A TAP és SPAN hálózati forgalmi adatgyűjtési módszerek mélyreható elemzése és alkalmazás-összehasonlítása

A hálózatüzemeltetés és -karbantartás, a hibaelhárítás és a biztonsági elemzés területén a hálózati adatfolyamok pontos és hatékony beszerzése képezi a különféle feladatok elvégzésének alapját. Két elterjedt hálózati adatgyűjtési technológiaként a TAP (Test Access Point) és a SPAN (Switched Port Analyzer, más néven porttükrözés) fontos szerepet játszik különböző forgatókönyvekben, eltérő műszaki jellemzőik miatt. Jellemzőik, előnyeik, korlátaik és alkalmazható forgatókönyveik mélyreható ismerete elengedhetetlen a hálózati mérnökök számára, hogy ésszerű adatgyűjtési terveket dolgozzanak ki és javítsák a hálózatfelügyelet hatékonyságát.

TAP: Átfogó és látható „veszteségmentes” adatgyűjtési megoldás

A TAP egy hardvereszköz, amely a fizikai vagy adatkapcsolati rétegen működik. Fő funkciója a hálózati adatfolyamok 100%-os replikációjának és rögzítésének elérése az eredeti hálózati forgalom megzavarása nélkül. Azáltal, hogy sorba van kötve egy hálózati kapcsolaton (pl. egy kapcsoló és egy szerver, vagy egy router és egy kapcsoló között), az összes, a kapcsolaton áthaladó upstream és downstream adatcsomagot egy monitorozó portra replikálja „optikai felosztás” vagy „forgalomfelosztás” módszerek segítségével, az elemzőeszközök (például hálózati analizátorok és behatolásérzékelő rendszerek - IDS) általi későbbi feldolgozáshoz.

Alapvető jellemzők: Az „Integritás” és a „Stabilitás” középpontjában

1. 100%-os adatcsomag-rögzítés adatvesztés kockázata nélkül

Ez a TAP legkiemelkedőbb előnye. Mivel a TAP a fizikai rétegen működik, és közvetlenül replikálja az elektromos vagy optikai jeleket a kapcsolatban, nem támaszkodik a kapcsoló CPU-erőforrásaira az adatcsomagok továbbításához vagy replikálásához. Ezért függetlenül attól, hogy a hálózati forgalom csúcson van-e, vagy nagyméretű adatcsomagokat tartalmaz-e (például nagy MTU-értékű Jumbo kereteket), az összes adatcsomag teljes mértékben rögzíthető anélkül, hogy a kapcsoló elégtelen erőforrásai miatt csomagvesztés következne be. Ez a „veszteségmentes rögzítés” funkció teszi az előnyben részesített megoldássá a pontos adattámogatást igénylő forgatókönyvekben (például a hibák kiváltó okának meghatározása és a hálózati teljesítmény alapértékeinek elemzése).

2. Nincs hatással az eredeti hálózati teljesítményre

A TAP működési módja biztosítja, hogy ne okozzon interferenciát az eredeti hálózati kapcsolatban. Sem az adatcsomagok tartalmát, forrás-/célcímeit vagy időzítését nem módosítja, és nem foglalja le a kapcsoló portjának sávszélességét, gyorsítótárát vagy feldolgozási erőforrásait. Még ha maga a TAP eszköz meghibásodik is (például áramkimaradás vagy hardverkárosodás), az csak azt eredményezi, hogy a monitorozó porton nem lesz adatkimenet, miközben az eredeti hálózati kapcsolat kommunikációja normális marad, elkerülve az adatgyűjtő eszközök meghibásodása által okozott hálózati megszakadás kockázatát.

3. Teljes duplex kapcsolatok és komplex hálózati környezetek támogatása

A modern hálózatok többnyire a full-duplex kommunikációs módot alkalmazzák (azaz a feltöltési és letöltési adatok egyidejűleg továbbíthatók). A TAP képes rögzíteni az adatfolyamokat egy full-duplex kapcsolat mindkét irányában, és független monitorozó portokon keresztül kimenetileg továbbítani azokat, biztosítva, hogy az elemző eszköz teljes mértékben helyre tudja állítani a kétirányú kommunikációs folyamatot. Ezenkívül a TAP különféle hálózati sebességeket (például 100M, 1G, 10G, 40G és akár 100G) és médiatípusokat (csavart érpár, egymódusú szál, többmódusú szál) támogat, és különböző összetettségű hálózati környezetekhez, például adatközpontokhoz, gerinchálózatokhoz és egyetemi hálózatokhoz is adaptálható.

