TAP- ja SPAN-verkkoliikennetietojen hankintamenetelmien perusteellinen analyysi ja sovellusvertailu

Verkkojen käytön ja ylläpidon, vianmäärityksen ja tietoturva-analyysin aloilla verkon datavirtojen tarkka ja tehokas kerääminen on perusta erilaisten tehtävien suorittamiselle. Kahdella valtavirran verkkotiedonkeruutekniikalla, TAP:lla (Test Access Point) ja SPAN:lla (Switched Port Analyzer, jota kutsutaan myös portin peilaukseksi), on tärkeä rooli eri tilanteissa niiden erilaisten teknisten ominaisuuksien vuoksi. Niiden ominaisuuksien, etujen, rajoitusten ja sovellettavien skenaarioiden syvällinen ymmärtäminen on ratkaisevan tärkeää verkkoinsinööreille, jotta he voivat laatia kohtuullisia tiedonkeruusuunnitelmia ja parantaa verkonhallinnan tehokkuutta.

TAP: Kattava ja näkyvä "häviötön" tiedonkeruuratkaisu

TAP on fyysisellä eli datalinkkikerroksella toimiva laitteisto. Sen ydintoiminto on saavuttaa 100 %:n replikointi ja verkon tietovirtojen sieppaus häiritsemättä alkuperäistä verkkoliikennettä. Kytkettynä sarjaan verkkolinkissä (esim. kytkimen ja palvelimen tai reitittimen ja kytkimen välille) se replikoi kaikki linkin läpi kulkevat ylä- ja alavirran tietopaketit valvontaporttiin käyttämällä "optista jakoa" tai "liikenteen jakoa" menetelmiä, jotta analyysilaitteet (kuten verkkoanalysaattorit ja tunkeutumisen havaitsemisjärjestelmät - IDS) voivat myöhemmin käsitellä ne.

Ydinominaisuudet: Keskittyy "Rehellisyyteen" ja "Vakauteen"

1. 100 % datapakettien sieppaus ilman hävikkiriskiä

Tämä on TAP:n merkittävin etu. Koska TAP toimii fyysisellä tasolla ja replikoi suoraan sähköisiä tai optisia signaaleja linkissä, se ei ole riippuvainen kytkimen suorittimen resursseista datapakettien edelleenlähetykseen tai replikointiin. Näin ollen riippumatta siitä, onko verkkoliikenne huipussaan vai sisältääkö se suuria datapaketteja (kuten Jumbo Frame -kehyksiä, joilla on suuri MTU-arvo), kaikki datapaketit voidaan tallentaa kokonaan ilman pakettien menetystä, joka johtuu kytkimen riittämättömistä resursseista. Tämä "häviötön tallennus" -ominaisuus tekee siitä ensisijaisen ratkaisun tilanteissa, jotka vaativat tarkkaa datatukea (kuten vian perimmäisen syyn paikantaminen ja verkon suorituskyvyn lähtötilanteen analyysi).

2. Ei vaikutusta alkuperäiseen verkon suorituskykyyn

TAP:n toimintatila varmistaa, ettei se aiheuta häiriöitä alkuperäiseen verkkoyhteyteen. Se ei muuta datapakettien sisältöä, lähde-/kohdeosoitteita tai ajoitusta eikä kuluta kytkimen portin kaistanleveyttä, välimuistia tai prosessointiresursseja. Vaikka TAP-laite itsessään toimisi virheellisesti (kuten sähkökatkon tai laitteistovaurion sattuessa), se johtaa vain siihen, ettei valvontaportista lähetetä dataa, kun taas alkuperäisen verkkoyhteyden tiedonsiirto pysyy normaalina, jolloin vältetään tiedonkeruulaitteiden vikojen aiheuttama verkon keskeytysriski.

