Detaljna analiza i poređenje primjene metoda za akviziciju podataka o mrežnom prometu TAP i SPAN

U oblastima rada i održavanja mreže, rješavanja problema i sigurnosne analize, precizno i ​​efikasno prikupljanje tokova mrežnih podataka je osnova za obavljanje različitih zadataka. Kao dvije glavne tehnologije za prikupljanje mrežnih podataka, TAP (Test Access Point) i SPAN (Switched Port Analyzer, također poznat kao port mirroring) igraju važnu ulogu u različitim scenarijima zbog svojih različitih tehničkih karakteristika. Dubinsko razumijevanje njihovih karakteristika, prednosti, ograničenja i primjenjivih scenarija ključno je za mrežne inženjere kako bi formulirali razumne planove prikupljanja podataka i poboljšali efikasnost upravljanja mrežom.

TAP: Sveobuhvatno i vidljivo rješenje za prikupljanje podataka "bez gubitaka"

TAP je hardverski uređaj koji radi na fizičkom ili podatkovnom sloju. Njegova osnovna funkcija je postizanje 100% replikacije i snimanja mrežnih tokova podataka bez ometanja originalnog mrežnog prometa. Serijskim povezivanjem u mrežnoj vezi (npr. između prekidača i servera ili rutera i prekidača), replicira sve uzvodne i nizvodne pakete podataka koji prolaze kroz vezu do porta za nadzor koristeći metode "optičkog dijeljenja" ili "dijeljenja prometa", za naknadnu obradu od strane uređaja za analizu (kao što su mrežni analizatori i sistemi za detekciju upada - IDS).

Osnovne karakteristike: Fokusirano na "Integritet" i "Stabilnost"

1. 100% snimanje paketa podataka bez rizika od gubitka

Ovo je najistaknutija prednost TAP-a. Budući da TAP radi na fizičkom sloju i direktno replicira električne ili optičke signale u vezi, ne oslanja se na CPU resurse prekidača za prosljeđivanje ili replikaciju paketa podataka. Stoga, bez obzira na to da li je mrežni promet na vrhuncu ili sadrži velike pakete podataka (kao što su Jumbo Frame-ovi s velikom MTU vrijednošću), svi paketi podataka mogu biti potpuno snimljeni bez gubitka paketa uzrokovanog nedovoljnim resursima prekidača. Ova funkcija "snimanja bez gubitaka" čini ga preferiranim rješenjem za scenarije koji zahtijevaju tačnu podršku podacima (kao što su lociranje uzroka kvara i analiza osnovnih performansi mreže).

2. Nema utjecaja na originalne performanse mreže

Način rada TAP-a osigurava da ne uzrokuje nikakve smetnje originalnoj mrežnoj vezi. Ne mijenja sadržaj, izvorne/odredišne ​​adrese ili vrijeme paketa podataka, niti zauzima propusni opseg porta, keš memoriju ili resurse za obradu switch-a. Čak i ako sam TAP uređaj ne radi ispravno (kao što je nestanak struje ili oštećenje hardvera), to će rezultirati samo time da neće biti izlaza podataka iz porta za praćenje, dok komunikacija originalne mrežne veze ostaje normalna, izbjegavajući rizik od prekida mreže uzrokovanog kvarom uređaja za prikupljanje podataka.

3. Podrška za Full-Duplex veze i složena mrežna okruženja

Moderne mreže uglavnom usvajaju full-duplex komunikacijski način rada (tj. uzvodni i nizvodni podaci mogu se prenositi istovremeno). TAP može snimati tokove podataka u oba smjera full-duplex veze i slati ih putem nezavisnih portova za praćenje, osiguravajući da uređaj za analizu može u potpunosti obnoviti dvosmjerni komunikacijski proces. Osim toga, TAP podržava različite mrežne brzine (kao što su 100M, 1G, 10G, 40G, pa čak i 100G) i tipove medija (upredena parica, jednomodno optičko vlakno, višemodno optičko vlakno), te se može prilagoditi mrežnim okruženjima različite složenosti kao što su podatkovni centri, osnovne mreže i kampus mreže.

