальная сеть, в которой коммутатор видит этот MAC-адрес.

Сценарий рассчитан на сеть без DHCP/динамической выдачи адресов, где IP-адреса назначаются вручную, устройство находится только в L2-сегменте, не шлюзуется через L3/маршрутизацию и нежелательно выполнять ping/пинг всей сети.

Для решения используется RSPAN/удаленное зеркалирование: трафик с удаленного source/источника копируется в служебную RSPAN VLAN/виртуальную локальную сеть зеркалирования, проходит по trunk/транковым портам до локального коммутатора и выводится на destination/порт назначения, куда подключен ноутбук с Wireshark/анализатором трафика.

2. Принятые обозначения

Обозначение Значение
SW-REMOTE Удаленный коммутатор, где подключено устройство с неизвестным IP-адресом.
SW-MIDDLE Промежуточный коммутатор на L2-пути между source/источником и destination/назначением.
SW-LOCAL Локальный коммутатор, куда подключается ноутбук с Wireshark/анализатором трафика.
Fa1/0/12 Пример access/порта доступа устройства на SW-REMOTE. Заменить на фактический порт.
Gi1/0/1, Gi1/0/2 Примеры trunk/транковых портов между коммутаторами. Заменить на фактические порты.
Fa1/0/24 Пример destination/порта назначения для ноутбука с Wireshark/анализатором трафика.
VLAN 2150 RSPAN VLAN/служебная VLAN удаленного зеркалирования.
FOR_RSPAN Name/имя VLAN 2150.
aa:bb:cc:dd:ee:ff Искомый MAC-адрес устройства. В командах Cisco используется формат aabb.ccdd.eeff.
Примечание: Все номера интерфейсов в инструкции примерные. Перед применением заменить их на реальные интерфейсы своей topology/топологии.

3. Исходная схема

3.1. Схема из двух коммутаторов

[Устройство с неизвестным IP]
        |
     Fa1/0/12
   SW-REMOTE
     Gi1/0/1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
     Gi1/0/1
   SW-LOCAL
     Fa1/0/24
        |
[Ноутбук с Wireshark/анализатором трафика]

3.2. Схема с промежуточными коммутаторами

[Устройство с неизвестным IP]
        |
     Fa1/0/12
   SW-REMOTE
     Gi1/0/1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-MIDDLE-1
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-MIDDLE-2
        |
 trunk/транковый порт
 VLAN 2150/FOR_RSPAN
        |
   SW-LOCAL
     Fa1/0/24
        |
[Ноутбук с Wireshark/анализатором трафика]

В схеме с промежуточными коммутаторами VLAN 2150/FOR_RSPAN должна быть создана и помечена командой remote-span на всех коммутаторах L2-пути: SW-REMOTE, всех SW-MIDDLE и SW-LOCAL.

Monitor session/сессия зеркалирования настраивается только на крайних коммутаторах: SW-REMOTE как source/источник RSPAN и SW-LOCAL как destination/назначение RSPAN. На промежуточных коммутаторах monitor session/сессия зеркалирования не создается.

4. Ключевые условия и ограничения

  • Между SW-REMOTE и SW-LOCAL должен существовать L2-путь через trunk/транковые порты.
  • VLAN 2150/FOR_RSPAN должна быть создана на всех коммутаторах, через которые проходит RSPAN/удаленное зеркалирование.
  • На всех этих коммутаторах внутри VLAN 2150 должна быть команда remote-span.
  • VLAN 2150 должна быть разрешена только на нужных trunk/транковых портах выбранного маршрута.
  • VLAN 2150 не должна быть native VLAN/родной VLAN на trunk/транковых портах.
  • VLAN 2150 не должна использоваться как обычная client/access VLAN/клиентская VLAN доступа.
  • Порт ноутбука не нужно назначать в VLAN 2150. Он должен быть destination/портом назначения monitor session/сессии зеркалирования.
  • Так как DHCP/динамической выдачи адресов нет, в Wireshark/анализаторе трафика ищем ARP/протокол разрешения адресов и IPv4/IP-трафик, а не DHCP lease/аренду адреса.