Alkalmazási forgatókönyvek: Fókuszban a „pontos elemzés” és a „kulcsfontosságú kapcsolatok monitorozása”

1. Hálózati hibaelhárítás és a kiváltó ok meghatározása

Amikor olyan problémák merülnek fel a hálózatban, mint a csomagvesztés, késleltetés, jitter vagy alkalmazáskésés, akkor vissza kell állítani azt a forgatókönyvet, amikor a hiba a teljes adatcsomag-folyamon keresztül történt. Például, ha egy vállalat alapvető üzleti rendszerei (például az ERP és a CRM) időszakos hozzáférési időtúllépéseket tapasztalnak, az üzemeltetési és karbantartó személyzet TAP-ot telepíthet a szerver és a központi switch között, hogy rögzítse az összes oda-vissza adatcsomagot, elemezze, hogy vannak-e olyan problémák, mint a TCP újraküldése, csomagvesztés, DNS-feloldási késleltetés vagy alkalmazásrétegbeli protokollhibák, és ezáltal gyorsan megtalálja a hiba kiváltó okát (például kapcsolatminőségi problémák, lassú szerverválasz vagy köztes szoftver konfigurációs hibák).

2. Hálózati teljesítmény alapvonalának meghatározása és anomáliák monitorozása

A hálózat üzemeltetése és karbantartása során a normál üzleti terhelések melletti teljesítmény-alapérték (például az átlagos sávszélesség-kihasználtság, az adatcsomag-továbbítási késleltetés és a TCP-kapcsolat létrehozásának sikerességi aránya) meghatározása az alapja az anomáliák monitorozásának. A TAP hosszú időn keresztül stabilan képes rögzíteni a kulcsfontosságú kapcsolatok (például a központi kapcsolók, valamint a kimenő útválasztók és az internetszolgáltatók közötti) teljes volumenű adatait, segítve az üzemeltetési és karbantartó személyzetet a különböző teljesítménymutatók kiszámításában és egy pontos alapmodell létrehozásában. Amikor későbbi anomáliák, például hirtelen forgalomnövekedés, abnormális késések vagy protokoll-anomáliák (például abnormális ARP-kérések és nagyszámú ICMP-csomag) fordulnak elő, az anomáliák gyorsan észlelhetők az alapértékkel való összehasonlítással, és időben be lehet avatkozni.

3. Megfelelőségi auditálás és fenyegetésészlelés magas biztonsági követelményekkel

Az olyan iparágakban, ahol magasak az adatbiztonsági és megfelelőségi követelmények, mint a pénzügy, a kormányzati ügyek és az energia, elengedhetetlen az érzékeny adatok átviteli folyamatának teljes körű auditálása, vagy a potenciális hálózati fenyegetések (például APT-támadások, adatszivárgás és rosszindulatú kódok terjedése) pontos észlelése. A TAP veszteségmentes rögzítési funkciója biztosítja az auditadatok integritását és pontosságát, amelyek megfelelnek a törvények és rendeletek, például a „Hálózati biztonsági törvény” és az „Adatbiztonsági törvény” adatmegőrzésre és auditálásra vonatkozó követelményeinek; ugyanakkor a teljes volumenű adatcsomagok gazdag elemzési mintákat is biztosítanak a fenyegetésészlelő rendszerekhez (például IDS/IPS és sandbox eszközökhöz), segítve a normál forgalomban rejtett alacsony frekvenciájú és rejtett fenyegetések (például a titkosított forgalomban lévő rosszindulatú kódok és a normál üzleti tevékenységnek álcázott behatolási támadások) észlelését.

Korlátozások: Kompromisszum a költségek és a telepítési rugalmasság között

A TAP fő korlátai a magas hardverköltségben és az alacsony telepítési rugalmasságban rejlenek. Egyrészt a TAP egy dedikált hardvereszköz, és különösen a nagy sebességet (például 40G és 100G) vagy optikai szálas közeget támogató TAP-ok sokkal drágábbak, mint a szoftveralapú SPAN funkció; másrészt a TAP-ot sorba kell kötni az eredeti hálózati kapcsolatban, és a kapcsolatot ideiglenesen meg kell szakítani a telepítés során (például hálózati kábelek vagy optikai szálak csatlakoztatásával és kihúzásával). Egyes olyan magkapcsolatok esetében, amelyek nem engedélyezik a megszakítást (például a 24/7-ben működő pénzügyi tranzakciós kapcsolatok), a telepítés nehézkes, és a TAP hozzáférési pontokat általában előre le kell foglalni a hálózati tervezési fázisban.