3. Tuki täysdupleksiyhteyksille ja monimutkaisille verkkoympäristöille

Nykyaikaiset verkot käyttävät enimmäkseen full-duplex-tiedonsiirtotilaa (eli sekä ylä- että alavirran dataa voidaan lähettää samanaikaisesti). TAP voi kaapata datavirtoja full-duplex-linkin molempiin suuntiin ja lähettää ne erillisten valvontaporttien kautta varmistaen, että analysointilaite voi palauttaa kaksisuuntaisen tiedonsiirron täysin. Lisäksi TAP tukee erilaisia ​​verkkonopeuksia (kuten 100M, 1G, 10G, 40G ja jopa 100G) ja mediatyyppejä (kierretty parikaapeli, yksimuotokuitu, monimuotokuitu), ja sitä voidaan mukauttaa eri monimutkaisiin verkkoympäristöihin, kuten datakeskuksiin, runkoverkkoihin ja kampusverkkoihin.

Sovellusskenaariot: Keskittyminen "tarkkaan analyysiin" ja "keskeisten linkkien valvontaan"

1. Verkon vianmääritys ja syyn paikantaminen

Kun verkossa esiintyy ongelmia, kuten pakettien katoamista, viivettä, jitteriä tai sovellusviivettä, on tarpeen palauttaa tilanne, jossa vika ilmeni koko datapakettivirran kautta. Jos esimerkiksi yrityksen ydinliiketoimintajärjestelmissä (kuten ERP:ssä ja CRM:ssä) esiintyy ajoittaisia ​​käyttöaikakatkoksia, käyttö- ja ylläpitohenkilöstö voi ottaa käyttöön TAP-yhteyden palvelimen ja ydinkytkimen välillä tallentaakseen kaikki edestakaiset datapaketit, analysoidakseen, onko ongelmia, kuten TCP-uudelleenlähetystä, pakettien katoamista, DNS-ratkaisun viivettä tai sovelluskerroksen protokollavirheitä, ja siten paikantaakseen nopeasti vian perimmäisen syyn (kuten linkin laatuongelmat, hidas palvelimen vaste tai väliohjelmistojen määritysvirheet).

2. Verkon suorituskyvyn perustason määrittäminen ja poikkeavuuksien seuranta

Verkon käytössä ja kunnossapidossa suorituskyvyn perustan määrittäminen normaalin kuormituksen alla (kuten keskimääräinen kaistanleveyden käyttöaste, datapakettien välitysviive ja TCP-yhteyden muodostumisen onnistumisprosentti) on poikkeavuuksien seurannan perusta. TAP voi vakaasti tallentaa täysimääräistä dataa keskeisistä linkeistä (kuten ydinkytkimien välillä ja lähtöreitittimien ja internet-palveluntarjoajien välillä) pitkän ajan kuluessa, mikä auttaa käyttö- ja kunnossapitohenkilöstöä laskemaan erilaisia ​​suorituskykyindikaattoreita ja luomaan tarkan perustason mallin. Kun myöhemmin esiintyy poikkeavuuksia, kuten äkillisiä liikennepiikkejä, epänormaaleja viiveitä tai protokollapoikkeavuuksia (kuten epänormaaleja ARP-pyyntöjä ja suurta määrää ICMP-paketteja), poikkeamat voidaan havaita nopeasti vertaamalla niitä perustasoon ja puuttua niihin ajoissa.

3. Vaatimustenmukaisuuden auditointi ja uhkien havaitseminen korkeiden tietoturvavaatimusten mukaisesti

Toimialoilla, joilla on korkeat tietoturva- ja vaatimustenmukaisuusvaatimukset, kuten rahoitus-, valtionhallinto- ja energia-alalla, on välttämätöntä suorittaa arkaluonteisten tietojen siirtoprosessin täydellinen auditointi tai havaita tarkasti mahdolliset verkkouhkat (kuten APT-hyökkäykset, tietovuodot ja haitallisen koodin leviäminen). TAP:n häviötön tallennusominaisuus varmistaa auditointitietojen eheyden ja tarkkuuden, mikä voi täyttää lakien ja asetusten, kuten "verkkoturvallisuuslain" ja "tietoturvalain", vaatimukset tietojen säilyttämiselle ja auditoinnille. Samalla täysimittaiset datapaketit tarjoavat myös rikkaita analyysinäytteitä uhkien havaitsemisjärjestelmille (kuten IDS/IPS- ja hiekkalaatikkolaitteille), mikä auttaa havaitsemaan normaalissa liikenteessä piileviä matalataajuisia ja piileviä uhkia (kuten salatussa liikenteessä olevaa haitallista koodia ja normaaliksi liiketoiminnaksi naamioituja tunkeutumishyökkäyksiä).

