Длабинска анализа и споредба на апликациите на методите за собирање податоци за мрежниот сообраќај TAP и SPAN

Во областите на работење и одржување на мрежата, решавање проблеми и анализа на безбедноста, прецизното и ефикасно стекнување на мрежни податочни потоци е основа за извршување на разни задачи. Како две главни технологии за стекнување на мрежни податоци, TAP (Test Access Point) и SPAN (Switched Port Analyzer, исто така познати како Port Mirroring) играат важна улога во различни сценарија поради нивните различни технички карактеристики. Длабокото разбирање на нивните карактеристики, предности, ограничувања и применливи сценарија е клучно за мрежните инженери да формулираат разумни планови за собирање податоци и да ја подобрат ефикасноста на управувањето со мрежата.

TAP: Сеопфатно и видливо решение за собирање податоци „без загуби“

TAP е хардверски уред што работи на физичкиот или слојот за поврзување на податоци. Неговата основна функција е да постигне 100% репликација и снимање на мрежни потоци на податоци без да се меша во оригиналниот мрежен сообраќај. Со тоа што е поврзан сериски во мрежна врска (на пр., помеѓу прекинувач и сервер, или рутер и прекинувач), тој ги реплицира сите пакети со податоци нагоре и надолу што минуваат низ врската до порт за следење користејќи методи на „оптичко разделување“ или „разделување на сообраќајот“, за последователна обработка од страна на уреди за анализа (како што се мрежни анализатори и системи за детекција на упади - IDS).

Основни карактеристики: Центриран на „Интегритет“ и „Стабилност“

1. 100% снимање на пакети со податоци без ризик од загуба

Ова е најзначајната предност на TAP. Бидејќи TAP работи на физичкиот слој и директно реплицира електрични или оптички сигнали во врската, тој не се потпира на ресурсите на процесорот на прекинувачот за пренасочување или репликација на пакети со податоци. Затоа, без оглед на тоа дали мрежниот сообраќај е на врвот или содржи големи пакети со податоци (како што се џамбо рамки со голема MTU вредност), сите пакети со податоци можат целосно да се заробат без губење на пакети предизвикано од недоволни ресурси на прекинувачот. Оваа функција за „заробување без загуби“ го прави претпочитано решение за сценарија што бараат точна поддршка за податоци (како што се локација на основната причина за грешка и анализа на основните перформанси на мрежата).

2. Нема влијание врз перформансите на оригиналната мрежа

Режимот на работа на TAP гарантира дека не предизвикува никакви пречки на оригиналната мрежна врска. Тој ниту ја менува содржината, изворните/одредишните адреси или времето на пакетите со податоци, ниту го зафаќа пропусниот опсег на портата, кешот или ресурсите за обработка на прекинувачот. Дури и ако самиот TAP уред не работи правилно (како што е прекин на електричната енергија или оштетување на хардверот), тоа само ќе резултира со немање излез на податоци од мониторинг портата, додека комуникацијата на оригиналната мрежна врска останува нормална, избегнувајќи го ризикот од прекин на мрежата предизвикан од дефект на уредите за собирање податоци.

3. Поддршка за целосни дуплекс врски и сложени мрежни средини

Современите мрежи најчесто го прифаќаат режимот на комуникација со целосен дуплекс (т.е. податоците од горниот и долниот тек можат да се пренесуваат истовремено). TAP може да ги сними податочните потоци во двата правци на целосно дуплекс врска и да ги испрати преку независни порти за следење, осигурувајќи дека уредот за анализа може целосно да го врати двонасочниот комуникациски процес. Покрај тоа, TAP поддржува различни мрежни брзини (како што се 100M, 1G, 10G, 40G, па дури и 100G) и типови медиуми (извртени парици, едномодни влакна, мултимодни влакна) и може да се прилагоди на мрежни средини со различна сложеност, како што се центри за податоци, основни мрежи и кампус мрежи.

