Port Mirroring

Port Mirroring ist das Vervielfältigen des Verkehrs eines Switchports auf einen zweiten Port, an dem ein Analysegerät mitschneidet. Es ist das Standardmittel, um in einem geschalteten Netz überhaupt an Datenverkehr zu kommen, der nicht für den eigenen Anschluss bestimmt ist.

Warum Port Mirroring nötig ist

In einem Netz mit Hubs sah jeder Anschluss alles. Ein Switch beendet das: Er leitet jeden Frame nur auf den Port, an dem der Empfänger hängt. Wer mitschneiden will, sieht am eigenen Anschluss deshalb nur den eigenen Verkehr sowie Rundsendungen.

Die Spiegelung hebt das gezielt auf. Der Switch schickt eine Kopie jedes Rahmens, der über einen bestimmten Port läuft, zusätzlich an einen festgelegten Zielport. Der ursprüngliche Verkehr bleibt davon unberührt — das Verfahren greift nicht ein, es kopiert.

Was gespiegelt wird

Die Quelle kann ein einzelner Port sein, mehrere Ports oder ein ganzes VLAN. Bei der Richtung gibt es drei Möglichkeiten:

Eingehend — nur was am Port ankommt. Ausgehend — nur was ihn verlässt. Beides — der Normalfall bei der Fehlersuche, weil sich Anfrage und Antwort nur gemeinsam beurteilen lassen.

Bei der Spiegelung beider Richtungen ist zu beachten, dass derselbe Rahmen zweimal erscheint, wenn beide beteiligten Ports gespiegelt werden — im Mitschnitt sieht das wie eine Wiederholung aus und ist keine.

Lokal und über Netzgrenzen

Lokal liegen Quelle und Ziel im selben Switch. Das ist der einfache und zuverlässige Fall.

Entfernt liegt das Analysegerät an einem anderen Switch. Die Kopien werden dann in einem eigenen VLAN zum Zielswitch transportiert, was voraussetzt, dass dieses VLAN auf dem gesamten Weg durchgereicht wird und die Zwischengeräte es nicht wie gewöhnlichen Verkehr behandeln.

Über Routergrenzen hinweg werden die Kopien in ein Transportprotokoll gekapselt und können so auch über Netzgrenzen geschickt werden. Das ist flexibel, belastet aber die Strecke dorthin mit dem gesamten gespiegelten Volumen — ein Punkt, der bei der Planung regelmäßig untergeht.

Wo die Spiegelung an Grenzen stößt

Diese Punkte entscheiden darüber, ob ein Mitschnitt verwertbar ist:

Der Zielport läuft über. Wird ein Gigabit-Port in beiden Richtungen gespiegelt, können bis zu 2 Gbit/s auf einem 1-Gbit-Zielport landen. Der Switch verwirft den Überschuss stillschweigend. Im Mitschnitt sieht das aus wie Paketverlust im Netz — und ist Verlust im Messaufbau. Bei der Spiegelung mehrerer Ports auf einen verschärft sich das entsprechend.

Fehlerhafte Rahmen fehlen. Viele Switches verwerfen Rahmen mit falscher Prüfsumme, bevor sie zur Spiegelung kommen. Wer gerade Übertragungsfehlern nachgeht, sieht sie im Mitschnitt nicht und muss die Fehlerzähler des Ports heranziehen.

VLAN-Kennungen verschwinden. Je nach Gerät und Richtung erscheinen Rahmen ohne ihre Kennzeichnung. Bei der Suche nach VLAN-Fehlern ist das genau die Information, die fehlt; manche Geräte lassen sich auf Beibehaltung einstellen.

Zeitstempel sind nicht exakt. Die Kopien werden nicht zwangsläufig in der ursprünglichen Reihenfolge und nicht ohne Verzögerung ausgegeben. Für Laufzeitmessungen im Mikrosekundenbereich taugt eine Spiegelung nicht.

Die Spiegelung kostet Leistung. Auf kleineren Geräten wird sie teils nicht in der Hardware erledigt; dann belastet sie die Steuereinheit und kann den Switch unter Last beeinträchtigen. Eine Spiegelung, die das Problem verändert, das sie untersuchen soll, ist die unangenehmste Form der Fehlersuche.

Der Zielport ist meist stumm. Am Spiegelport angeschlossene Geräte können häufig nicht senden — das Analysegerät ist über diesen Anschluss nicht erreichbar und braucht eine zweite Schnittstelle für die Fernwartung.

Rechtlicher Rahmen

Ein Mitschnitt enthält Inhalte der Kommunikation von Beschäftigten und Dritten. Vor der Einrichtung ist deshalb zu klären, auf welcher Grundlage das erfolgt, wie lange die Daten aufbewahrt werden und wer darauf zugreift; in Betrieben mit Interessenvertretung ist diese einzubeziehen.

Praktisch bedeutet das: so eng wie möglich spiegeln — ein Port statt eines VLAN, ein begrenzter Zeitraum, ein Filter auf die betroffene Adresse, und die Mitschnittdateien nach der Auswertung löschen.

Abgrenzung

Ein TAP ist ein passives Gerät, das in die Leitung eingeschleift wird und den Verkehr physikalisch auskoppelt. Er verliert nichts, verändert keine Zeitstempel, zeigt auch fehlerhafte Rahmen — braucht aber eine Unterbrechung der Strecke beim Einbau und ist auf eine Leitung festgelegt. Für belastbare Messungen ist er die bessere Wahl, für die schnelle Suche im Betrieb die Spiegelung.

Flusserfassung sammelt keine Pakete, sondern Verbindungsmerkmale — wer mit wem, wie viel, wie lange. Das beantwortet andere Fragen, fällt dauerhaft an und ist datenschutzrechtlich leichter zu handhaben.

Ein Mitschnitt am Endgerät zeigt den Verkehr dieses Geräts ohne Switch-Konfiguration, aber nur dessen eigenen — und nicht, was unterwegs verloren geht.

Quellen

• IEEE Std 802.1Q: Bridges and Bridged Networks
• RFC 7011: Specification of the IP Flow Information Export (IPFIX) Protocol
• RFC 2544: Benchmarking Methodology for Network Interconnect Devices