Dubinska analiza i usporedba primjene metoda prikupljanja podataka o mrežnom prometu TAP i SPAN

U područjima rada i održavanja mreže, rješavanja problema i sigurnosne analize, točno i učinkovito prikupljanje mrežnih tokova podataka temelj je za obavljanje različitih zadataka. Kao dvije glavne tehnologije prikupljanja mrežnih podataka, TAP (Test Access Point) i SPAN (Switched Port Analyzer, također poznat kao zrcaljenje portova) igraju važnu ulogu u različitim scenarijima zbog svojih različitih tehničkih karakteristika. Dubinsko razumijevanje njihovih značajki, prednosti, ograničenja i primjenjivih scenarija ključno je za mrežne inženjere kako bi formulirali razumne planove prikupljanja podataka i poboljšali učinkovitost upravljanja mrežom.

TAP: Sveobuhvatno i vidljivo rješenje za prikupljanje podataka "bez gubitaka"

TAP je hardverski uređaj koji radi na fizičkom sloju ili sloju podatkovne veze. Njegova je osnovna funkcija postići 100%-tnu replikaciju i snimanje mrežnih tokova podataka bez ometanja izvornog mrežnog prometa. Serijskim spajanjem u mrežnoj vezi (npr. između preklopnika i poslužitelja ili usmjerivača i preklopnika), replicira sve uzvodne i nizvodne podatkovne pakete koji prolaze kroz vezu do nadzornog porta koristeći metode "optičkog dijeljenja" ili "dijeljenja prometa", za naknadnu obradu uređajima za analizu (kao što su mrežni analizatori i sustavi za detekciju upada - IDS).

Osnovne značajke: Usredotočeno na "integritet" i "stabilnost"

1. 100%-tno snimanje podatkovnih paketa bez rizika od gubitka

Ovo je najistaknutija prednost TAP-a. Budući da TAP radi na fizičkom sloju i izravno replicira električne ili optičke signale u vezi, ne oslanja se na CPU resurse preklopnika za prosljeđivanje ili replikaciju podatkovnih paketa. Stoga, bez obzira na to je li mrežni promet na vrhuncu ili sadrži velike podatkovne pakete (kao što su Jumbo okviri s velikom MTU vrijednošću), svi podatkovni paketi mogu se u potpunosti uhvatiti bez gubitka paketa uzrokovanog nedovoljnim resursima preklopnika. Ova značajka "snimanja bez gubitaka" čini ga preferiranim rješenjem za scenarije koji zahtijevaju točnu podršku podacima (kao što je lociranje uzroka kvara i analiza osnovnih performansi mreže).

2. Nema utjecaja na izvorne mrežne performanse

Način rada TAP-a osigurava da ne uzrokuje nikakve smetnje izvornoj mrežnoj vezi. Ne mijenja sadržaj, izvorne/odredišne ​​adrese ili vrijeme podatkovnih paketa, niti zauzima propusnost porta, predmemoriju ili resurse za obradu preklopnika. Čak i ako sam TAP uređaj ne radi ispravno (poput nestanka struje ili oštećenja hardvera), to će rezultirati samo time da neće biti izlaza podataka iz nadzornog porta, dok komunikacija izvorne mrežne veze ostaje normalna, izbjegavajući rizik od prekida mreže uzrokovanog kvarom uređaja za prikupljanje podataka.

3. Podrška za full-duplex veze i složena mrežna okruženja

Moderne mreže uglavnom usvajaju full-duplex komunikacijski način (tj. uzvodni i nizvodni podaci mogu se prenositi istovremeno). TAP može snimati tokove podataka u oba smjera full-duplex veze i slati ih putem neovisnih nadzornih portova, osiguravajući da uređaj za analizu može u potpunosti obnoviti dvosmjerni komunikacijski proces. Osim toga, TAP podržava različite mrežne brzine (kao što su 100M, 1G, 10G, 40G, pa čak i 100G) i vrste medija (upredena parica, jednomodno optičko vlakno, višemodno optičko vlakno) te se može prilagoditi mrežnim okruženjima različite složenosti kao što su podatkovni centri, osnovne mreže i kampusne mreže.

