Netmirror : comprendre le miroir réseau facilement

Netmirror : qu'est-ce que le miroir réseau et pourquoi ça change tout pour la surveillance de votre infrastructure

Mis à jour le 03/08/2026 par Adrien Vialatte

Le netmirror — abréviation de network mirroring, ou miroir réseau en français — est une technique qui consiste à dupliquer en temps réel le trafic circulant sur un réseau informatique pour l'analyser sans l'interrompre. C'est l'un des fondements de la surveillance réseau moderne, utilisé aussi bien par les administrateurs systèmes des grandes entreprises que par les passionnés de cybersécurité. Si vous avez déjà entendu parler de « port mirroring », de « SPAN session » ou de « network tap », vous êtes déjà dans le monde du netmirror.

Qu'est-ce que le netmirror ?

Le netmirror est une méthode de duplication du trafic réseau qui permet d'envoyer une copie conforme des paquets de données vers un système d'analyse, sans perturber la circulation normale de l'information. Concrètement, imaginez un carrefour routier : le netmirror installe une caméra qui filme tous les véhicules qui passent, sans jamais bloquer ni ralentir la circulation. C'est exactement ce principe appliqué aux données informatiques.

Le terme « netmirror » regroupe plusieurs technologies distinctes mais complémentaires :

• Le port mirroring (ou SPAN — Switched Port Analyzer) : fonctionnalité intégrée aux commutateurs réseau (switches) qui copie le trafic d'un ou plusieurs ports vers un port dédié à l'analyse.
• Le network tap (Test Access Point) : dispositif matériel passif branché physiquement sur le câble réseau, qui duplique le signal électrique ou optique sans intervention logicielle.
• Le miroir RSPAN (Remote SPAN) : variante du SPAN qui permet d'envoyer le trafic dupliqué vers un équipement d'analyse situé sur un autre segment du réseau.
• L'encapsulation ERSPAN (Encapsulated Remote SPAN) : version plus évoluée qui encapsule le trafic miroir dans des paquets GRE pour le router à travers des réseaux IP.

La notion de netmirror est intimement liée à celle de réseau informatique et de ses protocoles, documentée notamment par l'IEEE et l'IETF dans leurs standards officiels.

---

Comment fonctionne le netmirror techniquement ?

Le netmirror fonctionne en intercalant un mécanisme de copie entre la source du trafic et sa destination normale, de façon transparente pour les deux parties. Voici le déroulement précis, étape par étape.

Le chemin d'un paquet dans une architecture SPAN

1. Un paquet entre sur le switch depuis l'ordinateur source (port A).
2. Le switch consulte sa table de commutation (MAC address table) pour déterminer vers quel port envoyer le paquet (port B).
3. Simultanément, le moteur SPAN du switch copie le paquet vers le port miroir (port C), où est connecté le système d'analyse (sonde IDS, Wireshark, etc.).
4. Le paquet original continue son chemin normalement vers le port B. L'émetteur et le récepteur n'ont connaissance d'aucune interception.

Cette opération se passe à la vitesse du silicium, en nanosecondes, ce qui explique pourquoi un netmirror bien configuré n'introduit aucune latence mesurable sur le trafic de production.

La différence entre SPAN et network tap

Critère	Port SPAN (logiciel)	Network Tap (matériel)
Mode d'installation	Configuration sur le switch	Insertion physique sur le câble
Impact sur le trafic	Nul si switch non saturé	Totalement passif (tap optique)
Perte de paquets	Possible si surcharge du switch	Quasi-inexistante (tap passif)
Coût	Inclus dans le switch géré	Entre 300 € et plusieurs milliers €
Déploiement	Rapide (quelques commandes CLI)	Nécessite une intervention physique
Idéal pour	Tests, audits ponctuels	Surveillance permanente critique

J'ai eu l'occasion de déployer un SPAN sur un switch Cisco Catalyst 9200 dans le cadre d'un audit de sécurité pour une PME lyonnaise. La configuration m'a pris environ dix minutes. En revanche, quand le switch commençait à dépasser 80 % de charge, j'observais des pertes de paquets sur le port miroir — phénomène bien documenté et à garder à l'esprit.

---

Pourquoi utiliser le netmirror pour surveiller son réseau ?

Le netmirror répond à plusieurs besoins critiques en matière de sécurité, de performance et de conformité réglementaire. C'est un outil de visibilité passive : il observe sans modifier, ce qui en fait une référence pour les environnements sensibles.