SPAN: Költséghatékony és rugalmas „többportos” adataggregációs megoldás

A SPAN egy szoftveres funkció, amelyet a kapcsolók építettek be (néhány csúcskategóriás router is támogatja). Elve az, hogy a kapcsolót belsőleg úgy konfigurálják, hogy a forgalmat egy vagy több forrásportról (forrásportok) vagy forrás VLAN-okról egy kijelölt monitorozó portra (célport, más néven tükörport) replikálja, amelyet az elemző eszköz fogad és feldolgoz. A TAP-pal ellentétben a SPAN nem igényel további hardvereszközöket, és az adatgyűjtést csak a kapcsoló szoftveres konfigurációjára támaszkodva képes megvalósítani.

Alapvető jellemzők: A „költséghatékonyságra” és a „rugalmasságra” összpontosítva

1. Nulla további hardverköltség és kényelmes telepítés

Mivel a SPAN a kapcsoló firmware-jébe beépített funkció, nincs szükség külön hardvereszközök vásárlására. Az adatgyűjtés gyorsan engedélyezhető a CLI-n (parancssori felület) vagy a webes felügyeleti felületen keresztül történő konfigurálással (például a forrásport, a monitorozási port és a tükrözés irányának (bejövő, kimenő vagy kétirányú) megadásával). Ez a „nulla hardverköltség” funkció ideális választássá teszi korlátozott költségvetésű vagy ideiglenes monitorozási igényű forgatókönyvekhez (például rövid távú alkalmazástesztelés és ideiglenes hibaelhárítás).

2. Többforrású port / több VLAN forgalomaggregáció támogatása

A SPAN egyik fő előnye, hogy egyszerre képes több forrásportról (például több hozzáférési rétegbeli kapcsoló felhasználói portjairól) vagy több VLAN-ról érkező forgalmat ugyanarra a monitorozó portra replikálni. Például, ha a vállalati üzemeltetési és karbantartó személyzetnek több részleg (különböző VLAN-oknak megfelelő) alkalmazotti termináljainak internet-hozzáférési forgalmát kell monitoroznia, nincs szükség külön gyűjtőeszközök telepítésére az egyes VLAN-ok kijáratánál. Ezen VLAN-ok forgalmának SPAN-on keresztüli egyetlen monitorozó portra történő összesítésével központosított elemzés valósítható meg, ami jelentősen javítja az adatgyűjtés rugalmasságát és hatékonyságát.

3. Nem kell megszakítani az eredeti hálózati kapcsolatot

A TAP soros telepítésétől eltérően a SPAN forrásportja és monitorozó portja is a switch hagyományos portja. A konfigurációs folyamat során nincs szükség az eredeti kapcsolat hálózati kábeleinek csatlakoztatására és kihúzására, és ez nem befolyásolja az eredeti forgalom átvitelét. Még ha később szükség is van a forrásport beállítására vagy a SPAN funkció letiltására, ezt csak a parancssoron keresztül lehet megtenni, ami kényelmesen kezelhető és nem zavarja a hálózati szolgáltatásokat.

Alkalmazási forgatókönyvek: Összpontosítás az „alacsony költségű monitorozásra” és a „központosított elemzésre”

1. Felhasználói viselkedés monitorozása campus hálózatokban / vállalati hálózatokban

Egyetemi vagy vállalati hálózatokban a rendszergazdáknak gyakran figyelniük kell, hogy az alkalmazottak termináljai illegális hozzáféréssel rendelkeznek-e (például illegális weboldalakhoz férnek hozzá és kalózszoftvereket töltenek le), és hogy nagyszámú P2P letöltés vagy videostream foglal-e sávszélességet. A hozzáférési rétegbeli kapcsolók felhasználói portjainak SPAN-on keresztüli monitorozási portra irányuló forgalmának összesítésével, forgalomelemző szoftverekkel (például Wireshark és NetFlow Analyzer) kombinálva a felhasználói viselkedés valós idejű monitorozása és a sávszélesség-használat statisztikái további hardverbefektetés nélkül megvalósíthatók.

2. Ideiglenes hibaelhárítás és rövid távú alkalmazástesztelés

Amikor átmeneti és alkalmi hibák lépnek fel a hálózatban, vagy amikor forgalomtesztelést kell végezni egy újonnan telepített alkalmazáson (például egy belső OA rendszeren és egy videokonferencia-rendszeren), a SPAN segítségével gyorsan kiépíthető egy adatgyűjtési környezet. Például, ha egy részleg gyakori lefagyásokat jelent a videokonferenciákon, az üzemeltetési és karbantartó személyzet ideiglenesen konfigurálhatja a SPAN-t úgy, hogy a videokonferencia-kiszolgáló portjának forgalmát tükrözze a monitorozó portra. Az adatcsomag-késleltetés, a csomagvesztési arány és a sávszélesség-foglaltság elemzésével megállapítható, hogy a hibát az elégtelen hálózati sávszélesség vagy az adatcsomag-vesztés okozza-e. A hibaelhárítás befejezése után a SPAN konfiguráció letiltható anélkül, hogy ez befolyásolná a későbbi hálózati műveleteket.