Scenariji primjene: Fokusiranje na "Točnu analizu" i "Praćenje ključnih veza"

1. Rješavanje problema s mrežom i pronalaženje uzroka problema

Kada se u mreži pojave problemi poput gubitka paketa, kašnjenja, podrhtavanja ili kašnjenja aplikacije, potrebno je vratiti scenarij kada se kvar dogodio putem kompletnog toka podatkovnih paketa. Na primjer, ako osnovni poslovni sustavi poduzeća (kao što su ERP i CRM) imaju povremena isteka vremena pristupa, osoblje za rad i održavanje može implementirati TAP između poslužitelja i glavnog preklopnika kako bi uhvatilo sve kružne podatkovne pakete, analiziralo postoje li problemi poput ponovnog prijenosa TCP-a, gubitka paketa, kašnjenja u DNS razrješenju ili pogrešaka protokola na aplikacijskom sloju te time brzo locirati uzrok kvara (kao što su problemi s kvalitetom veze, spor odgovor poslužitelja ili pogreške u konfiguraciji middlewarea).

2. Uspostavljanje osnovnih podataka o performansama mreže i praćenje anomalija

U radu i održavanju mreže, uspostavljanje osnovne vrijednosti performansi pod normalnim poslovnim opterećenjima (kao što su prosječna iskorištenost propusnosti, kašnjenje prosljeđivanja podatkovnih paketa i stopa uspješnosti uspostavljanja TCP veze) osnova je za praćenje anomalija. TAP može stabilno snimati podatke punog volumena ključnih veza (kao što su između glavnih sklopki i između izlaznih usmjerivača i ISP-ova) tijekom dugog vremena, pomažući osoblju za rad i održavanje da izračuna različite pokazatelje performansi i uspostavi točan osnovni model. Kada se pojave naknadne anomalije poput iznenadnih porasta prometa, abnormalnih kašnjenja ili anomalija protokola (kao što su abnormalni ARP zahtjevi i veliki broj ICMP paketa), anomalije se mogu brzo otkriti usporedbom s osnovnom vrijednošću i pravovremeno se može intervenirati.

3. Revizija usklađenosti i otkrivanje prijetnji s visokim sigurnosnim zahtjevima

Za industrije s visokim zahtjevima za sigurnost podataka i usklađenost, kao što su financije, vladini poslovi i energetika, potrebno je provesti potpunu reviziju procesa prijenosa osjetljivih podataka ili točno otkriti potencijalne mrežne prijetnje (poput APT napada, curenja podataka i širenja zlonamjernog koda). Značajka TAP-a za snimanje bez gubitaka osigurava integritet i točnost podataka revizije, što može zadovoljiti zahtjeve zakona i propisa kao što su "Zakon o mrežnoj sigurnosti" i "Zakon o sigurnosti podataka" za zadržavanje i reviziju podataka; istovremeno, paketi podataka punog volumena također pružaju bogate uzorke analize za sustave za otkrivanje prijetnji (poput IDS/IPS i sandbox uređaja), pomažući u otkrivanju niskofrekventnih i skrivenih prijetnji skrivenih u normalnom prometu (poput zlonamjernog koda u šifriranom prometu i napada penetracijom prikrivenih kao normalno poslovanje).

Ograničenja: Kompromis između troškova i fleksibilnosti implementacije

Glavna ograničenja TAP-a leže u visokoj cijeni hardvera i niskoj fleksibilnosti implementacije. S jedne strane, TAP je namjenski hardverski uređaj, a posebno su TAP-ovi koji podržavaju visoke brzine (kao što su 40G i 100G) ili optička vlakna mnogo skuplji od softverski bazirane SPAN funkcije; s druge strane, TAP se mora spojiti serijski u izvornoj mrežnoj vezi, a veza se mora privremeno prekidati tijekom implementacije (kao što je uključivanje i isključivanje mrežnih kabela ili optičkih vlakana). Za neke osnovne veze koje ne dopuštaju prekid (kao što su veze za financijske transakcije koje rade 24/7), implementacija je otežana, a TAP pristupne točke obično je potrebno rezervirati unaprijed tijekom faze planiranja mreže.

