[Cisco] span poort ook gebruiken voor ingress traffic

[enveekaa]

Ik probeer een span poort aan te maken waar een server achter draait met één interface. Aanmaken van de span poort gaat wel goed maar ik kan vervolgens niet meer communiceren met het device op de span poort ( eenvoudige server). Nu meen ik gelezen te hebben dan het mogelijk is om ingress traffic op een span poort gewoon zou kunnen werken, indien de configuratie juist is.

De volgende twee commando's heb ik uitgevoerd (en een aantal variaties hierop, maar die zal ik jullie besparen);

code:

monitor session 1 source interface gigabitEthernet 4/0/21, gigabitEtherrnet 5/0/21 both
monitor session 1 destination interface gigabitEthernet 1/0/11 encapsulation replicate ingress untagged vlan 202

Ik zou zeggen dat ik nu zowel ingress als egress verkeer doorzet naar gi 1/0/11 (dat werkt).
In de tweede regel geef volgens mij aan dat untagged ingress verkeer naar vlan 202 moet, maar dat lijkt niet helemaal aan te komen.

Aan gi 1/0/11 hangt een vlan unaware server. De port settings zijn als volgt;

code:

interface GigabitEthernet1/0/11
 switchport access vlan 202
 switchport mode access
 switchport nonegotiate
 spanning-tree portfast
end

Iemand een idee wat ik over het hoofd zie? of is het uberhaupt niet mogelijk om op een span poort ingress traffic te verwerken? Buiten het feit of het wel handig is

[ Voor 4% gewijzigd door enveekaa op 16-11-2010 16:10 ]

[Bloodshot]

Als je al structureel wilt sniffen, waarom plemp je dan niet een extra NIC in de server en gebruikt die dedicated voor sniffing? Ik weet het helaas niet 100% zeker, maar verwacht dat het niet mogelijk is om een monitor session destination poort ook te gebruiken voor "normaal" verkeer.

Overigens krijg je met deze configuratie van gi5/0/21 ingress en egress, maar van Gi4/0/21 volgens mij alleen ingress. Doe eens "show monitor" en dan zul je dat als het goed is zien.

[enveekaa]

Een extra nic is denk ik wel de beste optie.. idd.
Ik snap wat je bedoelt, bij elke interface moet ik waarschijnlijk 'both' aangeven.. zal morgen eens kijken of dat klopt.

[Bloodshot]

Volgens mij kun je niet voor meerdere interfaces "both" opgeven, maar mogelijk is dit IOS-versie afhankelijk.

Het is zelfs hardware-afhankelijk of je 1 of 2 monitor sessions kunt configureren.

[Kabouterplop01]

Ik weet niet of je op die machine (die switch) meer dan 1 interface hebt met dat vlan, maar anders sniff je het traffic van het vlan 202 zelf.

als je die poort in vlan 202 hangt heeft die poort toch tag 220? waarom wil je dan untagged verkeer?

[ Voor 35% gewijzigd door Kabouterplop01 op 17-11-2010 18:57 . Reden: duidelijker ]

[enveekaa]

Zou kunnen Kabouterplop01, ben nog aan het experimenteren
Ga nog eens in de documentatie duiken!