Szczegółowa analiza i porównanie zastosowań metod pozyskiwania danych o ruchu sieciowym TAP i SPAN

W obszarach eksploatacji i konserwacji sieci, rozwiązywania problemów oraz analizy bezpieczeństwa, precyzyjne i efektywne pozyskiwanie strumieni danych sieciowych stanowi podstawę realizacji różnych zadań. Jako dwie główne technologie pozyskiwania danych sieciowych, TAP (Test Access Point) i SPAN (Switched Port Analyzer, powszechnie nazywane również port mirroringiem) odgrywają istotną rolę w różnych scenariuszach ze względu na swoje odmienne właściwości techniczne. Dogłębne zrozumienie ich funkcji, zalet, ograniczeń i możliwych scenariuszy jest kluczowe dla inżynierów sieci, aby mogli oni formułować rozsądne plany gromadzenia danych i zwiększać efektywność zarządzania siecią.

TAP: kompleksowe i widoczne rozwiązanie do przechwytywania danych bez strat

TAP to urządzenie sprzętowe działające na warstwie fizycznej lub łącza danych. Jego podstawową funkcją jest osiągnięcie 100% replikacji i przechwytywania strumieni danych sieciowych bez zakłócania oryginalnego ruchu sieciowego. Połączone szeregowo w łączu sieciowym (np. między przełącznikiem a serwerem lub routerem a przełącznikiem), replikuje ono wszystkie pakiety danych przesyłane w górę i w dół łącza do portu monitorującego, wykorzystując metody „podziału optycznego” lub „podziału ruchu”, w celu ich późniejszego przetworzenia przez urządzenia analityczne (takie jak analizatory sieci i systemy wykrywania włamań – IDS).

Główne cechy: Skupione na „integralności” i „stabilności”

1. 100% przechwytywania pakietów danych bez ryzyka utraty

To najważniejsza zaleta protokołu TAP. Ponieważ TAP działa w warstwie fizycznej i bezpośrednio replikuje sygnały elektryczne lub optyczne w łączu, nie wymaga on zasobów procesora przełącznika do przekazywania lub replikacji pakietów danych. Dzięki temu, niezależnie od tego, czy ruch sieciowy osiąga szczyt, czy zawiera duże pakiety danych (takie jak ramki Jumbo o dużej wartości MTU), wszystkie pakiety danych mogą zostać w pełni przechwycone bez utraty pakietów spowodowanej niewystarczającymi zasobami przełącznika. Ta funkcja „bezstratnego przechwytywania” sprawia, że ​​jest to preferowane rozwiązanie w scenariuszach wymagających dokładnego przetwarzania danych (takich jak lokalizacja pierwotnej przyczyny awarii i analiza bazowej wydajności sieci).

2. Brak wpływu na wydajność oryginalnej sieci

Tryb pracy TAP gwarantuje, że nie powoduje on żadnych zakłóceń w oryginalnym łączu sieciowym. Nie modyfikuje on zawartości, adresów źródłowych/docelowych ani synchronizacji pakietów danych, ani nie obciąża przepustowości portu, pamięci podręcznej ani zasobów przetwarzania przełącznika. Nawet jeśli samo urządzenie TAP ulegnie awarii (np. awarii zasilania lub uszkodzeniu sprzętu), spowoduje to jedynie brak przesyłania danych z portu monitorującego, podczas gdy komunikacja oryginalnego łącza sieciowego pozostanie bez zmian, co pozwala uniknąć ryzyka przerw w działaniu sieci spowodowanych awarią urządzeń zbierających dane.

3. Obsługa łączy pełnodupleksowych i złożonych środowisk sieciowych

Nowoczesne sieci w większości wykorzystują tryb komunikacji pełnodupleksowej (tj. dane w górę i w dół mogą być przesyłane jednocześnie). TAP może przechwytywać strumienie danych w obu kierunkach łącza pełnodupleksowego i przesyłać je przez niezależne porty monitorujące, zapewniając urządzeniu analizującemu możliwość pełnego przywrócenia dwukierunkowej komunikacji. Ponadto TAP obsługuje różne prędkości sieciowe (takie jak 100M, 1G, 10G, 40G, a nawet 100G) i typy mediów (skrętka, światłowód jednomodowy, światłowód wielomodowy) i może być dostosowany do środowisk sieciowych o różnej złożoności, takich jak centra danych, sieci szkieletowe i sieci kampusowe.