Rajoitukset: Kustannusten ja käyttöönottojoustavuuden välinen kompromissi

TAPin suurimmat rajoitukset ovat sen korkeat laitteistokustannukset ja alhainen käyttöönoton joustavuus. Toisaalta TAP on erillinen laitteisto, ja erityisesti suuria nopeuksia (kuten 40G ja 100G) tai optista kuitua tukevat TAPit ovat paljon kalliimpia kuin ohjelmistopohjainen SPAN-toiminto. Toisaalta TAP on kytkettävä sarjaan alkuperäisessä verkkoyhteydessä, ja yhteys on keskeytettävä tilapäisesti käyttöönoton aikana (kuten verkkokaapeleiden tai optisten kuitujen kytkeminen ja irrottaminen). Joillekin ydinyhteyksille, jotka eivät salli keskeytystä (kuten 24/7 toimivat rahoitustapahtumayhteydet), käyttöönotto on vaikeaa, ja TAP-tukiasemat on yleensä varattava etukäteen verkon suunnitteluvaiheessa.

SPAN: Kustannustehokas ja joustava "moniportti" tiedonkeruuratkaisu

SPAN on kytkimiin sisäänrakennettu ohjelmistotoiminto (jotkut huippuluokan reitittimet myös tukevat sitä). Sen periaatteena on konfiguroida kytkin sisäisesti replikoimaan liikenne yhdestä tai useammasta lähdeportista (lähdeportit) tai lähde-VLANista nimettyyn valvontaporttiin (kohdeportti, joka tunnetaan myös nimellä peiliportti) analyysilaitteen vastaanottamista ja käsittelyä varten. Toisin kuin TAP, SPAN ei vaadi lisälaitteita ja voi toteuttaa tiedonkeruun vain kytkimen ohjelmistokonfiguraation avulla.

Ydinominaisuudet: Keskittyy kustannustehokkuuteen ja joustavuuteen

1. Ei lisäkustannuksia laitteistossa ja kätevä käyttöönotto

Koska SPAN on kytkimen laiteohjelmistoon sisäänrakennettu toiminto, erillisiä laitteistoja ei tarvitse ostaa. Tiedonkeruun voi ottaa nopeasti käyttöön vain konfiguroimalla sen komentoriviliittymän (CLI) tai verkkohallintaliittymän kautta (esimerkiksi määrittämällä lähdeportti, valvontaportti ja peilaussuunta (saapuva, ​​lähtevä tai kaksisuuntainen)). Tämä "nolla laitteistokustannusta" -ominaisuus tekee siitä ihanteellisen valinnan tilanteisiin, joissa budjetti on rajallinen tai valvontatarpeita on vain väliaikaisia ​​(kuten lyhytaikainen sovellustestaus ja väliaikainen vianmääritys).

2. Tuki monilähdeporttien / moni-VLAN-liikenteen yhdistämiselle

SPANin merkittävä etu on, että se voi replikoida liikenteen useista lähdeporteista (kuten useiden käyttökerroskytkimien käyttäjäporteista) tai useista VLAN-verkoista samaan valvontaporttiin samanaikaisesti. Jos esimerkiksi yrityksen käyttö- ja kunnossapitohenkilöstön on valvottava useiden osastojen (eri VLAN-verkkojen mukaisesti) työntekijöiden päätelaitteiden liikennettä, jotka käyttävät Internetiä, ei ole tarvetta ottaa käyttöön erillisiä keräyslaitteita kunkin VLANin ulostulossa. Yhdistämällä näiden VLANien liikenne yhteen valvontaporttiin SPANin avulla voidaan toteuttaa keskitetty analyysi, mikä parantaa huomattavasti tiedonkeruun joustavuutta ja tehokkuutta.