Les cas d'usage principaux

1. Détection d'intrusions (IDS/IPS) Les systèmes de détection d'intrusion comme Snort ou Suricata ont besoin d'un accès en temps réel à tout le trafic réseau. Le netmirror leur fournit cette copie sans qu'ils soient « dans le chemin » du trafic — ce qui évite qu'une panne de la sonde paralyse le réseau.

2. Analyse de performances applicatives (APM) Des outils comme ntopng ou Zeek peuvent analyser le flux miroir pour détecter des goulots d'étranglement, des temps de réponse anormaux ou des connexions parasites.

3. Forensique et investigation d'incidents Quand un incident de sécurité survient, capturer le trafic en amont via un netmirror (avec des outils comme tcpdump ou Wireshark) permet de reconstituer précisément la séquence d'événements.

4. Conformité réglementaire Certaines réglementations sectorielles (notamment dans la finance et la santé) imposent de conserver des traces du trafic réseau. Le netmirror fournit le flux brut à archiver.

5. Débogage applicatif Pour un développeur qui cherche à comprendre pourquoi son application envoie des requêtes inattendues, analyser le miroir réseau est souvent plus rapide qu'éplucher des logs applicatifs.

Mon avis après usage : Dans la pratique, le netmirror est l'une des rares technologies réseau que j'ai vues adoptée aussi bien par des équipes SOC de grandes banques que par des administrateurs système de TPE équipées d'un simple switch géré à 200 €. L'écart de sophistication est immense, mais le principe reste identique.

---

Quels sont les outils de netmirror les plus utilisés ?

L'écosystème autour du netmirror est riche, avec des solutions allant du gratuit et open source au matériel professionnel haute disponibilité.

Côté logiciel (pour exploiter le flux miroir)

• Wireshark : le standard open source pour capturer et analyser des paquets réseau. Disponible sur Windows, macOS et Linux. Interface graphique accessible aux débutants.
• tcpdump : outil en ligne de commande, léger et puissant, disponible nativement sur Linux/macOS. Idéal pour les captures scriptées ou sur des serveurs sans interface graphique.
• Zeek (anciennement Bro) : framework d'analyse réseau orienté sécurité, qui génère des logs structurés à partir du trafic miroir. Très utilisé dans les SOC.
• Suricata : moteur IDS/IPS open source capable d'analyser le trafic en temps réel, souvent associé à un port SPAN pour surveiller un périmètre réseau.
• ntopng : solution de monitoring réseau avec interface web, capable d'ingérer un flux SPAN et de produire des tableaux de bord en temps réel.

Côté matériel (network taps)

Les fabricants spécialisés comme Gigamon, IXIA (Keysight) ou Garland Technology proposent des taps réseau passifs pour les fibres optiques et les liaisons cuivre. Pour un lab ou une PME, des alternatives moins onéreuses existent chez ProfiShark ou Dualcomm.

Si vous débutez et voulez comprendre les bases du réseau avant d'aller plus loin, je vous recommande de consulter notre guide de démarrage sur les réseaux informatiques qui pose les fondements sans jargon inutile.

---

Comment mettre en place un netmirror étape par étape ?

Mettre en place un netmirror est plus accessible qu'il n'y paraît, à condition d'avoir un switch manageable (géré). Voici la démarche pour une configuration SPAN sur un switch Cisco, qui reste la référence pédagogique la plus répandue.

Prérequis

• Un switch manageable (Cisco, HP/Aruba, Netgear GS3xx, TP-Link TL-SG3xxx…)
• Un accès à l'interface d'administration (CLI ou interface web selon le modèle)
• Un ordinateur connecté sur le port miroir de destination, avec Wireshark installé