SPAN: Isplativo i fleksibilno rješenje za agregaciju podataka s više portova

SPAN je softverska funkcija ugrađena u preklopnike (neki vrhunski usmjerivači je također podržavaju). Njezin je princip interno konfiguriranje preklopnika za repliciranje prometa s jednog ili više izvornih portova (izvorni portovi) ili izvornih VLAN-ova na određeni nadzorni port (odredišni port, također poznat kao zrcalni port) za prijem i obradu od strane uređaja za analizu. Za razliku od TAP-a, SPAN ne zahtijeva dodatne hardverske uređaje i može ostvariti prikupljanje podataka samo oslanjajući se na softversku konfiguraciju preklopnika.

Osnovne značajke: Usredotočeno na "isplativost" i "fleksibilnost"

1. Bez dodatnih troškova hardvera i praktično postavljanje

Budući da je SPAN funkcija ugrađena u firmware preklopnika, nema potrebe za kupnjom namjenskih hardverskih uređaja. Prikupljanje podataka može se brzo omogućiti samo konfiguriranjem putem CLI-ja (sučelja naredbenog retka) ili web sučelja za upravljanje (kao što je određivanje izvornog porta, porta za praćenje i smjera zrcaljenja (dolazni, odlazni ili dvosmjerni)). Ova značajka "nultih hardverskih troškova" čini ga idealnim izborom za scenarije s ograničenim proračunima ili privremenim potrebama za praćenjem (kao što su kratkoročno testiranje aplikacija i privremeno rješavanje problema).

2. Podrška za agregaciju prometa s više izvora portova / više VLAN-ova

Glavna prednost SPAN-a je što može replicirati promet s više izvornih portova (kao što su korisnički portovi više preklopnika pristupne razine) ili više VLAN-ova na isti nadzorni port istovremeno. Na primjer, ako osoblje za operacije i održavanje poduzeća treba pratiti promet terminala zaposlenika u više odjela (koji odgovaraju različitim VLAN-ovima) koji pristupaju internetu, nema potrebe za postavljanjem odvojenih uređaja za prikupljanje na izlazu svakog VLAN-a. Agregiranjem prometa ovih VLAN-ova na jedan nadzorni port putem SPAN-a može se ostvariti centralizirana analiza, što uvelike poboljšava fleksibilnost i učinkovitost prikupljanja podataka.

3. Nema potrebe za prekidanjem izvorne mrežne veze

Za razliku od serijskog postavljanja TAP-a, i izvorni port i nadzorni port SPAN-a su obični portovi preklopnika. Tijekom procesa konfiguracije, nema potrebe za uključivanjem i isključivanjem mrežnih kabela izvorne veze, niti to utječe na prijenos izvornog prometa. Čak i ako je kasnije potrebno prilagoditi izvorni port ili onemogućiti SPAN funkciju, to se može učiniti samo izmjenom konfiguracije putem naredbenog retka, što je praktično za korištenje i ne ometa mrežne usluge.

Scenariji primjene: Fokus na "jeftin nadzor" i "centraliziranu analizu"

1. Praćenje ponašanja korisnika u kampusnim mrežama / poslovnim mrežama

U kampusnim ili poslovnim mrežama, administratori često moraju pratiti imaju li terminali zaposlenika ilegalni pristup (poput pristupa ilegalnim web stranicama i preuzimanja piratskog softvera) i zauzima li veliki broj P2P preuzimanja ili video streamova propusnost. Agregiranjem prometa korisničkih portova preklopnika pristupne razine na port za praćenje putem SPAN-a, u kombinaciji sa softverom za analizu prometa (kao što su Wireshark i NetFlow Analyzer), praćenje ponašanja korisnika u stvarnom vremenu i statistika zauzetosti propusnosti mogu se ostvariti bez dodatnih ulaganja u hardver.