5. Важный безопасный порядок внедрения VLAN 2150/FOR_RSPAN

Важно: Если в рабочей кольцевой topology/топологии trunk/транковые порты настроены как allowed all/разрешены все VLAN, нельзя просто последовательно создавать VLAN 2150 на коммутаторах. Новый VLAN начнет проходить по trunk/транкам сразу после создания, и может возникнуть ситуация, когда на одной стороне он уже remote-span, а на другой еще отсутствует или не помечен как remote-span.

Практические риски при неправильном порядке внедрения: STP/PVST inconsistency/несогласованность STP, PVID inconsistency/несогласованность PVID, RECV_PVID_ERR, BLOCK_PVID_LOCAL, LOOPGUARD_BLOCK и потеря связности даже в рабочих VLAN, например VLAN 1.

Безопасный принцип: сначала изолировать будущую VLAN 2150 на trunk/транках, затем создать VLAN 2150/FOR_RSPAN с remote-span на всех коммутаторах пути, затем попарно разрешать VLAN 2150 только на нужных trunk/транках выбранного маршрута.

5.1. Итоговый безопасный порядок

  1. Не включать monitor session/сессию зеркалирования до завершения подготовки VLAN 2150.
  2. Определить точный L2-путь от SW-REMOTE до SW-LOCAL.
  3. Заранее убрать VLAN 2150 из allowed-list/списка разрешенных VLAN на trunk/транках и Port-channel/агрегированных каналах по этому пути.
  4. Создать VLAN 2150/FOR_RSPAN с командой remote-span на всех коммутаторах L2-пути.
  5. Проверить, что VLAN 2150 нигде не является native VLAN/родной VLAN.
  6. Добавлять VLAN 2150 в allowed-list/список разрешенных VLAN попарно на обоих концах каждого trunk/транка.
  7. Проверить show interfaces trunk на каждом участке.
  8. Только после этого включить RSPAN source session/сессию источника на SW-REMOTE.
  9. Затем включить RSPAN destination session/сессию назначения на SW-LOCAL.

5.2. Почему allowed-list/список разрешенных VLAN нужно добавлять попарно

Если VLAN 2150 уже создана как remote-span на всех коммутаторах, но временно разрешена только с одной стороны trunk/транка, обычно это приведет к blackhole/провалу трафика только для VLAN 2150. Это не должно ломать рабочие VLAN, но RSPAN/удаленное зеркалирование на этом участке не пройдет.

Тем не менее асимметрию лучше не оставлять. Правильный порядок: добавить VLAN 2150 на одном конце конкретного trunk/транка, сразу добавить на втором конце этого же trunk/транка, затем проверить оба коммутатора.

trunk/транк SW-A <-> SW-B:
  1. SW-A: switchport trunk allowed vlan add 2150
  2. SW-B: switchport trunk allowed vlan add 2150
  3. Проверить show interfaces trunk с обеих сторон

trunk/транк SW-B <-> SW-C:
  1. SW-B: switchport trunk allowed vlan add 2150
  2. SW-C: switchport trunk allowed vlan add 2150
  3. Проверить show interfaces trunk с обеих сторон

6. Нюанс по VLAN 2150 на Cisco Catalyst 3750v2

VLAN 2150 относится к extended-range VLAN/расширенному диапазону VLAN, потому что ее номер больше 1005.

1-1005      normal-range VLAN/обычный диапазон VLAN
1006-4094   extended-range VLAN/расширенный диапазон VLAN

На Catalyst 3750/3750v2 при VTP version 1/2 для создания extended-range VLAN/расширенной VLAN обычно требуется VTP transparent/прозрачный режим VTP. Если коммутатор находится в VTP server/client при VTP v1/v2, VLAN 2150 может не создаться.