Сценарија на примена: Фокусирање на „точна анализа“ и „мониторинг на клучни врски“

1. Отстранување на проблеми со мрежата и лоцирање на основната причина

Кога во мрежата ќе се појават проблеми како што се губење на пакети, доцнење, треперење или доцнење на апликацијата, потребно е да се врати сценариото кога грешката се случила преку целиот поток на пакети со податоци. На пример, ако основните деловни системи на претпријатието (како што се ERP и CRM) имаат повремени прекини на пристап, персоналот за работа и одржување може да распореди TAP помеѓу серверот и основниот прекинувач за да ги фати сите пакети со податоци во двата правци, да анализира дали има проблеми како што се TCP повторен пренос, губење на пакети, доцнење во резолуцијата на DNS или грешки во протоколот на апликацискиот слој, и со тоа брзо да ја лоцира основната причина за грешката (како што се проблеми со квалитетот на врската, бавен одговор на серверот или грешки во конфигурацијата на middleware).

2. Утврдување на основната линија за перформансите на мрежата и следење на аномалиите

Во работењето и одржувањето на мрежата, воспоставувањето на основна линија за перформанси при нормални деловни оптоварувања (како што се просечно искористување на пропусниот опсег, доцнење при препраќање на пакети со податоци и стапка на успех во воспоставувањето на TCP конекција) е основа за следење на аномалиите. TAP може стабилно да ги собира податоците од целосен обем на клучните врски (како што се помеѓу основните прекинувачи и помеѓу излезните рутери и давателите на интернет услуги) долго време, помагајќи им на персоналот за работа и одржување да ги избројат различните индикатори за перформанси и да воспостават точен основен модел. Кога ќе се појават последователни аномалии како што се ненадејни зголемувања на сообраќајот, абнормални доцнења или аномалии на протоколот (како што се абнормални ARP барања и голем број ICMP пакети), аномалиите можат брзо да се откријат со споредување со основната линија и може да се спроведе навремена интервенција.

3. Ревизија на усогласеност и откривање на закани со високи безбедносни барања

За индустриите со високи барања за безбедност и усогласеност на податоците, како што се финансиите, владините работи и енергетиката, потребно е да се спроведе целосна ревизија на процесот на пренос на чувствителни податоци или прецизно да се детектираат потенцијални мрежни закани (како што се APT напади, истекување на податоци и ширење на злонамерен код). Функцијата за снимање без загуби на TAP обезбедува интегритет и точност на ревизорските податоци, што може да ги исполни барањата на законите и прописите како што се „Законот за безбедност на мрежата“ и „Законот за безбедност на податоците“ за задржување и ревизија на податоците; во исто време, пакетите со податоци со целосен обем, исто така, обезбедуваат богати примероци за анализа за системи за откривање на закани (како што се IDS/IPS и sandbox уреди), помагајќи да се детектираат нискофреквентни и скриени закани скриени во нормалниот сообраќај (како што е злонамерен код во шифриран сообраќај и напади со пенетрација маскирани како нормално работење).

Ограничувања: Компромис помеѓу трошоците и флексибилноста на распоредувањето

Главните ограничувања на TAP лежат во неговата висока цена на хардверот и ниската флексибилност на распоредување. Од една страна, TAP е наменски хардверски уред, а особено, TAP-овите што поддржуваат високи брзини (како што се 40G и 100G) или оптички влакна се многу поскапи од софтверската функција SPAN; од друга страна, TAP треба да биде поврзан сериски во оригиналната мрежна врска, а врската треба привремено да се прекине за време на распоредувањето (како што се приклучување и исклучување на мрежни кабли или оптички влакна). За некои основни врски што не дозволуваат прекин (како што се врски за финансиски трансакции што работат 24/7), распоредувањето е тешко, а пристапните точки на TAP обично треба да се резервираат однапред за време на фазата на планирање на мрежата.