2. Privremeno rješavanje problema i kratkoročno testiranje aplikacija

Kada se u mreži pojave privremeni i povremeni kvarovi ili kada je potrebno provesti testiranje prometa na novopostavljenoj aplikaciji (kao što je interni OA sustav i sustav za video konferencije), SPAN se može koristiti za brzu izgradnju okruženja za prikupljanje podataka. Na primjer, ako odjel prijavi česta zamrzavanja u video konferencijama, osoblje za rad i održavanje može privremeno konfigurirati SPAN da zrcali promet porta na kojem se nalazi poslužitelj za video konferencije na port za nadzor. Analizom kašnjenja podatkovnih paketa, stope gubitka paketa i zauzetosti propusnosti može se utvrditi je li kvar uzrokovan nedovoljnom propusnošću mreže ili gubitkom podatkovnih paketa. Nakon što je rješavanje problema dovršeno, SPAN konfiguracija može se onemogućiti bez utjecaja na naknadne mrežne operacije.

3. Statistika prometa i jednostavna revizija u malim i srednjim mrežama

Za male i srednje mreže (kao što su mala poduzeća i kampusni laboratoriji), ako zahtjev za integritetom prikupljanja podataka nije visok i potrebna je samo jednostavna statistika prometa (kao što je iskorištenost propusnosti svakog porta i udio prometa Top N aplikacija) ili osnovna revizija usklađenosti (kao što je bilježenje naziva domena web stranica kojima korisnici pristupaju), SPAN može u potpunosti zadovoljiti potrebe. Njegove niske cijene i jednostavne značajke za implementaciju čine ga isplativim izborom za takve scenarije.

Ograničenja: Nedostaci u integritetu podataka i utjecaju na performanse

1. Rizik od gubitka podatkovnih paketa i nepotpunog snimanja

Replikacija podatkovnih paketa putem SPAN-a ovisi o resursima CPU-a i predmemorije preklopnika. Kada je promet izvornog porta na vrhuncu (npr. premašuje kapacitet predmemorije preklopnika) ili preklopnik istovremeno obrađuje veliki broj zadataka prosljeđivanja, CPU će dati prioritet osiguravanju prosljeđivanja izvornog prometa te smanjiti ili obustaviti replikaciju SPAN prometa, što rezultira gubitkom paketa na nadzornom portu. Osim toga, neki preklopnici imaju ograničenja na omjer zrcaljenja SPAN-a (npr. podržavaju samo replikaciju 80% prometa) ili ne podržavaju potpunu replikaciju velikih podatkovnih paketa (npr. Jumbo Frame). Sve će to dovesti do nepotpuno prikupljenih podataka i utjecati na točnost rezultata naknadne analize.

2. Zauzimanje resursa preklopnika i potencijalni utjecaj na performanse mreže

Iako SPAN ne prekida izravno izvornu vezu, kada je broj izvornih portova velik ili je promet gust, proces replikacije podatkovnih paketa zauzet će CPU resurse i unutarnju propusnost preklopnika. Na primjer, ako se promet više 10G portova zrcali na 10G nadzorni port, kada ukupni promet izvornih portova premaši 10G, ne samo da će nadzorni port patiti od gubitka paketa zbog nedovoljne propusnosti, već se i iskorištenost CPU-a preklopnika može značajno povećati, što utječe na učinkovitost prosljeđivanja podatkovnih paketa drugih portova, pa čak i uzrokuje pad ukupnih performansi preklopnika.

3. Ovisnost funkcije o modelu prekidača i ograničena kompatibilnost

Razina podrške za SPAN funkciju uvelike varira među preklopnicima različitih proizvođača i modela. Na primjer, preklopnici niže klase mogu podržavati samo jedan nadzorni port i ne podržavaju VLAN zrcaljenje ili full-duplex zrcaljenje prometa; SPAN funkcija nekih preklopnika ima ograničenje "jednosmjernog zrcaljenja" (tj. zrcaljenje samo dolaznog ili odlaznog prometa i ne može istovremeno zrcaliti dvosmjerni promet); osim toga, SPAN preklopnika (kao što je zrcaljenje prometa porta preklopnika A na nadzorni port preklopnika B) mora se oslanjati na specifične protokole (kao što su Cisco RSPAN i Huaweijev ERSPAN), koji imaju složenu konfiguraciju i nisku kompatibilnost te ih je teško prilagoditi okruženju mješovite mreže više proizvođača.