Scenariusze zastosowań: skupienie się na „dokładnej analizie” i „monitorowaniu kluczowych ogniw”

1. Rozwiązywanie problemów z siecią i lokalizacja przyczyn źródłowych

W przypadku wystąpienia w sieci problemów takich jak utrata pakietów, opóźnienie, jitter lub opóźnienie aplikacji, konieczne jest odtworzenie scenariusza z momentu wystąpienia awarii poprzez cały strumień pakietów danych. Na przykład, jeśli podstawowe systemy biznesowe przedsiębiorstwa (takie jak ERP i CRM) doświadczają okresowych przekroczeń limitu czasu dostępu, personel operacyjny i konserwacyjny może wdrożyć punkt dostępu (TAP) między serwerem a przełącznikiem głównym, aby przechwycić wszystkie pakiety danych przesyłane w obie strony, przeanalizować, czy występują problemy, takie jak retransmisja TCP, utrata pakietów, opóźnienie w rozpoznawaniu nazw domen (DNS) lub błędy protokołu warstwy aplikacji, a tym samym szybko zlokalizować przyczynę awarii (np. problemy z jakością łącza, powolna reakcja serwera lub błędy konfiguracji oprogramowania pośredniczącego).

2. Ustalanie bazowej linii wydajności sieci i monitorowanie anomalii

W eksploatacji i konserwacji sieci, ustalenie poziomu bazowego wydajności przy normalnym obciążeniu biznesowym (takiego jak średnie wykorzystanie przepustowości, opóźnienie przekazywania pakietów danych i wskaźnik powodzenia nawiązywania połączeń TCP) stanowi podstawę monitorowania anomalii. TAP może stabilnie rejestrować pełne dane kluczowych łączy (takich jak między przełącznikami szkieletowymi oraz między routerami wyjściowymi a dostawcami usług internetowych) przez długi czas, pomagając personelowi operacyjnemu i konserwacyjnemu w obliczaniu różnych wskaźników wydajności i tworzeniu dokładnego modelu bazowego. W przypadku wystąpienia kolejnych anomalii, takich jak nagłe wzrosty ruchu, nietypowe opóźnienia lub anomalie protokołów (takie jak nietypowe żądania ARP i duża liczba pakietów ICMP), anomalie te można szybko wykryć poprzez porównanie z poziomem bazowym i podjąć szybką interwencję.

3. Audyt zgodności i wykrywanie zagrożeń przy wysokich wymaganiach bezpieczeństwa

W branżach o wysokich wymaganiach w zakresie bezpieczeństwa danych i zgodności z przepisami, takich jak finanse, sprawy rządowe i energetyka, konieczne jest przeprowadzanie pełnego audytu procesu transmisji danych wrażliwych lub precyzyjne wykrywanie potencjalnych zagrożeń sieciowych (takich jak ataki APT, wyciek danych i propagacja złośliwego kodu). Funkcja bezstratnego przechwytywania TAP zapewnia integralność i dokładność danych audytowych, co może spełniać wymogi przepisów prawa, takich jak „Ustawa o bezpieczeństwie sieci” i „Ustawa o bezpieczeństwie danych”, dotyczące przechowywania i audytu danych. Jednocześnie pakiety danych o pełnej objętości dostarczają bogatych próbek analitycznych dla systemów wykrywania zagrożeń (takich jak IDS/IPS i urządzenia typu sandbox), pomagając w wykrywaniu zagrożeń o niskiej częstotliwości i ukrytych w normalnym ruchu (takich jak złośliwy kod w zaszyfrowanym ruchu i ataki penetracyjne podszywające się pod normalną działalność biznesową).

Ograniczenia: Kompromis między kosztami a elastycznością wdrożenia

Główne ograniczenia TAP-u wynikają z wysokich kosztów sprzętowych i niskiej elastyczności wdrożenia. Z jednej strony, TAP jest dedykowanym urządzeniem sprzętowym, a w szczególności TAP-y obsługujące wysokie prędkości (takie jak 40G i 100G) lub światłowody są znacznie droższe niż programowa funkcja SPAN. Z drugiej strony, TAP wymaga szeregowego połączenia z pierwotnym łączem sieciowym, a łącze to wymaga czasowego przerwania podczas wdrażania (np. poprzez podłączanie i odłączanie kabli sieciowych lub światłowodów). W przypadku niektórych łączy szkieletowych, które nie dopuszczają przerw (np. łącza transakcji finansowych działające 24/7), wdrożenie jest trudne, a punkty dostępowe TAP-u zazwyczaj wymagają wcześniejszej rezerwacji na etapie planowania sieci.