SPAN: Економично и флексибилно решение за агрегација на податоци со повеќе порти

SPAN е софтверска функција вградена во прекинувачите (некои врвни рутери исто така ја поддржуваат). Неговиот принцип е внатрешно да го конфигурира прекинувачот за да го реплицира сообраќајот од еден или повеќе изворни порти (Source Ports) или изворни VLAN-и до назначен порт за следење (Destination Port, познат и како mirror port) за прием и обработка од страна на уредот за анализа. За разлика од TAP, SPAN не бара дополнителни хардверски уреди и може да реализира собирање податоци само потпирајќи се на софтверската конфигурација на прекинувачот.

Основни карактеристики: Фокусиран на „економичност“ и „флексибилност“

1. Нула дополнителни трошоци за хардвер и практично распоредување

Бидејќи SPAN е функција вградена во фирмверот на прекинувачот, нема потреба да се купуваат наменски хардверски уреди. Собирањето податоци може брзо да се овозможи само со конфигурирање преку CLI (интерфејс за командна линија) или интерфејс за веб-управување (како што е специфицирање на изворниот порт, портата за следење и насоката на пресликување (влезна, излезна или двонасочна)). Оваа функција „нулти трошоци за хардвер“ го прави идеален избор за сценарија со ограничени буџети или привремени потреби за следење (како што се краткорочно тестирање на апликации и привремено решавање проблеми).

2. Поддршка за агрегација на сообраќај од повеќе извори / повеќе VLAN

Голема предност на SPAN е тоа што може да реплицира сообраќај од повеќе изворни порти (како што се кориснички порти на повеќе прекинувачи на пристапни слоеви) или повеќе VLAN-ови на истиот порт за следење во исто време. На пример, ако персоналот за работа и одржување на претпријатието треба да го следи сообраќајот на терминалите на вработените во повеќе оддели (што одговараат на различни VLAN-ови) кои пристапуваат до Интернет, нема потреба да се распоредуваат посебни уреди за собирање на излезот од секој VLAN. Со агрегирање на сообраќајот од овие VLAN-ови на еден порт за следење преку SPAN, може да се реализира централизирана анализа, што значително ја подобрува флексибилноста и ефикасноста на собирањето податоци.

3. Нема потреба да се прекинува оригиналната мрежна врска

За разлика од сериското распоредување на TAP, и изворниот порт и мониторинг портот на SPAN се обични порти на прекинувачот. За време на процесот на конфигурација, нема потреба да се приклучуваат и исклучуваат мрежните кабли на оригиналната врска, и нема влијание врз преносот на оригиналниот сообраќај. Дури и ако е потребно подоцна да се прилагоди изворниот порт или да се оневозможи функцијата SPAN, тоа може да се направи само со модифицирање на конфигурацијата преку командната линија, што е практично за работа и нема пречки со мрежните услуги.

Сценарија на примена: Фокусирање на „мониторинг со ниска цена“ и „централизирана анализа“

1. Мониторинг на однесувањето на корисниците во кампус мрежи / претпријатија

Во кампус мрежите или корпоративните мрежи, администраторите често треба да следат дали терминалите на вработените имаат нелегален пристап (како што се пристап до нелегални веб-страници и преземање пиратски софтвер) и дали има голем број P2P преземања или видео потоци што го зафаќаат пропусниот опсег. Со агрегирање на сообраќајот од корисничките порти на прекинувачите на пристапниот слој до портата за следење преку SPAN, во комбинација со софтвер за анализа на сообраќајот (како што се Wireshark и NetFlow Analyzer), следењето во реално време на однесувањето на корисниците и статистиката за зафаќање на пропусниот опсег може да се реализира без дополнителни инвестиции во хардвер.

2. Привремено решавање проблеми и краткорочно тестирање на апликации

Кога се појавуваат привремени и повремени грешки во мрежата или кога е потребно да се спроведе тестирање на сообраќајот на новораспоредена апликација (како што е внатрешен OA систем и систем за видео конференции), SPAN може да се користи за брзо градење на средина за собирање податоци. На пример, ако одделот пријави чести замрзнувања на видео конференциите, персоналот за работа и одржување може привремено да го конфигурира SPAN за да го отсликува сообраќајот од портата каде што се наоѓа серверот за видео конференции на портата за следење. Со анализа на доцнењето на пакетите со податоци, стапката на губење на пакети и зафатеноста на пропусниот опсег, може да се утврди дали грешката е предизвикана од недоволен пропусен опсег на мрежата или губење на пакети со податоци. Откако ќе заврши решавањето на проблемите, конфигурацијата на SPAN може да се оневозможи без да влијае на последователните мрежни операции.