Usporedba ključnih razlika i prijedlozi za odabir između TAP-a i SPAN-a

Usporedba temeljnih razlika

Kako bismo jasnije prikazali razlike između njih dvoje, uspoređujemo ih s obzirom na tehničke karakteristike, utjecaj na performanse, cijenu i primjenjive scenarije:

Prijedlozi za odabir: "Točno podudaranje" na temelju zahtjeva scenarija

1. Scenariji u kojima je TAP poželjniji

○Praćenje ključnih poslovnih veza (kao što su ključne sklopke podatkovnog centra i veze izlaznih usmjerivača), što zahtijeva osiguranje integriteta prikupljanja podataka;

○Lokacija uzroka mrežnog kvara (kao što su ponovni prijenos TCP-a i kašnjenje aplikacije), što zahtijeva točnu analizu na temelju paketa podataka punog volumena;

○Industrije s visokim sigurnosnim i usklađenim zahtjevima (financije, vladini poslovi, energetika), koje zahtijevaju ispunjavanje zahtjeva za integritet i neovlašteno mijenjanje revizijskih podataka;

○Mrežna okruženja visoke brzine (10G i više) ili scenariji s velikim podatkovnim paketima, koji zahtijevaju izbjegavanje gubitka paketa u SPAN-u.

2. Scenariji u kojima je SPAN poželjniji

○Male i srednje mreže s ograničenim proračunima ili scenariji koji zahtijevaju samo jednostavnu statistiku prometa (kao što su zauzetost propusnosti i najpopularnije aplikacije);

○Privremeno rješavanje problema ili kratkoročno testiranje aplikacija (kao što je testiranje pokretanja novog sustava), što zahtijeva brzo postavljanje bez dugoročnog zauzimanja resursa;

○Centralizirano praćenje višeizvornih portova/višeVLAN-ova (kao što je praćenje ponašanja korisnika kampusne mreže), što zahtijeva fleksibilnu agregaciju prometa;

○Praćenje neosnovnih veza (kao što su korisnički portovi preklopnika pristupne razine), s niskim zahtjevima za integritetom snimanja podataka.

3. Hibridni scenariji korištenja

U nekim složenim mrežnim okruženjima može se usvojiti i hibridna metoda implementacije "TAP + SPAN". Na primjer, implementirajte TAP u ključne veze podatkovnog centra kako biste osigurali prikupljanje podataka u punom volumenu za rješavanje problema i sigurnosnu reviziju; konfigurirajte SPAN u sklopkama na razini pristupa ili agregacijskoj razini kako biste agregirali raspršeni korisnički promet za analizu ponašanja i statistiku propusnosti. To ne samo da zadovoljava točne potrebe praćenja ključnih veza, već i smanjuje ukupne troškove implementacije.

Dakle, kao dvije ključne tehnologije za prikupljanje mrežnih podataka, TAP i SPAN nemaju apsolutne "prednosti ili nedostatke", već samo "razlike u prilagodbi scenarijima". TAP je usmjeren na "snimanje bez gubitaka" i "stabilnu pouzdanost" te je prikladan za ključne scenarije s visokim zahtjevima za integritet podataka i stabilnost mreže, ali ima visoku cijenu i nisku fleksibilnost implementacije; SPAN ima prednosti "nulte cijene" i "fleksibilnosti i praktičnosti" te je prikladan za scenarije s niskim troškovima, privremene ili neosnovne scenarije, ali nosi rizike gubitka podataka i utjecaja na performanse.

U stvarnom radu i održavanju mreže, mrežni inženjeri moraju odabrati najprikladnije tehničko rješenje na temelju vlastitih poslovnih potreba (npr. radi li se o osnovnoj vezi i je li potrebna točna analiza), proračunskih troškova, veličine mreže i zahtjeva za usklađenost. Istovremeno, s poboljšanjem mrežnih brzina (npr. 25G, 100G i 400G) i nadogradnjom zahtjeva za mrežnu sigurnost, TAP tehnologija se također stalno razvija (npr. podržava inteligentno dijeljenje prometa i agregaciju više portova), a proizvođači preklopnika također kontinuirano optimiziraju SPAN funkciju (npr. poboljšavaju kapacitet predmemorije i podržavaju zrcaljenje bez gubitaka). U budućnosti će ove dvije tehnologije dodatno igrati svoje uloge u svojim područjima i pružati učinkovitiju i točniju podršku podacima za upravljanje mrežom.