Важно: Команду vtp mode transparent выполнять только осознанно. Если в сети используется VTP/протокол распространения VLAN, изменение VTP mode/режима VTP может повлиять на управление VLAN в сети.
! Проверяем VTP/version и VTP/mode.
show vtp status

! Проверяем internal VLAN/внутренние VLAN.
show vlan internal usage

Если используется VTP version 1/2 и VLAN 2150 не создается, потребуется transparent/прозрачный режим:

conf t

! Для extended-range VLAN/расширенной VLAN 2150 на VTP v1/v2
! нужен transparent/прозрачный режим.
vtp mode transparent

end

! Сохраняем конфигурацию.
write memory

7. Предварительная диагностика

7.1. Найти порт устройства по MAC-адресу на SW-REMOTE

! Ищем MAC-адрес в MAC address-table/таблице коммутации.
show mac address-table address aabb.ccdd.eeff

Пример результата:

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
10      aabb.ccdd.eeff    DYNAMIC     Fa1/0/12

В примере устройство подключено к порту Fa1/0/12.

7.2. Проверить порт устройства

! Проверяем status/состояние физического порта.
show interface Fa1/0/12 status

! Проверяем switchport/коммутационные параметры порта.
show interface Fa1/0/12 switchport

7.3. Проверить trunk/транковые порты

! Проверяем trunk/транковые порты.
show interfaces trunk

Нужно определить trunk/транковые порты, по которым пойдет VLAN 2150/FOR_RSPAN от SW-REMOTE до SW-LOCAL.

8. Этап 1. Изолировать VLAN 2150 до создания RSPAN

На всех trunk/транковых портах и Port-channel/агрегированных каналах выбранного маршрута заранее убрать VLAN 2150 из allowed-list/списка разрешенных VLAN. Это безопасно делать даже до создания самой VLAN.

8.1. Физический trunk/транковый порт

conf t

interface Gi1/0/1
 description TRUNK_TO_NEXT_SWITCH

 ! Заранее убираем VLAN 2150 из allowed-list/списка разрешенных VLAN.
 switchport trunk allowed vlan remove 2150

end

8.2. Port-channel/агрегированный канал

conf t

interface Port-channel1
 description TRUNK_TO_NEXT_SWITCH

 ! Убираем VLAN 2150 с Port-channel/агрегированного канала.
 switchport trunk allowed vlan remove 2150

end
Примечание: Если trunk/транк выполнен через EtherChannel/агрегированный канал, обычно allowed-list/список разрешенных VLAN задается на Port-channel/логическом интерфейсе. Физические member ports/порты-участники обычно наследуют настройки, но фактическую конфигурацию нужно проверить.

8.3. Проверка изоляции

! Проверяем trunk/транковые порты.
show interfaces trunk

На этом этапе VLAN 2150 не должна быть разрешена на trunk/транковых портах.

9. Этап 2. Создать VLAN 2150/FOR_RSPAN на всех коммутаторах пути

Следующий блок выполняется на SW-REMOTE, всех SW-MIDDLE/промежуточных коммутаторах и SW-LOCAL.

conf t

! Создаем VLAN/виртуальную локальную сеть 2150.
vlan 2150
 name FOR_RSPAN

 ! Помечаем VLAN как RSPAN VLAN/служебную VLAN удаленного зеркалирования.
 remote-span

exit

end

Проверка:

! Проверяем, что VLAN 2150 создана.
show vlan id 2150

! Проверяем список RSPAN VLAN/служебных VLAN удаленного зеркалирования.
show vlan remote-span

10. Этап 3. Проверить native VLAN/родную VLAN

VLAN 2150/FOR_RSPAN нельзя использовать как native VLAN/родную VLAN на trunk/транковых портах.

! Проверяем trunk/транковые порты и native VLAN/родную VLAN.
show interfaces trunk

Если где-то VLAN 2150 указана как native VLAN/родная VLAN, это нужно исправить до включения RSPAN/удаленного зеркалирования. Пример:

conf t

interface Gi1/0/1

 ! Пример: возвращаем native VLAN/родную VLAN на штатное значение.
 ! Указать вашу фактическую native VLAN/родную VLAN.
 switchport trunk native vlan 1

end

11. Этап 4. Разрешить VLAN 2150 только на нужном L2-пути

После того как VLAN 2150/FOR_RSPAN создана с remote-span на всех коммутаторах пути, ее можно разрешать на trunk/транковых портах. Делать это лучше попарно на обоих концах каждого trunk/транка.