Scenariji primjene: Fokusiranje na "Tačnu analizu" i "Praćenje ključnih veza"

1. Rješavanje problema s mrežom i lociranje uzroka problema

Kada se u mreži pojave problemi poput gubitka paketa, kašnjenja, podrhtavanja ili lag aplikacije, potrebno je vratiti scenario kada se kvar dogodio putem kompletnog toka paketa podataka. Na primjer, ako osnovni poslovni sistemi preduzeća (kao što su ERP i CRM) imaju povremena isteka vremena pristupa, osoblje za rad i održavanje može implementirati TAP između servera i glavnog prekidača kako bi uhvatilo sve kružne pakete podataka, analiziralo da li postoje problemi kao što su ponovni prijenos TCP-a, gubitak paketa, kašnjenje DNS rezolucije ili greške protokola na nivou aplikacije, i time brzo locirati uzrok kvara (kao što su problemi s kvalitetom veze, spor odgovor servera ili greške u konfiguraciji middleware-a).

2. Uspostavljanje osnovnih podataka o performansama mreže i praćenje anomalija

U radu i održavanju mreže, uspostavljanje osnovne linije performansi pod normalnim poslovnim opterećenjima (kao što su prosječna iskorištenost propusnog opsega, kašnjenje prosljeđivanja paketa podataka i stopa uspješnosti uspostavljanja TCP veze) osnova je za praćenje anomalija. TAP može stabilno snimati podatke pune količine ključnih veza (kao što su između glavnih prekidača i između izlaznih rutera i ISP-ova) tokom dužeg vremena, pomažući osoblju za rad i održavanje da izračuna različite pokazatelje performansi i uspostavi tačan osnovni model. Kada se dogode naknadne anomalije poput iznenadnih skokova prometa, abnormalnih kašnjenja ili anomalija protokola (kao što su abnormalni ARP zahtjevi i veliki broj ICMP paketa), anomalije se mogu brzo otkriti poređenjem s osnovnom linijom, te se može pravovremeno intervenirati.

3. Revizija usklađenosti i otkrivanje prijetnji s visokim sigurnosnim zahtjevima

Za industrije s visokim zahtjevima za sigurnost podataka i usklađenost, kao što su finansije, vladini poslovi i energetika, neophodno je provesti potpunu reviziju procesa prijenosa osjetljivih podataka ili precizno otkriti potencijalne mrežne prijetnje (kao što su APT napadi, curenje podataka i širenje zlonamjernog koda). Funkcija snimanja bez gubitaka koju nudi TAP osigurava integritet i tačnost podataka revizije, što može ispuniti zahtjeve zakona i propisa kao što su "Zakon o mrežnoj sigurnosti" i "Zakon o sigurnosti podataka" za zadržavanje i reviziju podataka; istovremeno, paketi podataka punog volumena također pružaju bogate uzorke analize za sisteme za otkrivanje prijetnji (kao što su IDS/IPS i sandbox uređaji), pomažući u otkrivanju niskofrekventnih i skrivenih prijetnji skrivenih u normalnom prometu (kao što je zlonamjerni kod u šifriranom prometu i napadi penetracijom prikriveni kao normalno poslovanje).

Ograničenja: Kompromis između troškova i fleksibilnosti implementacije

Glavna ograničenja TAP-a leže u visokoj cijeni hardvera i niskoj fleksibilnosti implementacije. S jedne strane, TAP je namjenski hardverski uređaj, a posebno su TAP-ovi koji podržavaju visoke brzine (kao što su 40G i 100G) ili optička vlakna mnogo skuplji od softverski zasnovane SPAN funkcije; s druge strane, TAP se mora serijski spojiti u originalnoj mrežnoj vezi, a veza se mora privremeno prekidati tokom implementacije (kao što je uključivanje i isključivanje mrežnih kablova ili optičkih vlakana). Za neke osnovne veze koje ne dozvoljavaju prekid (kao što su veze za finansijske transakcije koje rade 24/7), implementacija je otežana, a pristupne tačke TAP-a obično je potrebno rezervirati unaprijed tokom faze planiranja mreže.