SPAN: Ekonomiczne i elastyczne rozwiązanie do agregacji danych „wieloportowych”

SPAN to funkcja programowa wbudowana w przełączniki (obsługuje ją również część routerów wysokiej klasy). Jej zasada działania polega na wewnętrznej konfiguracji przełącznika w celu replikacji ruchu z jednego lub kilku portów źródłowych (Source Ports) lub źródłowych sieci VLAN do wyznaczonego portu monitorującego (Destination Port, zwanego również portem lustrzanym) w celu odbioru i przetwarzania przez urządzenie analizujące. W przeciwieństwie do TAP, SPAN nie wymaga dodatkowych urządzeń sprzętowych i może realizować zbieranie danych wyłącznie poprzez konfigurację programową przełącznika.

Główne cechy: Skupione na „efektywności kosztowej” i „elastyczności”

1. Brak dodatkowych kosztów sprzętu i wygodne wdrożenie

Ponieważ SPAN jest funkcją wbudowaną w oprogramowanie układowe przełącznika, nie ma potrzeby zakupu dedykowanych urządzeń sprzętowych. Zbieranie danych można szybko włączyć jedynie poprzez konfigurację za pomocą interfejsu wiersza poleceń (CLI) lub internetowego interfejsu zarządzania (np. poprzez określenie portu źródłowego, portu monitorowania i kierunku lustrzanego (przychodzący, wychodzący lub dwukierunkowy)). Ta funkcja „zero kosztów sprzętowych” sprawia, że ​​jest to idealny wybór w scenariuszach z ograniczonym budżetem lub w przypadku tymczasowych potrzeb monitorowania (takich jak krótkoterminowe testowanie aplikacji i tymczasowe rozwiązywanie problemów).

2. Obsługa agregacji ruchu z wielu portów źródłowych/wielu sieci VLAN

Główną zaletą SPAN jest możliwość replikacji ruchu z wielu portów źródłowych (takich jak porty użytkowników przełączników wielowarstwowych) lub z wielu sieci VLAN do tego samego portu monitorowania w tym samym czasie. Na przykład, jeśli personel operacyjny i konserwacyjny przedsiębiorstwa musi monitorować ruch terminali pracowników z wielu działów (odpowiadających różnym sieciom VLAN) uzyskujących dostęp do Internetu, nie ma potrzeby wdrażania oddzielnych urządzeń zbierających dane na wyjściu z każdej sieci VLAN. Agregując ruch z tych sieci VLAN do jednego portu monitorowania za pośrednictwem SPAN, można przeprowadzić scentralizowaną analizę, co znacznie zwiększa elastyczność i wydajność gromadzenia danych.

3. Nie ma potrzeby przerywania oryginalnego połączenia sieciowego

W przeciwieństwie do szeregowego wdrożenia TAP, zarówno port źródłowy, jak i port monitorujący SPAN są zwykłymi portami przełącznika. Podczas konfiguracji nie ma potrzeby podłączania i odłączania kabli sieciowych oryginalnego łącza, a transmisja oryginalnego ruchu nie jest zakłócana. Nawet jeśli zajdzie potrzeba późniejszej zmiany portu źródłowego lub wyłączenia funkcji SPAN, można to zrobić jedynie poprzez modyfikację konfiguracji za pomocą wiersza poleceń, co jest wygodne w obsłudze i nie koliduje z usługami sieciowymi.

Scenariusze zastosowań: skupienie się na „niskokosztowym monitorowaniu” i „centralizowanej analizie”

1. Monitorowanie zachowań użytkowników w sieciach kampusowych/sieciach korporacyjnych

W sieciach kampusowych lub korporacyjnych administratorzy często muszą monitorować, czy terminale pracowników nie mają nielegalnego dostępu (np. uzyskują dostęp do nielegalnych stron internetowych i pobierają pirackie oprogramowanie) oraz czy duża liczba pobrań P2P lub strumieni wideo nie zajmuje pasma. Agregując ruch portów użytkowników przełączników warstwy dostępowej do portu monitorującego za pośrednictwem protokołu SPAN, w połączeniu z oprogramowaniem do analizy ruchu (takim jak Wireshark i NetFlow Analyzer), można monitorować zachowania użytkowników w czasie rzeczywistym i zbierać statystyki dotyczące zajętości pasma bez konieczności dodatkowych inwestycji w sprzęt.