Configuration SPAN sur Cisco IOS (exemple)

``` Switch# configure terminal Switch(config)# monitor session 1 source interface GigabitEthernet0/1 both Switch(config)# monitor session 1 destination interface GigabitEthernet0/24 Switch(config)# end Switch# show monitor session 1 ```

Cette séquence copie tout le trafic entrant et sortant du port Gi0/1 vers le port Gi0/24 où est branché l'outil d'analyse.

Configuration sur un switch TP-Link géré (interface web)

1. Connectez-vous à l'interface web du switch (généralement `192.168.0.1`).
2. Naviguez vers Switching > Port Mirroring.
3. Sélectionnez le port de destination (celui branché sur votre sonde).
4. Cochez les ports sources à surveiller et le sens du trafic (entrant, sortant, ou les deux).
5. Sauvegardez. La session SPAN est active immédiatement.

Vérification avec Wireshark

Une fois le SPAN configuré, lancez Wireshark sur l'interface réseau connectée au port miroir. Si vous voyez du trafic qui ne vous est pas adressé (adresses MAC différentes de la vôtre), le netmirror fonctionne correctement.

Pour aller plus loin dans la maîtrise des outils de surveillance, notre article sur les outils de monitoring réseau open source vous donnera une vue d'ensemble complète des solutions disponibles.

---

Les limites et risques du netmirror

Le netmirror est puissant, mais il comporte des contraintes techniques et des implications éthiques et légales qu'il faut connaître avant de déployer.

Limites techniques

• Saturation du port de destination : un port miroir 1 Gbps qui reçoit le trafic agrégé de 10 ports 1 Gbps sera rapidement saturé. C'est le problème classique de la « oversubscription » sur les configurations SPAN trop ambitieuses.
• Perte de paquets sous charge : quand le switch est sollicité à son maximum, c'est le trafic miroir qui est sacrifié en premier. Pour les environnements critiques, un network tap passif est préférable.
• Pas de visibilité sur le trafic chiffré : le netmirror capture les paquets bruts. Si le trafic est chiffré (TLS 1.3, SSH, VPN), il faudra des solutions complémentaires (SSL inspection, agent endpoint) pour analyser le contenu.
• Incompatibilité avec certains équipements : tous les switches ne supportent pas le SPAN ou le limitent à une seule session simultanée.

Implications légales et éthiques

En France, la capture du trafic réseau est encadrée par la loi. L'article 226-15 du Code pénal interdit l'interception des communications privées sans consentement. Sur un réseau d'entreprise, l'employeur peut légitimement surveiller le trafic, à condition que les salariés en soient informés (mention dans la charte informatique) et que le CSE ait été consulté. Surveiller le trafic d'un réseau qui ne vous appartient pas est illégal, quel que soit le motif invoqué.

À retenir :

• Netmirror sur votre propre infrastructure = légal avec information des utilisateurs
• Netmirror sur le réseau d'un client dans le cadre d'un audit = nécessite une autorisation écrite explicite
• Netmirror sur un réseau tiers sans autorisation = infraction pénale

---

Questions fréquentes

Q : Le netmirror ralentit-il le réseau surveillé ? R : Non, si la configuration est correcte. Le netmirror ne s'insère pas dans le chemin du trafic : il en crée une copie. Le trafic original n'est pas modifié et ne subit aucune latence supplémentaire, à condition que le switch ne soit pas surchargé par la session SPAN elle-même.

Q : Peut-on faire du netmirror sur un réseau Wi-Fi ? R : Oui, mais c'est plus complexe. Certains points d'accès Wi-Fi professionnels (Cisco, Aruba) supportent la capture de trafic sans fil via des fonctions dédiées. Sur le Wi-Fi, la solution la plus courante reste la mise en mode moniteur d'une interface Wi-Fi Linux (avec des outils comme airmon-ng), mais cela ne capture que le trafic à portée radio.

Q : Quelle est la différence entre netmirror et firewall ? R : Ce sont des fonctions complémentaires mais distinctes. Le firewall filtre et bloque le trafic selon des règles. Le netmirror ne bloque rien : il observe passivement. Un IDS alimenté par un netmirror peut détecter une attaque et déclencher une action sur le firewall — les deux travaillent souvent ensemble.

Q : Faut-il un switch manageable pour faire du netmirror ? R : Pour le SPAN logiciel, oui. Un switch non géré (basique) ne propose pas cette fonctionnalité. En revanche, un network tap matériel peut s'insérer sur n'importe quelle liaison, indépendamment des switches en place.

Q : Le netmirror capture-t-il le trafic HTTPS ? R : Il capture les paquets chiffrés, mais pas leur contenu en clair. Vous verrez les adresses IP source/destination, les ports, les tailles de paquets et les métadonnées TLS (y compris le SNI, qui révèle le nom de domaine visité), mais pas le contenu des pages ou des échanges.

Q : Y a-t-il des solutions cloud pour faire du netmirror ? R : Oui. AWS propose le « VPC Traffic Mirroring » depuis 2019, qui permet de dupliquer le trafic de certaines instances EC2 vers une sonde d'analyse. Azure et GCP ont des fonctionnalités équivalentes. Les principes restent les mêmes, seule l'implémentation change.

---

Adrien Vialatte — Rédacteur tech indépendant à Lyon. Après dix ans en agence digitale, il décrypte la tech pour que les non-ingénieurs puissent aussi en tirer profit, en testant lui-même les outils avant d'en parler.