SPAN: Isplativo i fleksibilno rješenje za agregaciju podataka "s više portova"

SPAN je softverska funkcija ugrađena u prekidače (neki vrhunski ruteri je također podržavaju). Njen princip je interno konfigurisanje prekidača za replikaciju prometa s jednog ili više izvornih portova (Izvorni portovi) ili izvornih VLAN-ova na određeni port za praćenje (Odredišni port, također poznat kao mirror port) za prijem i obradu od strane uređaja za analizu. Za razliku od TAP-a, SPAN ne zahtijeva dodatne hardverske uređaje i može realizovati prikupljanje podataka samo oslanjajući se na softversku konfiguraciju prekidača.

Osnovne karakteristike: Fokusirano na "isplativost" i "fleksibilnost"

1. Bez dodatnih troškova hardvera i praktično postavljanje

Budući da je SPAN funkcija ugrađena u firmver prekidača, nema potrebe za kupovinom namjenskih hardverskih uređaja. Prikupljanje podataka može se brzo omogućiti samo konfigurisanjem putem CLI (Command Line Interface) ili web interfejsa za upravljanje (kao što je određivanje izvornog porta, porta za praćenje i smjera zrcaljenja (dolazni, odlazni ili dvosmjerni)). Ova funkcija "nultih troškova hardvera" čini ga idealnim izborom za scenarije sa ograničenim budžetima ili privremenim potrebama za praćenjem (kao što su kratkoročno testiranje aplikacija i privremeno rješavanje problema).

2. Podrška za agregaciju prometa s više izvora portova / više VLAN-ova

Glavna prednost SPAN-a je što može replicirati promet s više izvornih portova (kao što su korisnički portovi više preklopnika na sloju pristupa) ili više VLAN-ova na isti port za praćenje u isto vrijeme. Na primjer, ako osoblje za operacije i održavanje preduzeća treba pratiti promet terminala zaposlenika u više odjela (koji odgovaraju različitim VLAN-ovima) koji pristupaju internetu, nema potrebe za postavljanjem odvojenih uređaja za prikupljanje na izlazu svakog VLAN-a. Agregiranjem prometa ovih VLAN-ova na jedan port za praćenje putem SPAN-a, može se ostvariti centralizirana analiza, što značajno poboljšava fleksibilnost i efikasnost prikupljanja podataka.

3. Nema potrebe za prekidanjem originalne mrežne veze

Za razliku od serijskog postavljanja TAP-a, i izvorni port i port za praćenje SPAN-a su obični portovi prekidača. Tokom procesa konfiguracije, nema potrebe za uključivanjem i isključivanjem mrežnih kablova originalne veze, niti to utiče na prenos originalnog saobraćaja. Čak i ako je kasnije potrebno prilagoditi izvorni port ili onemogućiti SPAN funkciju, to se može učiniti samo modifikacijom konfiguracije putem komandne linije, što je praktično za korištenje i ne ometa mrežne usluge.

Scenariji primjene: Fokusiranje na "Jeftino praćenje" i "Centraliziranu analizu"

1. Praćenje ponašanja korisnika u kampus mrežama / poslovnim mrežama

U kampusnim ili poslovnim mrežama, administratori često moraju pratiti da li terminali zaposlenih imaju ilegalni pristup (kao što je pristup ilegalnim web stranicama i preuzimanje piratskog softvera) i da li postoji veliki broj P2P preuzimanja ili video streamova koji zauzimaju propusni opseg. Agregiranjem prometa korisničkih portova preklopnika na nivou pristupa na port za praćenje putem SPAN-a, u kombinaciji sa softverom za analizu prometa (kao što su Wireshark i NetFlow Analyzer), praćenje ponašanja korisnika u realnom vremenu i statistika zauzetosti propusnog opsega mogu se ostvariti bez dodatnih ulaganja u hardver.

2. Privremeno rješavanje problema i kratkoročno testiranje aplikacije

Kada se u mreži pojave privremeni i povremeni kvarovi ili kada je potrebno provesti testiranje prometa na novopostavljenoj aplikaciji (kao što je interni OA sistem i sistem za video konferencije), SPAN se može koristiti za brzu izgradnju okruženja za prikupljanje podataka. Na primjer, ako odjel prijavi česta zamrzavanja u video konferencijama, osoblje za rad i održavanje može privremeno konfigurirati SPAN da odražava promet porta na kojem se nalazi server za video konferencije na port za praćenje. Analizom kašnjenja paketa podataka, stope gubitka paketa i zauzetosti propusnog opsega, može se utvrditi da li je kvar uzrokovan nedovoljnim propusnim opsegom mreže ili gubitkom paketa podataka. Nakon što je rješavanje problema završeno, SPAN konfiguracija se može onemogućiti bez utjecaja na kasnije mrežne operacije.