2. Tymczasowe rozwiązywanie problemów i krótkoterminowe testowanie aplikacji

W przypadku wystąpienia tymczasowych i sporadycznych awarii w sieci lub konieczności przetestowania ruchu w nowo wdrożonej aplikacji (takiej jak wewnętrzny system OA i system wideokonferencyjny), SPAN może zostać użyty do szybkiego zbudowania środowiska gromadzenia danych. Na przykład, jeśli dział zgłasza częste zawieszanie się wideokonferencji, personel operacyjny i konserwacyjny może tymczasowo skonfigurować SPAN w celu dublowania ruchu portu, na którym znajduje się serwer wideokonferencji, do portu monitorującego. Analizując opóźnienie pakietów danych, wskaźnik utraty pakietów i zajętość pasma, można określić, czy przyczyną awarii jest niewystarczająca przepustowość sieci, czy utrata pakietów danych. Po zakończeniu rozwiązywania problemów konfigurację SPAN można wyłączyć bez wpływu na późniejsze działanie sieci.

3. Statystyki ruchu i proste audyty w małych i średnich sieciach

W przypadku małych i średnich sieci (takich jak małe przedsiębiorstwa i laboratoria kampusowe), jeśli wymagania dotyczące integralności gromadzenia danych nie są wysokie i potrzebne są jedynie proste statystyki ruchu (takie jak wykorzystanie przepustowości każdego portu i udział ruchu w aplikacjach Top N) lub podstawowy audyt zgodności (taki jak rejestrowanie nazw domen witryn internetowych odwiedzanych przez użytkowników), SPAN może w pełni zaspokoić te potrzeby. Jego niskie koszty i łatwość wdrożenia sprawiają, że jest to opłacalny wybór w takich scenariuszach.

Ograniczenia: Niedociągnięcia w integralności danych i wpływ na wydajność

1. Ryzyko utraty pakietów danych i niepełnego przechwycenia

Replikacja pakietów danych przez SPAN opiera się na zasobach procesora i pamięci podręcznej przełącznika. Gdy ruch na porcie źródłowym osiąga szczyt (np. przekracza pojemność pamięci podręcznej przełącznika) lub gdy przełącznik przetwarza dużą liczbę zadań przekazywania danych jednocześnie, procesor priorytetowo traktuje przekazywanie ruchu źródłowego, ograniczając lub wstrzymując replikację ruchu SPAN, co powoduje utratę pakietów na porcie monitorującym. Ponadto niektóre przełączniki mają ograniczenia dotyczące współczynnika lustrzanego SPAN (np. obsługują replikację tylko 80% ruchu) lub nie obsługują pełnej replikacji dużych pakietów danych (np. ramek Jumbo). Wszystkie te czynniki prowadzą do niekompletności zebranych danych i wpływają na dokładność wyników późniejszej analizy.

2. Zajmowanie zasobów przełączników i potencjalny wpływ na wydajność sieci

Chociaż SPAN nie przerywa bezpośrednio oryginalnego łącza, to jednak w przypadku dużej liczby portów źródłowych lub dużego natężenia ruchu proces replikacji pakietów danych będzie obciążał zasoby procesora i wewnętrzną przepustowość przełącznika. Na przykład, jeśli ruch z wielu portów 10G jest dublowany do portu monitorującego 10G, a łączny ruch na portach źródłowych przekroczy 10G, nie tylko port monitorujący ucierpi z powodu utraty pakietów z powodu niewystarczającej przepustowości, ale również wykorzystanie procesora przełącznika może znacznie wzrosnąć, co wpłynie na wydajność przekazywania pakietów danych przez inne porty, a nawet spowoduje spadek ogólnej wydajności przełącznika.

3. Zależność funkcji od modelu przełącznika i ograniczona kompatybilność

Poziom obsługi funkcji SPAN różni się znacznie w zależności od producenta i modelu przełączników. Na przykład, przełączniki niższej klasy mogą obsługiwać tylko jeden port monitorujący i nie obsługiwać dublowania sieci VLAN ani ruchu w trybie pełnego dupleksu; funkcja SPAN niektórych przełączników ma ograniczenie „dublowania jednokierunkowego” (tj. dublowanie tylko ruchu przychodzącego lub wychodzącego, bez jednoczesnego dublowania ruchu dwukierunkowego); ponadto, SPAN między przełącznikami (np. dublowanie ruchu z portu przełącznika A do portu monitorującego przełącznika B) musi opierać się na określonych protokołach (takich jak RSPAN firmy Cisco i ERSPAN firmy Huawei), które charakteryzują się złożoną konfiguracją i niską kompatybilnością, a także są trudne do dostosowania do środowiska mieszanych sieci różnych producentów.