11.1. SW-REMOTE

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_LOCAL_OR_SW_MIDDLE

 ! Разрешаем VLAN 2150 на trunk/транковом порту.
 ! Используем add, чтобы не стереть существующий allowed-list/список.
 switchport trunk allowed vlan add 2150

exit

end

11.2. Каждый SW-MIDDLE/промежуточный коммутатор

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE

 ! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-REMOTE.
 switchport trunk allowed vlan add 2150

exit

interface Gi1/0/2
 description TRUNK_TO_SW_LOCAL

 ! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-LOCAL.
 switchport trunk allowed vlan add 2150

exit

end

11.3. SW-LOCAL

conf t

interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE_OR_SW_MIDDLE

 ! Разрешаем VLAN 2150 на trunk/транковом порту.
 switchport trunk allowed vlan add 2150

exit

end

11.4. Проверка

! Проверяем, что VLAN 2150 разрешена и активна на нужных trunk/транках.
show interfaces trunk

12. Этап 5. Настроить RSPAN source session/сессию источника на SW-REMOTE

Этот раздел выполняется только на SW-REMOTE, где подключено устройство с неизвестным IP-адресом.

conf t

! Удаляем старую monitor session/сессию зеркалирования 1, если она была.
! Перед этим желательно проверить show monitor session, чтобы не удалить нужную сессию.
no monitor session 1

! source/источник — порт устройства с неизвестным IP-адресом.
! both/оба направления — копируем входящий и исходящий трафик.
monitor session 1 source interface Fa1/0/12 both

! destination/назначение для удаленной source session/сессии источника — RSPAN VLAN 2150.
monitor session 1 destination remote vlan 2150

end

Проверка:

! Проверяем RSPAN source session/сессию источника.
show monitor session 1

Ожидаемая логика вывода:

Session 1
---------
Type                   : Remote Source Session
Source Ports           : Fa1/0/12
Destination RSPAN VLAN : 2150

13. Этап 6. Проверить промежуточные коммутаторы SW-MIDDLE

На промежуточных коммутаторах должно быть только следующее:

  • VLAN 2150/FOR_RSPAN создана;
  • в VLAN 2150 задан remote-span;
  • VLAN 2150 разрешена на trunk/транковых портах в обе стороны.

На промежуточных коммутаторах не нужно настраивать:

monitor session 1 source ...
monitor session 1 destination ...

Также нельзя назначать пользовательские access/порты доступа в VLAN 2150:

switchport access vlan 2150

14. Этап 7. Подготовить порт ноутбука на SW-LOCAL

Порт ноутбука не нужно делать access/портом доступа в VLAN 2150. Он должен быть destination/портом назначения для monitor session/сессии зеркалирования.

Важно: Не назначать порт ноутбука в VLAN 2150 командой switchport access vlan 2150.
conf t

interface Fa1/0/24
 description WIRESHARK_RSPAN_CAPTURE

 ! Включаем порт.
 no shutdown

 ! Отключаем CDP/протокол обнаружения Cisco, чтобы уменьшить служебный шум.
 no cdp enable

 ! Отключаем DTP/динамическое согласование trunk.
 switchport nonegotiate

exit

end

После назначения как destination/порт назначения SPAN/RSPAN этот порт перестает быть обычным пользовательским портом и используется для вывода копии трафика на анализатор.

15. Этап 8. Настроить RSPAN destination session/сессию назначения на SW-LOCAL

conf t

! Удаляем старую monitor session/сессию зеркалирования 1, если она была.
! Перед этим желательно проверить show monitor session, чтобы не удалить нужную сессию.
no monitor session 1

! source/источник для локального вывода — RSPAN VLAN 2150.
monitor session 1 source remote vlan 2150

! destination/назначение — порт ноутбука с Wireshark/анализатором трафика.
monitor session 1 destination interface Fa1/0/24

end

Проверка:

! Проверяем RSPAN destination session/сессию назначения.
show monitor session 1

Ожидаемая логика вывода:

Session 1
---------
Type              : Remote Destination Session
Source RSPAN VLAN : 2150
Destination Ports : Fa1/0/24

16. Настройка ноутбука

На ноутбуке IP-адрес почти не важен, потому что ноутбук не становится участником сети. Он просто принимает копии Ethernet-кадров с destination/порта назначения.

