Port mirroring: como espelhar tráfego de um switch para monitoramento
Port mirroring — também chamado de SPAN (Switched Port Analyzer) — copia o tráfego de uma ou mais portas do switch para uma porta de destino, permitindo capturar e analisar pacotes com ferramentas como Wireshark, sem precisar instalar agentes em cada dispositivo monitorado.
Quando usar
É útil para diagnosticar problemas de rede difíceis de reproduzir, auditar tráfego suspeito com um IDS/IPS conectado à porta espelhada, ou validar se um dispositivo está gerando tráfego anômalo (como um loop ou uma varredura de rede indevida).
Passo a passo
- Identifique a porta de origem (source) que deseja monitorar — pode ser uma porta específica, uma VLAN inteira, ou o uplink do switch.
- Escolha uma porta de destino (destination) livre no mesmo switch, onde o notebook ou appliance de captura será conectado.
- Acesse a interface de gerenciamento do switch e localize a seção de espelhamento de porta (Port Mirroring / SPAN).
- Configure a porta de origem e a direção do tráfego a ser espelhado: apenas entrada (ingress), apenas saída (egress) ou ambos.
- Defina a porta de destino escolhida e salve a configuração.
- Conecte o equipamento de captura (notebook com Wireshark, sensor IDS etc.) na porta de destino.
- Inicie a captura e confirme que o tráfego esperado da porta de origem está aparecendo na ferramenta de análise.
Boas práticas
Evite deixar o espelhamento ativo permanentemente em produção sem necessidade — ele consome recursos do switch e da porta de destino. Ative apenas durante o período de diagnóstico ou monitoramento e desative depois.
Perguntas frequentes
Port mirroring reduz a performance da rede?
Em switches corporativos modernos, o impacto costuma ser mínimo, mas espelhar múltiplas portas de alto tráfego para um único destino pode saturar a porta de destino se ela não tiver banda suficiente.
Dá para espelhar tráfego de uma VLAN inteira?
Sim, a maioria dos switches gerenciáveis permite espelhar todo o tráfego de uma VLAN específica, não apenas de portas individuais.
Conclusão
Port mirroring é uma ferramenta essencial de diagnóstico que qualquer administrador de rede deveria saber configurar — é frequentemente o primeiro passo para investigar um problema que não aparece nos logs comuns.