3. Alkuperäistä verkkoyhteyttä ei tarvitse keskeyttää

Toisin kuin TAP-kytkimen sarjakäyttöönotossa, sekä SPAN-kytkimen lähdeportti että valvontaportti ovat kytkimen tavallisia portteja. Konfigurointiprosessin aikana ei tarvitse kytkeä ja irrottaa alkuperäisen linkin verkkokaapeleita, eikä alkuperäisen liikenteen siirtoon vaikuteta. Vaikka lähdeporttia olisi tarpeen säätää tai SPAN-toiminto poistaa käytöstä myöhemmin, se voidaan tehdä vain muokkaamalla konfiguraatiota komentorivin kautta. Tämä on kätevää eikä häiritse verkkopalveluita.

Sovellusskenaariot: Keskittyen "edulliseen valvontaan" ja "keskitettyyn analyysiin"

1. Käyttäjäkäyttäytymisen seuranta kampusverkoissa / yritysverkoissa

Kampus- tai yritysverkoissa järjestelmänvalvojien on usein valvottava, onko työntekijöiden päätelaitteilla laitonta pääsyä (kuten laittomille verkkosivustoille pääsyä ja piraattiohjelmistojen lataamista) ja varaako suuri määrä P2P-latauksia tai videostriimejä kaistanleveyttä. Yhdistämällä käyttöoikeustason kytkimien käyttäjäporttien liikenne valvontaporttiin SPANin kautta yhdistettynä liikenteen analysointiohjelmistoon (kuten Wireshark ja NetFlow Analyzer) voidaan reaaliaikainen käyttäjien toiminnan seuranta ja kaistanleveyden käyttöasteen tilastot toteuttaa ilman lisälaitteistoinvestointeja.

2. Tilapäinen vianmääritys ja lyhytaikainen sovellustestaus

Kun verkossa esiintyy tilapäisiä ja satunnaisia ​​vikoja tai kun on tarpeen suorittaa liikennetestejä uudelle sovellukselle (kuten sisäiselle OA-järjestelmälle ja videoneuvottelujärjestelmälle), SPANia voidaan käyttää tiedonkeruuympäristön nopeaan rakentamiseen. Jos esimerkiksi osasto raportoi usein videoneuvottelujen jumiutumisesta, käyttö- ja kunnossapitohenkilöstö voi tilapäisesti määrittää SPANin peilaamaan videoneuvottelupalvelimen portin liikenteen valvontaporttiin. Analysoimalla datapakettien viivettä, pakettien katoamisnopeutta ja kaistanleveyden käyttöä voidaan määrittää, johtuuko vika riittämättömästä verkon kaistanleveydestä vai datapakettien katoamisesta. Vianmäärityksen jälkeen SPAN-määritys voidaan poistaa käytöstä vaikuttamatta verkon myöhempään toimintaan.

3. Liikennetilastot ja yksinkertainen auditointi pienissä ja keskisuurissa verkoissa

Pienissä ja keskisuurissa verkoissa (kuten pienyrityksissä ja kampuslaboratorioissa), jos tiedonkeruun eheysvaatimukset eivät ole korkeat ja tarvitaan vain yksinkertaisia ​​liikennetilastoja (kuten kunkin portin kaistanleveyden käyttöaste ja Top N -sovellusten osuus liikenteestä) tai perusvaatimustenmukaisuuden tarkastusta (kuten käyttäjien käyttämien verkkosivustojen verkkotunnusten tallentaminen), SPAN voi täyttää tarpeet täysin. Sen edulliset ja helposti käyttöönotettavat ominaisuudet tekevät siitä kustannustehokkaan vaihtoehdon tällaisiin skenaarioihin.