3. Statistika prometa i jednostavna revizija u malim i srednjim mrežama

Za male i srednje mreže (kao što su mala preduzeća i univerzitetske laboratorije), ako zahtjev za integritetom prikupljanja podataka nije visok i ako su potrebne samo jednostavne statistike prometa (kao što je iskorištenost propusnog opsega svakog porta i udio prometa Top N aplikacija) ili osnovna revizija usklađenosti (kao što je snimanje naziva domena web stranica kojima korisnici pristupaju), SPAN može u potpunosti zadovoljiti potrebe. Njegove niske cijene i jednostavne za implementaciju funkcije čine ga isplativim izborom za takve scenarije.

Ograničenja: Nedostaci u integritetu podataka i utjecaju na performanse

1. Rizik od gubitka paketa podataka i nepotpunog snimanja

Replikacija podatkovnih paketa putem SPAN-a oslanja se na resurse CPU-a i keš memorije prekidača. Kada je promet izvornog porta na vrhuncu (npr. kada prelazi kapacitet keš memorije prekidača) ili prekidač istovremeno obrađuje veliki broj zadataka prosljeđivanja, CPU će dati prioritet osiguravanju prosljeđivanja originalnog prometa i smanjiti ili obustaviti replikaciju SPAN prometa, što rezultira gubitkom paketa na portu za praćenje. Osim toga, neki prekidači imaju ograničenja na omjer zrcaljenja SPAN-a (npr. podržavaju replikaciju samo 80% prometa) ili ne podržavaju potpunu replikaciju velikih podatkovnih paketa (kao što su Jumbo Frame-ovi). Sve ovo će dovesti do nepotpuno prikupljenih podataka i utjecati na tačnost narednih rezultata analize.

2. Zauzimanje resursa preklopnika i potencijalni utjecaj na performanse mreže

Iako SPAN ne prekida direktno originalnu vezu, kada je broj izvornih portova velik ili je promet gust, proces replikacije paketa podataka će zauzeti CPU resurse i interni propusni opseg prekidača. Na primjer, ako se promet više 10G portova zrcali na 10G port za praćenje, kada ukupni promet izvornih portova premaši 10G, ne samo da će port za praćenje patiti od gubitka paketa zbog nedovoljnog propusnog opsega, već se i iskorištenost CPU-a prekidača može značajno povećati, što će utjecati na efikasnost prosljeđivanja paketa podataka drugih portova, pa čak i uzrokovati pad ukupnih performansi prekidača.

3. Zavisnost funkcije od modela prekidača i ograničena kompatibilnost

Nivo podrške za SPAN funkciju uveliko varira među prekidačima različitih proizvođača i modela. Na primjer, prekidači niže klase mogu podržavati samo jedan port za praćenje i ne podržavaju VLAN zrcaljenje ili full-duplex zrcaljenje prometa; SPAN funkcija nekih prekidača ima ograničenje "jednosmjernog zrcaljenja" (tj. zrcaljenje samo dolaznog ili odlaznog prometa i ne može istovremeno zrcaliti dvosmjerni promet); osim toga, SPAN između prekidača (kao što je zrcaljenje prometa porta prekidača A na port za praćenje prekidača B) mora se oslanjati na specifične protokole (kao što su Cisco RSPAN i Huaweijev ERSPAN), koji imaju složenu konfiguraciju i nisku kompatibilnost, te ih je teško prilagoditi okruženju mješovite mreže više proizvođača.