3. Forgalmi statisztikák és egyszerű auditálás kis és közepes méretű hálózatokban

Kis- és közepes méretű hálózatok (például kisvállalkozások és egyetemi laboratóriumok) esetén, ha az adatgyűjtés integritására vonatkozó követelmény nem magas, és csak egyszerű forgalmi statisztikákra (például az egyes portok sávszélesség-kihasználtságára és a Top N alkalmazások forgalmi arányára) vagy alapvető megfelelőségi auditálásra (például a felhasználók által elért webhelyek domainneveinek rögzítésére) van szükség, a SPAN teljes mértékben kielégítheti az igényeket. Alacsony költségének és könnyen telepíthető funkcióinak köszönhetően költséghatékony választás az ilyen forgatókönyvekben.

Korlátozások: Hiányosságok az adatintegritásban és a teljesítményre gyakorolt ​​hatásban

1. Adatcsomag-vesztés és hiányos rögzítés kockázata

Az adatcsomagok SPAN általi replikációja a kapcsoló CPU- és gyorsítótár-erőforrásaira támaszkodik. Amikor a forrásport forgalma a csúcson van (például meghaladja a kapcsoló gyorsítótár-kapacitását), vagy a kapcsoló egyszerre nagyszámú továbbítási feladatot dolgoz fel, a CPU prioritást élvez az eredeti forgalom továbbításának biztosításában, és csökkenti vagy felfüggeszti a SPAN forgalom replikációját, ami csomagvesztést eredményez a monitorozó porton. Ezenkívül egyes kapcsolók korlátozásokkal rendelkeznek a SPAN tükrözési arányára vonatkozóan (például csak a forgalom 80%-ának replikációját támogatják), vagy nem támogatják a nagy méretű adatcsomagok (például a Jumbo keretek) teljes replikációját. Mindez hiányos gyűjtött adatokhoz vezet, és befolyásolja a későbbi elemzési eredmények pontosságát.

2. A kapcsolóerőforrások lefoglalása és a hálózati teljesítményre gyakorolt ​​lehetséges hatás

Bár a SPAN nem szakítja meg közvetlenül az eredeti kapcsolatot, ha a forrásportok száma nagy, vagy a forgalom nagy, az adatcsomag-replikációs folyamat a kapcsoló CPU-erőforrásait és belső sávszélességét fogja lefoglalni. Például, ha több 10G-os port forgalma tükröződik egy 10G-os monitorozó portra, és a forrásportok teljes forgalma meghaladja a 10G-t, akkor nemcsak a monitorozó port fog csomagvesztést szenvedni a nem elegendő sávszélesség miatt, hanem a kapcsoló CPU-kihasználtsága is jelentősen megnőhet, ezáltal befolyásolva a többi port adatcsomag-továbbítási hatékonyságát, sőt, a kapcsoló általános teljesítményének romlását is okozhatja.

3. Funkciófüggés a kapcsolómodelltől és a korlátozott kompatibilitás

A SPAN funkció támogatottságának szintje nagyban eltér a különböző gyártók és modellek switchei között. Például az alsó kategóriás switchek csak egyetlen monitorozó portot támogathatnak, és nem támogatják a VLAN tükrözést vagy a teljes duplex forgalom tükrözését; egyes switchek SPAN funkciója „egyirányú tükrözési” korlátozással rendelkezik (azaz csak a bejövő vagy kimenő forgalmat tükrözi, és nem tudja egyszerre tükrözni a kétirányú forgalmat); továbbá a keresztkapcsolós SPAN (például az A kapcsoló portforgalmának tükrözése a B kapcsoló monitorozó portjára) speciális protokollokra (például a Cisco RSPAN és a Huawei ERSPAN protokolljára) kell támaszkodnia, amelyek összetett konfigurációval és alacsony kompatibilitással rendelkeznek, és nehezen adaptálhatók a több gyártó vegyes hálózatának környezetéhez.