Porównanie podstawowych różnic i sugestie wyboru pomiędzy TAP i SPAN

Porównanie różnic rdzeniowych

Aby wyraźniej pokazać różnice między nimi, porównamy je pod kątem takich aspektów jak: parametry techniczne, wpływ na wydajność, koszty i możliwe scenariusze:

Sugestie wyboru: „Dokładne dopasowanie” w oparciu o wymagania scenariusza

1. Scenariusze, w których preferowany jest TAP

○Monitorowanie głównych łączy biznesowych (takich jak przełączniki rdzeniowe centrów danych i łącza routerów wyjściowych), wymagające zapewnienia integralności przechwytywania danych;

○Lokalizacja głównej przyczyny awarii sieci (takiej jak retransmisja TCP i opóźnienie aplikacji), wymagająca dokładnej analizy w oparciu o pełnowymiarowe pakiety danych;

○Branże o wysokich wymaganiach w zakresie bezpieczeństwa i zgodności (finanse, sprawy rządowe, energetyka), wymagające zachowania integralności i zabezpieczenia danych audytowych;

○Środowiska sieciowe o dużej przepustowości (10G i wyższe) lub scenariusze z dużymi pakietami danych, wymagające unikania utraty pakietów w sieci SPAN.

2. Scenariusze, w których preferowany jest SPAN

○Małe i średnie sieci z ograniczonymi budżetami lub scenariusze wymagające jedynie prostych statystyk ruchu (takich jak zajętość pasma i najpopularniejsze aplikacje);

○Tymczasowe rozwiązywanie problemów lub krótkoterminowe testowanie aplikacji (takie jak testowanie uruchomienia nowego systemu), wymagające szybkiego wdrożenia bez długotrwałego zajmowania zasobów;

○Centralne monitorowanie portów wieloźródłowych/wielu sieci VLAN (takich jak monitorowanie zachowań użytkowników sieci kampusowej) wymagające elastycznej agregacji ruchu;

○Monitorowanie łączy drugorzędnych (takich jak porty użytkowników przełączników warstwy dostępowej) przy niskich wymaganiach co do integralności przechwytywania danych.

3. Scenariusze wykorzystania hybrydowego

W niektórych złożonych środowiskach sieciowych można również zastosować hybrydową metodę wdrożenia „TAP + SPAN”. Na przykład, wdrożenie TAP w łączach szkieletowych centrum danych zapewnia przechwytywanie pełnych wolumenów danych na potrzeby rozwiązywania problemów i audytów bezpieczeństwa; skonfigurowanie SPAN w przełącznikach warstwy dostępu lub agregacji w celu agregacji rozproszonego ruchu użytkowników na potrzeby analizy zachowań i statystyk przepustowości. To nie tylko zaspokaja potrzeby dokładnego monitorowania kluczowych łączy, ale także obniża całkowity koszt wdrożenia.

Zatem, jako dwie podstawowe technologie akwizycji danych sieciowych, TAP i SPAN nie mają bezwzględnych „zalet ani wad”, a jedynie „różnice w adaptacji scenariuszy”. TAP koncentruje się na „bezstratnym przechwytywaniu” i „stabilnej niezawodności” i nadaje się do kluczowych scenariuszy o wysokich wymaganiach dotyczących integralności danych i stabilności sieci, ale charakteryzuje się wysokimi kosztami i niską elastycznością wdrożenia. SPAN ma zalety „zerowych kosztów” oraz „elastyczności i wygody” i nadaje się do scenariuszy niskokosztowych, tymczasowych lub niezwiązanych z podstawową działalnością, ale wiąże się z ryzykiem utraty danych i spadku wydajności.

W rzeczywistej eksploatacji i konserwacji sieci inżynierowie sieciowi muszą wybrać najodpowiedniejsze rozwiązanie techniczne w oparciu o własne potrzeby biznesowe (takie jak to, czy jest to łącze szkieletowe i czy wymagana jest dokładna analiza), koszty budżetowe, skalę sieci oraz wymogi zgodności. Jednocześnie, wraz z poprawą przepustowości sieci (np. 25G, 100G i 400G) oraz unowocześnianiem wymogów bezpieczeństwa sieci, technologia TAP również stale się rozwija (m.in. poprzez obsługę inteligentnego podziału ruchu i agregacji wieloportowej), a producenci przełączników stale optymalizują funkcję SPAN (np. zwiększając pojemność pamięci podręcznej i obsługując bezstratne dublowanie). W przyszłości obie technologie będą odgrywać ważniejszą rolę w swoich obszarach, zapewniając wydajniejsze i dokładniejsze wsparcie danych w zarządzaniu siecią.