Rajoitukset: Tietojen eheyden ja suorituskykyyn kohdistuvien vaikutusten puutteet

1. Datapakettien katoamisen ja epätäydellisen sieppauksen riski

SPANin suorittama datapakettien replikointi riippuu kytkimen suorittimen ja välimuistin resursseista. Kun lähdeportin liikenne on huipussaan (esimerkiksi kytkimen välimuistin kapasiteetin ylittyessä) tai kytkin käsittelee samanaikaisesti suurta määrää edelleenlähetystehtäviä, suoritin priorisoi alkuperäisen liikenteen edelleenlähetyksen ja vähentää tai keskeyttää SPAN-liikenteen replikoinnin, mikä johtaa pakettien menetykseen valvontaportissa. Lisäksi joillakin kytkimillä on rajoituksia SPANin peilaussuhteelle (kuten vain 80 %:n liikenteen replikoinnin tukeminen) tai ne eivät tue suurten datapakettien (kuten Jumbo Frame -kehysten) täydellistä replikointia. Kaikki tämä johtaa epätäydelliseen kerättyyn dataan ja vaikuttaa myöhempien analyysitulosten tarkkuuteen.

2. Kytkimen resurssien käyttö ja mahdollinen vaikutus verkon suorituskykyyn

Vaikka SPAN ei suoraan keskeytä alkuperäistä linkkiä, lähdeporttien määrän tai liikenteen ollessa vilkasta datapakettien replikointiprosessi kuluttaa kytkimen suorittimen resursseja ja sisäistä kaistanleveyttä. Esimerkiksi jos useiden 10G-porttien liikenne peilataan 10G-valvontaporttiin ja lähdeporttien kokonaisliikenne ylittää 10G, valvontaportti kärsii pakettien menetyksestä riittämättömän kaistanleveyden vuoksi, ja kytkimen suorittimen käyttöaste voi myös kasvaa merkittävästi, mikä vaikuttaa muiden porttien datapakettien edelleenlähetystehokkuuteen ja jopa heikentää kytkimen kokonaissuorituskykyä.

3. Toimintoriippuvuus kytkinmallista ja rajoitettu yhteensopivuus

SPAN-toiminnon tuen taso vaihtelee suuresti eri valmistajien ja mallien kytkimien välillä. Esimerkiksi halvimman tason kytkimet saattavat tukea vain yhtä valvontaporttia eivätkä tue VLAN-peilausta tai kaksisuuntaista liikenteen peilausta; joidenkin kytkimien SPAN-toiminnolla on "yksisuuntaisen peilauksen" rajoitus (eli se peilaa vain saapuvan tai lähtevän liikenteen, eikä voi peilata kaksisuuntaista liikennettä samanaikaisesti); lisäksi ristikytkimien SPAN (kuten kytkimen A porttiliikenteen peilaus kytkimen B valvontaporttiin) edellyttää tiettyjen protokollien (kuten Ciscon RSPAN ja Huawein ERSPAN) käyttöä, joilla on monimutkainen kokoonpano ja heikko yhteensopivuus, ja niitä on vaikea sopeuttaa useiden valmistajien sekaverkkoympäristöön.

TAPin ja SPANin ydinerojen vertailu ja valintaehdotukset

Ydinerotuksen vertailu

Jotta näiden kahden väliset erot näkyisivät selkeämmin, vertaamme niitä teknisten ominaisuuksien, suorituskykyvaikutuksen, kustannusten ja sovellettavien skenaarioiden ulottuvuuksien perusteella:

Valintaehdotukset: "Tarkka vastaavuus" skenaarion vaatimusten perusteella

1. Skenaariot, joissa TAP on ensisijainen

○Ydinliiketoimintayhteyksien (kuten datakeskuksen ydinkytkimien ja lähtöreitittimien linkkien) valvonta, joka edellyttää tiedonkeruun eheyden varmistamista;

○Verkkovian perimmäisen syyn paikantaminen (kuten TCP:n uudelleenlähetys ja sovelluksen viive), mikä vaatii tarkkaa analyysia täysimääräisten datapakettien perusteella;

○Toimialat, joilla on korkeat turvallisuus- ja vaatimustenmukaisuusvaatimukset (rahoitus, valtionhallinto, energia) ja jotka edellyttävät tarkastustietojen eheyden ja väärentämisen estämistä;

○Nopeat verkkoympäristöt (10G ja yli) tai skenaariot, joissa käsitellään suurikokoisia datapaketteja, jotka edellyttävät pakettien katoamisen välttämistä SPAN-tilassa.

