Предположим, у меня есть два коммутатора Cisco, каждый из которых выводит некоторый сетевой трафик на порт SPAN, и мне нужно отправить сумму всего этого трафика на третье устройство для мониторинга этого трафика через libpcap. Самый простой способ добиться этого - иметь две сетевые карты в целевом устройстве и отправлять по одному порту SPAN каждому, но предположим, что целевое устройство содержит только одну сетевую карту и не может быть расширено.
Очевидно, я не могу маршрутизировать SPAN-трафик через коммутатор или маршрутизатор, так как коммутатор не будет пассивно отправлять весь трафик на мое устройство мониторинга, не обращая внимания на MAC, IP, ARP и т. Д. Однако это именно то, что было в «пассивном» концентраторе старой школы. сделал бы.
Будут ли два порта SPAN «хорошо играть» вывод на один концентратор или они будут «взаимодействовать» друг с другом и игнорировать конфликт ресурсов и т. Д. Я знаю, что порт SPAN работает как обычное устройство Ethernet, поскольку он не может принимать трафик, отвечать на запросы ARP и т. Д., Но сохраняет ли он достаточное количество умных элементов Ethernet для сосуществования с другими передатчиками в той же цепи, или он должен быть единственным передатчиком на проводе?
Порты SPAN на коммутаторе будут только отправлять трафик - они отбрасывают любой входящий трафик. Попробуйте это в лабораторных условиях.
Взгляните на RSPAN - http://www.cisco.com/en/US/docs/switches/lan/catalyst6500/ios/12.2SX/configuration/guide/span.pdf - что может помочь вам, перенаправляя ваш SPAN-трафик на другой коммутатор и через один SPAN-порт.