  • IPv4 можно оставить автоматически.
  • Gateway/шлюз не нужен.
  • DNS не нужен.
  • Если Windows назначит 169.254.x.x, это нормально и не мешает capture/захвату.
  • Ноутбук не нужно адресовать из VLAN 2150.

При желании можно вручную указать любой неиспользуемый адрес без gateway/шлюза и DNS, например:

IP:      192.0.2.10
Mask:    255.255.255.0
Gateway: пусто
DNS:     пусто

17. Захват трафика в Wireshark/анализаторе трафика

  1. Подключить ноутбук в Fa1/0/24 на SW-LOCAL.
  2. Запустить Wireshark/анализатор трафика.
  3. Выбрать физический Ethernet-интерфейс.
  4. Запустить capture/захват.
  5. Проверить, что включен promiscuous mode/режим приема чужих кадров.

17.1. Основной filter/фильтр по MAC-адресу

eth.addr == aa:bb:cc:dd:ee:ff

17.2. Основной filter/фильтр для поиска IP-адреса

Так как DHCP/динамической выдачи адресов нет, основной фильтр такой:

eth.addr == aa:bb:cc:dd:ee:ff && (arp || ip)

17.3. Только ARP/протокол разрешения адресов

eth.addr == aa:bb:cc:dd:ee:ff && arp

17.4. Только IPv4/IP-трафик

eth.addr == aa:bb:cc:dd:ee:ff && ip

18. Как определить IP-адрес устройства

18.1. Вариант 1 — ARP request/ARP-запрос

В Wireshark/анализаторе трафика может быть строка:

Who has 192.168.10.1? Tell 192.168.10.55

В этом случае вероятный IP-адрес устройства — 192.168.10.55.

18.2. Вариант 2 — ARP reply/ARP-ответ

Может быть строка:

192.168.10.55 is at aa:bb:cc:dd:ee:ff

Тогда связка прямая: MAC aa:bb:cc:dd:ee:ff = IP 192.168.10.55.

18.3. Вариант 3 — обычный IPv4/IP-пакет

Открыть packet/пакет и посмотреть поля:

Ethernet II
    Source: aa:bb:cc:dd:ee:ff

Internet Protocol Version 4
    Source Address: 192.168.10.55

Если Ethernet Source/MAC-источник совпадает с искомым MAC-адресом, то IPv4 Source Address/IP-адрес источника обычно и есть IP-адрес устройства.

19. Если в Wireshark/анализаторе трафика ничего нет

Если устройство со статическим IP-адресом полностью молчит, RSPAN/удаленное зеркалирование не сможет показать IP-адрес. RSPAN/удаленное зеркалирование не вычисляет IP по MAC, а только передает фактический трафик.

Можно подождать несколько минут. Часто устройство периодически отправляет ARP/протокол разрешения адресов, gratuitous ARP/безвозмездный ARP или служебный IP-трафик к серверу/ПЛК/SCADA.

Если допустим кратковременный обрыв связи, можно перезапустить порт устройства на SW-REMOTE:

conf t

interface Fa1/0/12

 ! Кратковременно отключаем порт устройства.
 shutdown

 ! Включаем порт обратно.
 no shutdown

end
Важно: На производственной сети делать shutdown/no shutdown только если кратковременный разрыв связи допустим.

20. Проверка состояния RSPAN/удаленного зеркалирования

20.1. Проверка на SW-REMOTE

! Проверяем source session/сессию источника.
show monitor session 1

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем RSPAN VLAN/служебные VLAN удаленного зеркалирования.
show vlan remote-span

! Проверяем trunk/транковые порты.
show interfaces trunk

20.2. Проверка на SW-MIDDLE/промежуточных коммутаторах

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем, что VLAN 2150 помечена как RSPAN VLAN.
show vlan remote-span

! Проверяем, что VLAN 2150 разрешена на trunk/транках.
show interfaces trunk
Примечание: На промежуточных коммутаторах show monitor session 1 может ничего не показывать. Это нормально, потому что monitor session/сессия зеркалирования там не нужна.

