개념 사전 · 개념

SPAN·RSPAN·ERSPAN

SPAN · RSPAN · 포트 미러링 · Switched Port Analyzer · Remote SPAN

은 스위치가 선택한 트래픽의 복사본을 분석 포트로 보내는 관측 기능이다. 은 원격 을, 은 IP망의 캡슐화를 이용하므로 원래 서비스 경로와 복제본 경로를 구분해야 한다.

밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.

01무엇이고, 어떤 일을 하나

센서를 실제 데이터 경로에 직접 삽입하지 않고 프레임을 관찰하게 한다.
포트··수신/송신 방향을 지정해 조사할 트래픽 범위를 선택한다.
여러 위치의 복제본을 수집해 전달 전후의 주소·TTL·ACK 상태를 비교한다.

02어떤 순서로 동작하나

관찰 범위 선택
문제 흐름이 지나가는 포트·과 rx/tx/both 방향을 결정한다. · 전후를 비교하려면 서로 어떤 헤더가 달라질지 먼저 예상해야 한다.
복제 경로 설정
로컬이면 으로, 다른 스위치이면 으로 복제본을 운반한다. 은 지원 장비에서 IP/ 경로를 사용하며 각 방식의 운반 경로를 구분한다.
센서 수집
목적지 포트에 연결한 센서에서 올바른 인터페이스와 필터·을 지정한다. 여러 의 합이 용량보다 크면 서비스망은 정상이어도 복제본이 누락될 수 있다.
패킷 대응과 한계 판정
시각·tuple·순서 번호·인터페이스를 맞춰 요청과 응답을 연결한다. 수집 손실··중복 관측을 배제한 범위에서만 재전송·무응답의 원인을 결론낸다.

03먼저 알아둘 용어와 구성요소

: 복제할 포트나 과 방향을 지정하는 입력 조건이다.
: 복제본을 보내는 관찰용 포트로 일반 단말 포트 역할과 다를 수 있다.
: 복제된 프레임을 다른 스위치까지 운반하도록 지정한 원격 미러링 이다.
: 캡처에서 패킷마다 저장할 최대 바이트 수다. 너무 작으면 프로토콜 뒷부분이 잘려 해석이 제한된다.
: 다. 스위치가 선택한 포트·의 트래픽 사본을 관측 포트로 전달하는 기능이다.
: 이다. 전용 을 통해 다른 스위치까지 관측 트래픽을 전달하는 방식이다.
: Encapsulated 이다. 미러링 데이터를 등으로 캡슐화해 IP 네트워크 너머로 전송하는 기능이다.
: Berkeley Packet Filter다. 캡처할 패킷을 선택하는 데 널리 쓰는 필터 체계다. 표시 필터 문법과 동일하지 않다.
: 체크섬 계산이나 세그먼트 분할 등을 NIC 등에 맡기는 기능이다. 호스트 캡처와 실제 선로 패킷의 모양이 다를 수 있다.

LEARN THROUGH PRACTICE

SPAN 목적지에서 다른 두 단말의 ICMP를 관찰하기

스위치 포트의 트래픽을 별도 포트로 복제하고, 보이는 패킷과 관측 한계를 구분한다.

실습 구성과 전제

IOSvL2 실습의 PC1은 Gi0/1, PC2는 Gi0/2, PC3는 Gi0/3에 연결되어 있다. PC2 쪽 링크를 캡처 지점으로 사용한다.
미러링 목적지는 일반 사용자 통신용 포트와 역할이 다르다. 이 실습은 다른 두 단말의 트래픽을 관찰하는 전용 지점을 만든다.

