網絡入侵檢測技術已成為網絡防護的重要手段之一，入侵檢測技術的基礎是對網絡中數據的收集，目前的方法主要有安放探針設備、采用共享式Hub以及利用網絡設備本身提供的數據監控功能等。在實際的應用環境尤其是在局域網中最方便而且最實用的手段應該是利用網絡設備的自身功能進行數據收集。
我們在實際的網絡集成工作中經常會使用Cisco公司Catalyst系列交換機，這里就此類設備監控功能的配置進行介紹，希望能夠對網絡治理人員以及安全防護的實施有一定的幫助（本文以Catalyst4000系列交換機為例）。

配置SPAN對話（SPAN session)

基本功能

通過設置SPAN對話能夠對本交換機端口或整個VLAN的數據流進行監視，被監控的數據流可以由協議分析設備進行分析處理。

工作方式

SPAN對話由一個目的端口和一組源端口組成，它將一個或多個VLAN上的一個或多個源端口的數據包復制到目的端口上。SPAN不影響源端口的正常工作，也不會影響正常的交換機操作。在交換網絡中可以配置多個SPAN對話，只有當目的端口可操作，同時源端口或源VLAN中的任意一個端口活動時才可激活SPAN對話。

配置命令

將被監視的端口或VLAN配置為源端口，將接收被復制數據包的端口設置為目的端口。

set span {src_mod/src_ports src_vlan} dest_mod/dest_port [rx tx both] [filter vlan] [inpkts {enable disable}] [learning {enable disable}] [create]

配置說明

src_mod/src_ports: 源模塊/端口號。它們可以存在于任何VLAN中，也可以配置一個或多個VLAN作為源端口(src_vlans)，此時該VLAN中的所有端口作為SPAN對話中的源端口。一個端口可以配置為多個SPAN對話的源端口。

dest_mod/dest_port: 目的模塊/端口號。每個SPAN對話中只有一個目的端口，同一個端口不能作為多個SPAN對話的目的端口，一個目的端口不能被配置為源端口，活動的目的端口不參與Spanning Tree。

[rx tx both]: 通過源端口的流量可以分為進入（ingress）、外出（egress）、雙向（both）三類，可以在SPAN對話中配置監視的是哪種類型的數據包。當監視整個VLAN的數據時只能為雙方向的數據流。

[filter vlan]: Trunk VLAN過濾，6.3(1)以后的版本可以對源端口為Trunk的端口進行VLAN限制過濾，只答應指定VLAN的流量被復制到目的端口。

[inpkts {enable disable}]: 缺省情況下目的端口被激活后將不接收進入的數據包，造成目的端口不能與其他設備進行通信，可以通過配置答應進行轉發，此時發送的數據包在本端口所屬的VLAN內進行交換。此目的端口將不參與本VLAN的Spanning Tree。

[learning {enable disable}]: 當答應目的端口進行轉發時，可以設置答應從目的端口學習源MAC地址，此項只影響與目的端口相連的設備。缺省時為enable，但當配置inpkts enable時應同時配置learning enable。

[create]: 采用create可以產生新的SPAN對話，最多可以同時運行5個SPAN對話。

注重

1. SPAN對話只能監視本交換機內的數據包。

2. 交換機的sc0接口不能配置為SPAN源端口。

3. EtherChannel端口不能作為SPAN目的端口。

4. 在進行SPAN對話配置時，假如目的端口的Trunking模式為“On” 或 “Nonegotiate”，則SPAN包將以原Trunking配置的封裝格式進行轉發，同時這個目的端口將停止Trunking。

配置例子：

例1：

配置port 2/5 (the SPAN source) 的出入雙向數據包被復制到port 2/10 (the SPAN destination)。

Console> (enable) set span 2/5 2/10

Console> (enable) show span

Destination : Port 2/10

Admin Source : Port 2/5

Oper Source : None

Direction : transmit/receive

Incoming Packets: disabled

Learning : enabled

Filter : -

Status : active

-----------------------------

Total local span sessions: 1

Console> (enable)


例2：

配置VLAN 522和523為SPAN source， port 2/1 為SPAN destination:

Console> (enable) set span 522－523 2/1

Console> (enable) show span

Destination : Port 2/1

Admin Source : VLAN 522－523

Oper Source : Port 2/1-2

Direction : transmit/receive

Incoming Packets: disabled

Learning : enabled

Filter : -

Status : active

----------------

Total local span sessions: 1

Console> (enable)

禁止SPAN

set span disable [dest_mod/dest_port all] 通過禁止目的端口可以清除SPAN對話。


例如：

Console> (enable) set span disable 2/3

This command may disable your span session(s).

Do you want to continue (y/n) [n]? y

Disabled Port 2/3 to monitor transmit/receive traffic of Port

Incoming Packets disabled. Learning enabled.

Console> (enable)

注：以上命令適用于set命令集的Catalyst系列交換機，對一些IOS命令的交換機如Catalyst2950、3500等，其命令有所不同。