20.3. Проверка на SW-LOCAL

! Проверяем destination session/сессию назначения.
show monitor session 1

! Проверяем VLAN 2150.
show vlan id 2150

! Проверяем RSPAN VLAN/служебные VLAN удаленного зеркалирования.
show vlan remote-span

! Проверяем trunk/транковые порты.
show interfaces trunk

! Проверяем физический порт ноутбука.
show interface Fa1/0/24 status

21. Типовые ошибки

21.1. VLAN 2150 не создана на промежуточном коммутаторе

Симптом: на SW-REMOTE source session/сессия источника есть, на SW-LOCAL destination session/сессия назначения есть, но в Wireshark/анализаторе трафика ничего нет.

show vlan id 2150
show vlan remote-span

Исправление:

conf t

vlan 2150
 name FOR_RSPAN
 remote-span

exit

end

21.2. На промежуточном коммутаторе забыли remote-span

Просто создать VLAN недостаточно. Нужно:

conf t

vlan 2150
 remote-span

end

21.3. VLAN 2150 не разрешена на trunk/транковом порту

show interfaces trunk

Исправление:

conf t

interface Gi1/0/1

 ! Добавляем VLAN 2150, не стирая существующие разрешенные VLAN.
 switchport trunk allowed vlan add 2150

end

21.4. Порт ноутбука сделали access/портом доступа в VLAN 2150

Так делать не нужно:

switchport access vlan 2150

Нужно именно:

monitor session 1 destination interface Fa1/0/24

21.5. На SW-REMOTE нет source session/сессии источника

monitor session 1 source interface Fa1/0/12 both
monitor session 1 destination remote vlan 2150

21.6. На SW-LOCAL нет destination session/сессии назначения

monitor session 1 source remote vlan 2150
monitor session 1 destination interface Fa1/0/24

21.7. Устройство молчит

Если устройство не отправляет ARP/IP-трафик, IP-адрес не появится. RSPAN/удаленное зеркалирование не может определить IP-адрес без фактического трафика.

22. Отключение RSPAN после проверки

22.1. На SW-REMOTE удалить source session/сессию источника

conf t

! Удаляем RSPAN source session/сессию источника.
no monitor session 1

end

22.2. На SW-LOCAL удалить destination session/сессию назначения

conf t

! Удаляем RSPAN destination session/сессию назначения.
no monitor session 1

end

22.3. Вернуть порт ноутбука в обычное состояние

conf t

interface Fa1/0/24
 description AVAILABLE_PORT

 ! Включаем CDP/протокол обнаружения Cisco обратно, если он нужен.
 cdp enable

 ! При необходимости возвращаем обычную access/настройку порта доступа.
 ! Пример:
 ! switchport mode access
 ! switchport access vlan <нужный_vlan>

end

22.4. Если VLAN 2150 больше не нужна — убрать ее с trunk/транковых портов

conf t

interface Gi1/0/1

 ! Убираем VLAN 2150 из allowed-list/списка разрешенных VLAN.
 switchport trunk allowed vlan remove 2150

end

Если на промежуточном коммутаторе VLAN 2150 была разрешена на двух trunk/транковых портах:

conf t

interface Gi1/0/1
 switchport trunk allowed vlan remove 2150
exit

interface Gi1/0/2
 switchport trunk allowed vlan remove 2150
exit

end

Если VLAN 2150 была разрешена на Port-channel/агрегированном канале:

conf t

interface Port-channel1

 ! Убираем VLAN 2150 с Port-channel/агрегированного канала.
 switchport trunk allowed vlan remove 2150

end

22.5. Если VLAN 2150 временная — удалить ее

conf t

! Удаляем VLAN 2150.
no vlan 2150

end

! Сохраняем конфигурацию.
write memory
Примечание: VTP mode/режим VTP обратно автоматически менять не нужно. Если для VLAN 2150 коммутатор переводился в transparent/прозрачный режим, возвращать его в server/client нужно только осознанно, с учетом вашей VTP-архитектуры.

