Główną różnicą pomiędzy przechwytywaniem pakietów za pomocą portów Network TAP i SPAN.

Dublowanie portów(znany również jako SPAN)

Dotknij sieci(znany również jako Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap itp.)TAP (Punkt dostępu do terminala)jest w pełni pasywnym urządzeniem sprzętowym, które może pasywnie przechwytywać ruch w sieci. Jest powszechnie używane do monitorowania ruchu między dwoma punktami w sieci. Jeśli sieć między tymi dwoma punktami składa się z fizycznego kabla, TAP sieciowy może być najlepszym sposobem na przechwytywanie ruchu.

Zanim wyjaśnimy różnice między tymi dwoma rozwiązaniami (Port Mirror i Network Tap), ważne jest zrozumienie, jak działa Ethernet. Przy 100 Mbit i więcej hosty zazwyczaj komunikują się w pełnym dupleksie, co oznacza, że ​​jeden host może wysyłać (Tx) i odbierać (Rx) jednocześnie. Oznacza to, że w kablu 100 Mbit podłączonym do jednego hosta, całkowita ilość ruchu sieciowego, którą jeden host może wysyłać/odbierać (Tx/Rx)) wynosi 2 × 100 Mbit = 200 Mbit.

Mirroring portów to aktywna replikacja pakietów, co oznacza, że ​​urządzenie sieciowe jest fizycznie odpowiedzialne za kopiowanie pakietu do lustrzanego portu.

Przechwytywanie ruchu: TAP kontra SPAN
Podczas monitorowania ruchu sieciowego, jeśli nie chcesz bezpośrednio uruchamiać wsparcia, gdy użytkownik przetwarza transakcję, masz dwie główne opcje. W poniższym artykule przedstawimy przegląd TAP (Test Access Point) i SPAN (Switch Port Analyzer). Aby uzyskać głębszą analizę, ekspert ds. inspekcji pakietów Timo'Neill ma kilka artykułów na lovemytool.com, które zawierają wiele szczegółów, ale tutaj przyjmiemy bardziej ogólne podejście.

PRZĘSŁO
Port mirroring to metoda monitorowania ruchu sieciowego polegająca na przesyłaniu kopii każdego przychodzącego i/lub wychodzącego pakietu z jednego lub większej liczby portów (lub sieci VLAN) przełącznika do innego portu podłączonego do analizatora ruchu sieciowego. Spany są często używane w prostszych systemach do jednoczesnego monitorowania wielu lokalizacji. Dokładna liczba transmisji sieciowych, które mogą być monitorowane, zależy od tego, gdzie SPAN jest zainstalowany względem sprzętu centrum danych. Prawdopodobnie znajdziesz to, czego szukasz, ale łatwo jest znaleźć się z nadmiarem danych. Na przykład możliwe jest znalezienie wielu kopii tych samych danych w całej sieci VLAN. Utrudnia to rozwiązywanie problemów z siecią LAN, a także wpływa na szybkość procesorów przełączników lub wpływa na sieć Ethernet poprzez wykrywanie rozmieszczenia. Zasadniczo im więcej rozpiętości, tym większe prawdopodobieństwo utraty pakietów. W porównaniu do punktów dostępowych, rozpiętościami można zarządzać zdalnie, co oznacza, że ​​mniej czasu poświęca się na zmianę konfiguracji, ale nadal potrzebni są inżynierowie sieciowi.

Porty SPAN nie są technologią pasywną, jak twierdzą niektórzy, ponieważ mogą mieć inne mierzalne skutki dla ruchu sieciowego, w tym:
- Czas na zmianę interakcji ramek

- Utrata pakietów z powodu nadmiernej liczby wyszukiwań

- Uszkodzone pakiety są usuwane bez ostrzeżenia, co utrudnia analizę
Dlatego porty SPAN są bardziej przydatne w sytuacjach, w których utrata pakietów nie wpływa na analizę lub gdy brane są pod uwagę koszty.

UZYSKIWAĆ
Natomiast tapy wymagają wydania pieniędzy na sprzęt z góry, ale nie wymagają dużej konfiguracji. Rzeczywiście, ponieważ są pasywne, można je podłączać i odłączać od sieci bez wpływu na nią. Tapy to urządzenia sprzętowe, które zapewniają sposób dostępu do danych przepływających przez sieć komputerową i są powszechnie używane do celów bezpieczeństwa sieci i monitorowania wydajności. Monitorowany ruch nazywany jest ruchem „pass-through”, a port używany do monitorowania nazywany jest „portem monitorującym”. Aby dokładniej zbadać sieć, tapy można umieścić między routerami i przełącznikami.
Ponieważ protokół TAP nie ma wpływu na pakiety, można go uważać za prawdziwie pasywny sposób obserwowania ruchu sieciowego.
Zasadniczo istnieją trzy rodzaje rozwiązań TAP:

- Rozdzielacz sieciowy (1 : 1)

- Agregat TAP (wiele : 1)

- Regeneracja TAP (1 : multi)

TAP replikuje ruch do pojedynczego narzędzia do pasywnego monitorowania lub do urządzenia do przekazywania pakietów sieciowych o dużej gęstości i obsługuje wiele (często wiele) narzędzi do testowania jakości usług (QoS), narzędzi do monitorowania sieci i narzędzi do analizowania sieci, takich jak Wireshark.
Ponadto typy TAP różnią się w zależności od typu kabla, w tym światłowodowy TAP i gigabitowy miedziany TAP, oba działające w zasadzie w ten sam sposób, odciążając część sygnału do analizatora ruchu sieciowego, podczas gdy główny model kontynuuje transmisję bez przerwy. W przypadku światłowodowego TAP ma on dzielić wiązkę na dwie części, podczas gdy w systemie kabli miedzianych ma on replikować sygnał elektryczny.