SPAN-Port
Switched Port ANalyzer — Cisco-Begriff für Port-Mirroring. Der Switch kopiert Traffic von Source-Port(s) auf einen Ziel-Port, an dem ein Sniffer/IDS/Wireshark analysieren kann. Standardwerkzeug für Troubleshooting und Security-Monitoring.
RSPAN: Remote SPAN über einen VLAN-Trunk zu einem anderen Switch. ERSPAN: encapsulated Remote SPAN über IP (GRE) — kann bis zu einem beliebigen entfernten Server reichen. Grenze: Der Durchsatz des SPAN-Zielports muss größer sein als der Source-Traffic, sonst gibt es Drops. Moderne Alternativen: dedizierte Netzwerk-TAPs (passiver optischer Splitter — kein Einfluss auf den Switch), Packet Broker (Gigamon, Arista DANZ). In der Cloud: AWS VPC Traffic Mirroring ist das ERSPAN-Äquivalent. Abzugrenzen von NetFlow: SPAN liefert volle Pakete, NetFlow aggregierte Flow-Metadaten.