Poređenje osnovnih razlika i prijedlozi za odabir između TAP-a i SPAN-a

Poređenje osnovnih razlika

Da bismo jasnije prikazali razlike između njih dvoje, upoređujemo ih sa aspekta tehničkih karakteristika, uticaja na performanse, troškova i primjenjivih scenarija:

Prijedlozi za odabir: "Precizno podudaranje" na osnovu zahtjeva scenarija

1. Scenariji u kojima je TAP poželjniji

○Praćenje osnovnih poslovnih veza (kao što su glavne sklopke podatkovnog centra i veze izlaznih rutera), što zahtijeva osiguranje integriteta prikupljanja podataka;

○Lokacija uzroka kvara u mreži (kao što su ponovni prijenos TCP-a i kašnjenje aplikacije), što zahtijeva preciznu analizu zasnovanu na paketima podataka punog volumena;

○Industrije sa visokim sigurnosnim i usklađenim zahtjevima (finansije, vladini poslovi, energetika), koje zahtijevaju ispunjavanje integriteta i neovlaštenog mijenjanja revizorskih podataka;

○Mrežna okruženja visoke brzine (10G i više) ili scenariji s velikim paketima podataka, koji zahtijevaju izbjegavanje gubitka paketa u SPAN-u.

2. Scenariji u kojima je SPAN poželjniji

○Male i srednje mreže s ograničenim budžetima ili scenariji koji zahtijevaju samo jednostavnu statistiku prometa (kao što su zauzetost propusnog opsega i najpopularnije aplikacije);

○Privremeno rješavanje problema ili kratkoročno testiranje aplikacija (kao što je testiranje pokretanja novog sistema), koje zahtijeva brzo raspoređivanje bez dugoročnog zauzimanja resursa;

○Centralizirano praćenje portova s ​​više izvora/više VLAN-ova (kao što je praćenje ponašanja korisnika kampus mreže), što zahtijeva fleksibilnu agregaciju prometa;

○Praćenje neosnovnih veza (kao što su korisnički portovi prekidača na nivou pristupa), sa niskim zahtjevima za integritetom snimljenih podataka.

3. Hibridni scenariji upotrebe

U nekim složenim mrežnim okruženjima, može se usvojiti i hibridna metoda implementacije "TAP + SPAN". Na primjer, implementirajte TAP u osnovnim vezama podatkovnog centra kako biste osigurali prikupljanje podataka u punom obimu za rješavanje problema i sigurnosnu reviziju; konfigurirajte SPAN u prekidačima na sloju pristupa ili sloju agregacije kako biste agregirali raspršeni korisnički promet za analizu ponašanja i statistiku propusnosti. Ovo ne samo da zadovoljava tačne potrebe praćenja ključnih veza, već i smanjuje ukupne troškove implementacije.

Dakle, kao dvije osnovne tehnologije za akviziciju podataka iz mreže, TAP i SPAN nemaju apsolutne "prednosti ili nedostatke", već samo "razlike u prilagođavanju scenarijima". TAP je usmjeren na "snimanje bez gubitaka" i "stabilnu pouzdanost", te je pogodan za ključne scenarije s visokim zahtjevima za integritet podataka i stabilnost mreže, ali ima visoku cijenu i nisku fleksibilnost implementacije; SPAN ima prednosti "nulte cijene" i "fleksibilnosti i praktičnosti", te je pogodan za scenarije s niskim troškovima, privremene ili neosnovne scenarije, ali nosi rizike gubitka podataka i utjecaja na performanse.

U stvarnom radu i održavanju mreže, mrežni inženjeri moraju odabrati najprikladnije tehničko rješenje na osnovu vlastitih poslovnih potreba (kao što je da li se radi o osnovnoj vezi i da li je potrebna tačna analiza), budžetskih troškova, veličine mreže i zahtjeva usklađenosti. Istovremeno, s poboljšanjem mrežnih brzina (kao što su 25G, 100G i 400G) i nadogradnjom zahtjeva za mrežnu sigurnost, TAP tehnologija se također stalno razvija (kao što je podrška za inteligentno dijeljenje prometa i agregaciju više portova), a proizvođači prekidača također kontinuirano optimiziraju SPAN funkciju (kao što je poboljšanje kapaciteta keš memorije i podrška za zrcaljenje bez gubitaka). U budućnosti će ove dvije tehnologije dodatno igrati svoje uloge u svojim odgovarajućim oblastima i pružati efikasniju i tačniju podršku podacima za upravljanje mrežom.