2. Skenaariot, joissa SPAN on ensisijainen

○Pienet ja keskisuuret verkot, joilla on rajalliset budjetit tai skenaariot, jotka vaativat vain yksinkertaisia ​​liikennetilastoja (kuten kaistanleveyden käyttöaste ja eniten käytetyt sovellukset);

○Tilapäinen vianmääritys tai lyhytaikainen sovellustestaus (kuten uuden järjestelmän käyttöönottotestaus), joka vaatii nopeaa käyttöönottoa ilman pitkäaikaista resurssien käyttöä;

○Usean lähteen porttien/usean VLANin keskitetty valvonta (kuten kampusverkon käyttäjien käyttäytymisen valvonta), joka edellyttää joustavaa liikenteen yhdistämistä;

○Ydinverkkoon kuulumattomien linkkien (kuten käyttökerroskytkimien käyttäjäporttien) valvonta, jossa tiedonkeruun eheysvaatimukset ovat alhaiset.

3. Hybridikäyttöskenaariot

Joissakin monimutkaisissa verkkoympäristöissä voidaan käyttää myös hybridi-käyttöönottomenetelmää "TAP + SPAN". Esimerkiksi TAP voidaan ottaa käyttöön datakeskuksen ydinyhteyksissä, jotta varmistetaan täyden datamäärän tallennus vianmääritystä ja tietoturvatarkastusta varten; SPAN voidaan määrittää käyttöoikeuskerroksen tai aggregointikerroksen kytkimiin hajallaan olevan käyttäjäliikenteen keräämiseksi käyttäytymisanalyysiä ja kaistanleveystilastoja varten. Tämä ei ainoastaan ​​vastaa avainlinkkien tarkkoihin valvontatarpeisiin, vaan myös alentaa käyttöönoton kokonaiskustannuksia.

Joten kahtena verkkodatan hankinnan ydinteknologiana TAP:lla ja SPAN:lla ei ole absoluuttisia "etuja tai haittoja", vaan ainoastaan ​​"eroja skenaarioiden mukauttamisessa". TAP keskittyy "häviöttömään tiedonkeruuseen" ja "vakaaseen luotettavuuteen", ja se sopii avainskenaarioihin, joissa on korkeat vaatimukset tiedon eheydelle ja verkon vakaudelle, mutta sillä on korkeat kustannukset ja alhainen käyttöönoton joustavuus; SPAN:lla on "nollakustannus" sekä "joustavuus ja kätevyys" -edut, ja se sopii edullisiin, väliaikaisiin tai ei-ydinskenaarioihin, mutta sillä on tietojen menetyksen ja suorituskykyyn vaikuttavien riskien.

Verkon todellisessa käytössä ja ylläpidossa verkkoinsinöörien on valittava sopivin tekninen ratkaisu omien liiketoimintatarpeidensa (kuten onko kyseessä ydinlinkki ja tarvitaanko tarkkaa analyysia), budjettikustannusten, verkon mittakaavan ja vaatimustenmukaisuusvaatimusten perusteella. Samaan aikaan verkkojen nopeuksien (kuten 25G, 100G ja 400G) parantuessa ja verkkoturvallisuusvaatimusten päivittyessä myös TAP-teknologia kehittyy jatkuvasti (kuten älykkään liikenteen jakamisen ja moniporttisen yhdistämisen tukeminen), ja kytkinvalmistajat optimoivat myös jatkuvasti SPAN-toimintoa (kuten parantavat välimuistikapasiteettia ja tukevat häviötöntä peilausta). Tulevaisuudessa nämä kaksi teknologiaa täydentävät omia roolejaan ja tarjoavat tehokkaampaa ja tarkempaa datatukea verkonhallinnalle.