3. Статистика на сообраќајот и едноставна ревизија во мали и средни мрежи

За мали и средни мрежи (како што се мали претпријатија и кампус лаборатории), ако барањето за интегритет на собирањето податоци не е високо, а се потребни само едноставни статистики за сообраќај (како што се искористеност на пропусниот опсег на секоја порта и удел во сообраќајот на апликациите Top N) или основна ревизија на усогласеноста (како што е евидентирање на имињата на домените на веб-страниците до кои пристапиле корисниците), SPAN може целосно да ги задоволи потребите. Неговите ниски трошоци и лесни за распоредување карактеристики го прават економичен избор за вакви сценарија.

Ограничувања: Недостатоци во интегритетот на податоците и влијанието врз перформансите

1. Ризик од губење на пакети со податоци и нецелосно снимање

Репликацијата на пакети со податоци преку SPAN се потпира на ресурсите на процесорот и кешот на прекинувачот. Кога сообраќајот на изворниот порт е на врвот (како што е надминување на капацитетот на кешот на прекинувачот) или прекинувачот обработува голем број задачи за пренасочување истовремено, процесорот ќе даде приоритет на обезбедување на пренасочување на оригиналниот сообраќај и ќе ја намали или суспендира репликацијата на SPAN сообраќајот, што резултира со губење на пакети на портата за следење. Покрај тоа, некои прекинувачи имаат ограничувања на односот на пресликување на SPAN (како што е поддршка на репликација од само 80% од сообраќајот) или не поддржуваат целосна репликација на пакети со податоци со голема големина (како што се Jumbo Frames). Сето ова ќе доведе до нецелосни собрани податоци и ќе влијае на точноста на последователните резултати од анализата.

2. Зафаќање на ресурси на прекинувачот и потенцијално влијание врз перформансите на мрежата

Иако SPAN не ја прекинува директно оригиналната врска, кога бројот на изворни порти е голем или сообраќајот е густ, процесот на репликација на пакети со податоци ќе ги окупира ресурсите на процесорот и внатрешниот пропусен опсег на прекинувачот. На пример, ако сообраќајот од повеќе 10G порти се отсликува на 10G мониторинг порт, кога вкупниот сообраќај на изворните порти надминува 10G, не само што мониторинг портот ќе страда од губење на пакети поради недоволен пропусен опсег, туку и искористеноста на процесорот на прекинувачот може значително да се зголеми, со што ќе влијае на ефикасноста на препраќање на пакети со податоци на другите порти, па дури и ќе предизвика пад на вкупните перформанси на прекинувачот.

3. Зависност на функцијата од моделот на прекинувачот и ограничена компатибилност

Нивото на поддршка за функцијата SPAN варира во голема мера кај прекинувачите од различни производители и модели. На пример, прекинувачите од пониска класа може да поддржуваат само еден порт за следење и да не поддржуваат VLAN пресликување или целосно дуплекс пресликување на сообраќајот; функцијата SPAN на некои прекинувачи има ограничување за „еднонасочно пресликување“ (т.е. само пресликување на влезен или излезен сообраќај и не може да пресликува двонасочен сообраќај во исто време); покрај тоа, SPAN преку вкрстен прекинувач (како што е пресликување на сообраќајот од портата на прекинувачот А до портата за следење на прекинувачот Б) треба да се потпира на специфични протоколи (како што се RSPAN на Cisco и ERSPAN на Huawei), кои имаат сложена конфигурација и ниска компатибилност и тешко се прилагодуваат на околината на мешано мрежно поврзување на повеќе производители.