source와 destination을 명시한다
- Gi0/1을 , Gi0/2를 으로 설정하면 PC1이 주고받는 프레임 복사본이 PC2 쪽으로 전달된다. both는 포트의 수신과 송신 방향을 모두 대상으로 한다.
- 은 IP 목적지를 바꾸는 설정이 아니다. 원래 프레임을 관찰용 링크로 복제하므로 캡처에 PC1·PC3 주소가 그대로 보일 수 있다.
text
```
monitor session 1 source interface GigabitEthernet0/1 both
monitor session 1 destination interface GigabitEthernet0/2
end
show monitor session 1
```
Gi0/1→Gi0/2 원 실습을 방향까지 명시하여 재구성했다. 장비가 해당 명령을 지원한다는 조건이다.
확인 기준
와 을 뒤집지 않는다. 세션 번호는 구성 식별자이고 서로 다른 명령이 같은 세션을 가리켜야 한다.
PC1과 PC3 사이 테스트를 캡처한다
- PC1에서 PC3로 ping하며 PC2 링크의 캡처를 읽는다. 화면에 Echo request와 reply가 보이는 것은 복제 지점이 그 통신을 관측했다는 증거다.
- 함께 보이는 와 는 각각 주소 해석과 스위치 제어 프레임이다. 만 찾으려면 표시 필터를 써서 화면을 좁히되 원 캡처를 지우지 않는다.
text
```
icmp || arp
```
표시 필터 예시. 캡처 필터 문법으로 그대로 사용하지 않는다.
원본 크기로 보기 ↗
- 왼쪽 구성에는 PC1 source, PC2 destination 표기와 세 개의 스위치 연결이 있다.
- 오른쪽 목록에 ARP와 1.1.1.1↔1.1.1.3 ICMP Echo request/reply가 보인다.
확인 기준
PC2 자신의 목적지 주소만 찾으면 미러링 트래픽을 놓친다. 출발지·목적지가 PC1·PC3인 흐름을 선택한다.
다른 장비의 show 출력도 같은 관점으로 판독한다
- 아래 ESW1 화면은 앞 IOSvL2와 다른 실습의 검증 예시다. Both Fa1/0, Fa1/15로 같은 ·direction· 구조를 보여 준다.
- 패킷이 없을 때는 방향, 필터, 센서 링크 및 캡처 인터페이스를 먼저 확인한다. 미러링 대역폭 초과나 관측 손실 가능성 때문에 보이지 않는 패킷을 원래 회선의 손실로 바로 단정하지 않는다.
text
```
show monitor session 1
show interfaces GigabitEthernet0/2
```
실습 흐름을 재구성한 명령 예시. 장치·인터페이스 이름은 구성에 맞춰 사용한다.
원본 크기로 보기 ↗
- Session 1의 Source Ports Both는 Fa1/0이다.
- Destination Ports는 Fa1/15이고 Filter VLANs는 None이다.
확인 기준
서로 다른 인터페이스 이름을 한 구성의 변경 전후로 연결하지 않는다. show monitor 이 의도한 관찰 지점을 가리키는지 확인한다.

실습에서 확인한 동작 원리

은 복제 관찰 기능이므로 미러링 센서 자체가 트래픽을 차단하는 inline 가 되는 것은 아니다.
패킷 해석 전에 어느 포트의 어느 방향을 보고 있는지 확정해야 한다.

관련 개념·전체 실습 화면 이어서 읽기 →

동작·명령 참고 문서

Cisco — Catalyst SPAN 구성과 검증 ↗

04예제로 따라가기

가상 SW1의 Gi1/0/1 수신 트래픽을 Gi1/0/24의 분석기로 복제하면 원래 단말의 통신을 유지하면서 입구 패킷을 비교할 수 있다. 복제 방향이 rx인지 tx인지 both인지에 따라 관측되는 요청·응답 범위가 달라진다.
SW1에서 생성한 복제본을 900으로 운반하고 SW2가 그 을 remote 으로 받아 분석 포트로 내보낼 수 있다. 중간 트렁크가 이 을 허용하지 않으면 원래 서비스는 정상이어도 원격 관측만 비게 된다.
1Gbps 목적지 포트로 여러 1Gbps 원본 포트의 트래픽을 동시에 복제하면 순간 합계가 목적지 수용량을 넘을 수 있다. 분석기에서 패킷이 없다는 사실을 곧바로 원래 링크의 손실로 판단하지 않고 복제 경로·버퍼·캡처 손실을 구분한다.

05혼동하기 쉬운 점과 확인 기준

가상 14· 20· 32바이트 패킷을 =60으로 저장했다면 헤더까지 필요한 66바이트보다 6바이트 부족하다. 옵션 해석 실패는 실제 잘못된 패킷이 아니라 수집 잘림일 수 있다.
송신 호스트에서만 체크섬이 불완전하고 외부 또는 수신 캡처에서 정상이라면 NIC 와 일치한다. 반대로 링크 이후에도 검증 실패가 남으면 송신 전 표시만의 문제로 설명할 수 없다.
수신 경로의 병합 기능도 여러 패킷을 큰 단위로 보이게 할 수 있다. 어느 방향에서 어느 가 적용됐는지를 구분해야 길이·간격 분석이 맞는다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.

패킷 캡처·SPAN·RSPAN: 관측 위치와 실제 해석스위치 복제 경로, 캡처·표시 필터 문법, 프레임·스트림 해석과 누락의 원인을 연결하고 RSPAN 원본 화면에서 확인 가능한 범위를 구분합니다.상세 노트 읽기 →

공식 문서 · 표준

기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.