---

Hej!

Hvordan overvåger jeg alt trafik på en catalyst 3550 ?? Problemet er, at
jeg kører med et setup med redundant PIX, og skal have en sniffer på
trafikken.... Hvordan får jeg en kopi af alt trafik på f.eks. FastEthernet
0/12+0/13 over på et andet interface - hvor jeg kanh sætte min sniffer på ??

/Brian

---

On Thu, 15 Jan 2004 12:40:36 +0100, "Brian Ipsen"
<bipsen@andebakken.dk> wrote:

> Hvordan får jeg en kopi af alt trafik på f.eks. FastEthernet 0/12+0/13
> over på et andet interface - hvor jeg kanh sætte min sniffer på ??

Se under SPAN i dokumentationen.

-A

---

"Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
news:nu0d00hhkoifvn2vu7ml1aget5n3pklvd1@news.sunsite.dk...

> > Hvordan får jeg en kopi af alt trafik på f.eks. FastEthernet 0/12+0/13
> > over på et andet interface - hvor jeg kanh sætte min sniffer på ??
>
> Se under SPAN i dokumentationen.

Prøver jeg:

monitor session 1 source vlan 1 both
monitor session 1 destination interface Fa0/47

og laver så "sh monitor session 1" får jeg:

Session 1
---------
Source Ports:
RX Only: None
TX Only: None
Both: None
Source VLANs:
RX Only: None
TX Only: None
Both: None
Destination Ports: Fa0/47
Encapsulation: Native
Filter VLANs: None

Kan man ikke gøre det på vlan1 ?

/Brian

---

In newsgroup dk.edb.netvaerk wrote, Brian Ipsen, this, the Thu, 15 Jan
2004 13:28:46 +0100:

Hello Brian Ipsen,

>monitor session 1 source vlan 1 both
>monitor session 1 destination interface Fa0/47
>
>og laver så "sh monitor session 1" får jeg:

Hvis jeg husker rigtigt, kan du kun monitorere indgående trafik baseret
på VLANs

Ergo:

monitor session 1 source vlan 1 rx
monitor session 1 destination interface Fa0/47

Cisco har endnu et forbehold på port niveau. Du kan kun monitorere
udgående trafik på en enkelt port, og ikke på flere porte.

--
Med venlig hilsen
Kristian Krautwald

---

On Thu, 15 Jan 2004 13:28:46 +0100, "Brian Ipsen"
<bipsen@andebakken.dk> wrote:

>> Se under SPAN i dokumentationen.

> Prøver jeg:

Jeg tror, du overså det sted, hvor der står, at man ikke kan
monitorere udgående trafik på flere interfaces eller på et VLAN.

Hvis man vil monitorere flere porte (i en session), kan det kun
være rx (ingress) trafik. Hvis man vil monitorere et VLAN, kan
det kun være rx trafik.

> monitor session 1 source vlan 1 both
> [...]
> Kan man ikke gøre det på vlan1 ?

Sæt det til rx. Hvis du lytter på al trafik, der kommer ind i et
VLAN, får du jo faktisk det alt sammen, også tx. Tænk over det et
øjeblik.

<<pause.wav>>

Hvis trafikken kommer ind på én port i et VLAN, så skal den jo ud
på en anden port i det samme VLAN.[1]


I øvrigt: Hvad er det egentlig du forsøger at opnå med det?

-A
[1] OK, det vil ikke virke for trafik routet af switchen selv til
det pågældende VLAN, men ellers.
--
Heroes: Vint Cerf & Bob Kahn, Leonard Kleinrock, Robert Metcalfe, Jon Postel
Links : http://www.hojmark.net/
FAQ : http://www.net-faq.dk/

---

"Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
news:oh2e00tmub3ru0fpenn1v3o7r8h8afjtkv@news.cybercity.dk...

> > monitor session 1 source vlan 1 both
> > [...]
> > Kan man ikke gøre det på vlan1 ?
>
> Sæt det til rx. Hvis du lytter på al trafik, der kommer ind i et
> VLAN, får du jo faktisk det alt sammen, også tx. Tænk over det et
> øjeblik.
>
> <<pause.wav>>
>
> Hvis trafikken kommer ind på én port i et VLAN, så skal den jo ud
> på en anden port i det samme VLAN.[1]
>
> I øvrigt: Hvad er det egentlig du forsøger at opnå med det?

Jeg har 2 x PIX515 på switchen i et failover setup. Jeg ønsker at have
monitor/sniffer på en enkelt port til Snort IDS - og det skal jo gerne
fungere uanset hvilken pix, der er aktiv.

/Brian

---

On Mon, 19 Jan 2004 09:02:49 +0100, "Brian Ipsen"
<bipsen@andebakken.dk> wrote:

> Jeg har 2 x PIX515 på switchen i et failover setup. Jeg ønsker at have
> monitor/sniffer på en enkelt port til Snort IDS - og det skal jo gerne
> fungere uanset hvilken pix, der er aktiv.

Er de to PIXer forbunder til en eller to switche?

-A
--
Heroes: Vint Cerf & Bob Kahn, Leonard Kleinrock, Robert Metcalfe, Jon Postel
Links : http://www.hojmark.net/
FAQ : http://www.net-faq.dk/

---

"Asbjorn Hojmark" <Asbjorn@Hojmark.ORG> wrote in message
news:oebo00ltg6fu7tlc89uv5e3k0gcef78shb@news.cybercity.dk...

> > Jeg har 2 x PIX515 på switchen i et failover setup. Jeg ønsker at have
> > monitor/sniffer på en enkelt port til Snort IDS - og det skal jo gerne
> > fungere uanset hvilken pix, der er aktiv.
>
> Er de to PIXer forbunder til en eller to switche?

De sidder i samme switch

/Brian