A TAP és a SPAN közötti alapvető különbségek összehasonlítása és kiválasztási javaslatok

Alapvető különbségek összehasonlítása

A kettő közötti különbségek jobb bemutatása érdekében összehasonlítjuk őket a műszaki jellemzők, a teljesítményre gyakorolt ​​hatás, a költség és az alkalmazható forgatókönyvek dimenziói alapján:

Kiválasztási javaslatok: „Pontos egyeztetés” a forgatókönyv követelményei alapján

1. Forgatókönyvek, ahol a TAP az előnyben részesített

○Az alapvető üzleti kapcsolatok (például az adatközpont központi kapcsolói és a kimenő útválasztók kapcsolatainak) monitorozása, amely megköveteli az adatrögzítés integritásának biztosítását;

○Hálózati hibák kiváltó okának meghatározása (például TCP újraküldés és alkalmazáskésés), amely teljes mennyiségű adatcsomag alapján pontos elemzést igényel;

○Magas biztonsági és megfelelőségi követelményekkel rendelkező iparágak (pénzügy, kormányzati ügyek, energia), amelyek megkövetelik az auditadatok integritásának és manipulációmentességének biztosítását;

○Nagy sebességű hálózati környezetek (10G és felette), vagy nagyméretű adatcsomagokkal járó forgatókönyvek, amelyek megkövetelik a csomagvesztés elkerülését a SPAN-ban.

2. Forgatókönyvek, ahol a SPAN az előnyben részesített

○Kis és közepes méretű hálózatok korlátozott költségvetéssel, vagy olyan forgatókönyvek, amelyek csak egyszerű forgalmi statisztikákat igényelnek (például sávszélesség-foglaltság és a legnépszerűbb alkalmazások);

○Ideiglenes hibaelhárítás vagy rövid távú alkalmazástesztelés (például új rendszerindítási tesztelés), amely gyors telepítést igényel hosszú távú erőforrás-lefoglalás nélkül;

○Többforrású portok/több VLAN-ok központosított monitorozása (például campus hálózati felhasználói viselkedés monitorozása), amely rugalmas forgalomaggregációt igényel;

○Nem alapvető kapcsolatok (például hozzáférési rétegbeli kapcsolók felhasználói portjai) monitorozása, alacsony adatrögzítési integritási követelményekkel.

3. Hibrid használati forgatókönyvek

Bizonyos összetett hálózati környezetekben a „TAP + SPAN” hibrid telepítési módszer is alkalmazható. Például telepítse a TAP-ot az adatközpont központi kapcsolataiban, hogy biztosítsa a teljes mennyiségű adat rögzítését a hibaelhárítás és a biztonsági auditálás céljából; konfigurálja a SPAN-t a hozzáférési rétegbeli vagy az aggregációs rétegbeli kapcsolókban a szétszórt felhasználói forgalom összesítéséhez a viselkedéselemzés és a sávszélesség-statisztikák céljából. Ez nemcsak a kulcsfontosságú kapcsolatok pontos monitorozási igényeit elégíti ki, hanem csökkenti a teljes telepítési költséget is.

Tehát, mint két alapvető hálózati adatgyűjtési technológia, a TAP és a SPAN nem rendelkezik abszolút „előnnyel vagy hátránnyal”, csak „különbségekkel a forgatókönyv-adaptációban”. A TAP a „veszteségmentes rögzítésre” és a „stabil megbízhatóságra” összpontosít, és alkalmas olyan kulcsfontosságú forgatókönyvekhez, ahol magasak az adatintegritási és hálózati stabilitási követelmények, de magas költségekkel és alacsony telepítési rugalmassággal rendelkezik; a SPAN a „nulla költség” és a „rugalmasság és kényelem” előnyeivel rendelkezik, és alkalmas alacsony költségű, ideiglenes vagy nem alapvető forgatókönyvekhez, de fennáll az adatvesztés és a teljesítményre gyakorolt ​​hatás kockázata.

A hálózat tényleges üzemeltetése és karbantartása során a hálózati mérnököknek a saját üzleti igényeik (például, hogy maghálózati kapcsolatról van-e szó, és hogy szükség van-e pontos elemzésre), a költségvetési költségek, a hálózat mérete és a megfelelőségi követelmények alapján kell kiválasztaniuk a legmegfelelőbb műszaki megoldást. Ugyanakkor a hálózati sebességek javulásával (például 25G, 100G és 400G) és a hálózati biztonsági követelmények frissítésével a TAP technológia is folyamatosan fejlődik (például támogatja az intelligens forgalomfelosztást és a többportos aggregációt), és a kapcsológyártók is folyamatosan optimalizálják a SPAN funkciót (például javítják a gyorsítótár-kapacitást és támogatják a veszteségmentes tükrözést). A jövőben a két technológia továbbra is betölti majd szerepét a saját területén, és hatékonyabb és pontosabb adattámogatást biztosít a hálózatkezeléshez.