Cisco Systems 3130 User Manual

Features that can cause a packet to be dropped during receive processing have no effect on ingress 
SPAN; the destination port receives a copy of the packet even if the actual incoming packet is 
dropped. These features include IP standard and extended input access control lists (ACLs), ingress 
QoS policing, VLAN ACLs, and egress QoS policing. 

Transmit (Tx) SPAN—The goal of transmit (or egress) SPAN is to monitor as much as possible all 
the packets sent by the source interface after all modification and processing is performed by the 
switch. A copy of each packet sent by the source is sent to the destination port for that SPAN session. 
The copy is provided after the packet is modified.

Packets that are modified because of routing—for example, with modified time-to-live (TTL), 
MAC-address, or QoS values—are duplicated (with the modifications) at the destination port. 

Features that can cause a packet to be dropped during transmit processing also affect the duplicated 
copy for SPAN. These features include IP standard and extended output ACLs and egress QoS 
policing.

Both—In a SPAN session, you can also monitor a port or VLAN for both received and sent packets. 
This is the default.

The default configuration for local SPAN session ports is to send all packets untagged. SPAN also does 
not normally monitor bridge protocol data unit (BPDU) packets and Layer 2 protocols, such as Cisco 
Discovery Protocol (CDP), VLAN Trunk Protocol (VTP), Dynamic Trunking Protocol (DTP), Spanning 
Tree Protocol (STP), and Port Aggregation Protocol (PAgP). However, when you enter the 
encapsulation replicate keywords when configuring a destination port, these changes occur:

Packets are sent on the destination port with the same encapsulation—untagged, Inter-Switch Link 
(ISL), or IEEE 802.1Q—that they had on the source port.

Packets of all types, including BPDU and Layer 2 protocol packets, are monitored.

Therefore, a local SPAN session with encapsulation replicate enabled can have a mixture of untagged, 
ISL, and IEEE 802.1Q tagged packets appear on the destination port.

Switch congestion can cause packets to be dropped at ingress source ports, egress source ports, or SPAN 
destination ports. In general, these characteristics are independent of one another. For example:

A packet might be forwarded normally but dropped from monitoring due to an oversubscribed SPAN 
destination port.

An ingress packet might be dropped from normal forwarding, but still appear on the SPAN 
destination port.

An egress packet dropped because of switch congestion is also dropped from egress SPAN.

In some SPAN configurations, multiple copies of the same source packet are sent to the SPAN 
destination port. For example, a bidirectional (both Rx and Tx) SPAN session is configured for the Rx 
monitor on port A and Tx monitor on port B. If a packet enters the switch through port A and is switched 
to port B, both incoming and outgoing packets are sent to the destination port. Both packets are the same 
(unless a Layer-3 rewrite occurs, in which case the packets are different because of the packet 
modification).

A source port (also called a monitored port) is a switched or routed port that you monitor for network 
traffic analysis. In a local SPAN session or RSPAN source session, you can monitor source ports or 
VLANs for traffic in one or both directions. The switch supports any number of source ports (up to the 
maximum number of available ports on the switch) and any number of source VLANs (up to the 
maximum number of VLANs supported). However, the switch supports a maximum of two sessions 
(local or RSPAN) with source ports or VLANs. You cannot mix ports and VLANs in a single session.