23. Короткая версия команд

23.1. SW-REMOTE

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту.
interface Gi1/0/1
 description TRUNK_TO_SW_LOCAL_OR_SW_MIDDLE
 switchport trunk allowed vlan add 2150
exit

! Создаем source session/сессию источника RSPAN.
no monitor session 1
monitor session 1 source interface Fa1/0/12 both
monitor session 1 destination remote vlan 2150

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk
show monitor session 1

! Сохранение.
write memory

23.2. SW-MIDDLE

Выполнить на каждом промежуточном коммутаторе. На SW-MIDDLE не создавать monitor session/сессию зеркалирования.

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-REMOTE.
interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE
 switchport trunk allowed vlan add 2150
exit

! Разрешаем VLAN 2150 на trunk/транковом порту в сторону SW-LOCAL.
interface Gi1/0/2
 description TRUNK_TO_SW_LOCAL
 switchport trunk allowed vlan add 2150
exit

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk

! Сохранение.
write memory

23.3. SW-LOCAL

enable

! Проверяем VTP/протокол распространения VLAN.
show vtp status

configure terminal

! Нужно для VLAN 2150, если используется VTP version 1/2.
! Выполнять осознанно.
vtp mode transparent

! Создаем RSPAN VLAN/служебную VLAN удаленного зеркалирования.
vlan 2150
 name FOR_RSPAN
 remote-span
exit

! Разрешаем VLAN 2150 на trunk/транковом порту.
interface Gi1/0/1
 description TRUNK_TO_SW_REMOTE_OR_SW_MIDDLE
 switchport trunk allowed vlan add 2150
exit

! Готовим порт ноутбука.
interface Fa1/0/24
 description WIRESHARK_RSPAN_CAPTURE
 no shutdown
 no cdp enable
 switchport nonegotiate
exit

! Создаем destination session/сессию назначения RSPAN.
no monitor session 1
monitor session 1 source remote vlan 2150
monitor session 1 destination interface Fa1/0/24

end

! Проверка.
show vlan id 2150
show vlan remote-span
show interfaces trunk
show monitor session 1
show interface Fa1/0/24 status

! Сохранение.
write memory

24. Wireshark filter/фильтр Wireshark

eth.addr == aa:bb:cc:dd:ee:ff && (arp || ip)

Где aa:bb:cc:dd:ee:ff — MAC-адрес устройства с неизвестным IP-адресом, arp — ARP/протокол разрешения адресов, ip — IPv4/IP-трафик.

25. Итоговая логика

  1. Известен MAC-адрес устройства.
  2. На SW-REMOTE находим порт устройства.
  3. Заранее убираем VLAN 2150 из allowed VLAN/разрешенных VLAN на trunk/транках.
  4. Создаем VLAN 2150/FOR_RSPAN на всех коммутаторах L2-пути.
  5. На всех этих коммутаторах задаем remote-span.
  6. Проверяем, что VLAN 2150 не является native VLAN/родной VLAN.
  7. Разрешаем VLAN 2150 только на нужных trunk/транковых портах маршрута, попарно на обоих концах каждого trunk/транка.
  8. На SW-REMOTE создаем RSPAN source session/сессию источника.
  9. На SW-LOCAL создаем RSPAN destination session/сессию назначения.
  10. Подключаем ноутбук с Wireshark/анализатором трафика.
  11. Фильтруем трафик по MAC-адресу.
  12. Смотрим ARP Sender IP или IPv4 Source Address.
  13. Получаем IP-адрес устройства.

Ключевой момент: на промежуточных коммутаторах remote-span нужен, потому что VLAN 2150/FOR_RSPAN должна быть именно RSPAN VLAN/служебной VLAN удаленного зеркалирования на всем L2-пути. Но monitor session/сессия зеркалирования на промежуточных коммутаторах не создается.

Back to top