Споредба на основните разлики и предлози за избор помеѓу TAP и SPAN

Споредба на основните разлики

За појасно да ги покажеме разликите меѓу двата, ги споредуваме според димензиите на техничките карактеристики, влијанието врз перформансите, цената и применливите сценарија:

Предлози за избор: „Точно совпаѓање“ врз основа на барањата на сценариото

1. Сценарија каде што ТАП е претпочитан

○Мониторинг на основните деловни врски (како што се основните прекинувачи на центарот за податоци и врските на излезниот рутер), што бара обезбедување на интегритетот на снимањето на податоците;

○Локација на основната причина за мрежна грешка (како што се TCP реемитување и доцнење на апликацијата), што бара точна анализа врз основа на пакети со податоци со целосен волумен;

○Индустрии со високи барања за безбедност и усогласеност (финансии, владини работи, енергетика), кои бараат исполнување на интегритетот и неменувањето на ревизорските податоци;

○Мрежни средини со висока брзина (10G и повеќе) или сценарија со големи пакети податоци, што бара избегнување на губење на пакети во SPAN.

2. Сценарија каде што SPAN е претпочитан

○Мали и средни мрежи со ограничени буџети или сценарија што бараат само едноставни статистики за сообраќајот (како што се зафатеност на пропусниот опсег и врвни апликации);

○Привремено решавање проблеми или краткорочно тестирање на апликации (како што е тестирање за лансирање на нов систем), кое бара брзо распоредување без долгорочно окупирање на ресурси;

○Централизирано следење на повеќеизворни порти/повеќе VLAN мрежи (како што е следење на однесувањето на корисниците на кампусската мрежа), кое бара флексибилно агрегирање на сообраќајот;

○Мониторинг на неосновните врски (како што се корисничките порти на прекинувачите на пристапниот слој), со ниски барања за интегритет на снимање податоци.

3. Сценарија за хибридна употреба

Во некои сложени мрежни средини, може да се усвои и хибриден метод на распоредување „TAP + SPAN“. На пример, распоредете го TAP во основните врски на центарот за податоци за да се обезбеди собирање на целосен обем на податоци за решавање проблеми и безбедносна ревизија; конфигурирајте го SPAN во прекинувачите на пристапниот или агрегацискиот слој за да го агрегирате расфрланиот кориснички сообраќај за анализа на однесувањето и статистика за пропусниот опсег. Ова не само што ги задоволува потребите за точно следење на клучните врски, туку и ги намалува вкупните трошоци за распоредување.

Значи, како две основни технологии за собирање мрежни податоци, TAP и SPAN немаат апсолутни „предности или недостатоци“, туку само „разлики во адаптацијата на сценарија“. TAP е центриран на „фаќање без загуби“ и „стабилна сигурност“ и е погоден за клучни сценарија со високи барања за интегритет на податоците и стабилност на мрежата, но има висока цена и ниска флексибилност при распоредување; SPAN има предности на „нулта цена“ и „флексибилност и практичност“ и е погоден за сценарија со ниски трошоци, привремени или неосновни, но има ризици од губење на податоци и влијание врз перформансите.

При реалното работење и одржување на мрежата, мрежните инженери треба да го изберат најсоодветното техничко решение врз основа на сопствените деловни потреби (како на пример дали станува збор за основна врска и дали е потребна точна анализа), буџетските трошоци, обемот на мрежата и барањата за усогласеност. Во исто време, со подобрувањето на мрежните брзини (како што се 25G, 100G и 400G) и надградбата на барањата за безбедност на мрежата, технологијата TAP постојано се развива (како што е поддршката за интелигентно разделување на сообраќајот и агрегација на повеќе порти), а производителите на прекинувачи постојано ја оптимизираат функцијата SPAN (како што е подобрувањето на капацитетот на кешот и поддршката за пресликување без загуби). Во иднина, двете технологии дополнително ќе ги играат своите улоги во своите соодветни области и ќе обезбедат поефикасна и поточна поддршка за податоци за управување со мрежата.