Hĺbková analýza a porovnanie aplikácií metód zberu dát o sieťovej prevádzke TAP a SPAN

V oblastiach prevádzky a údržby sietí, riešenia problémov a analýzy bezpečnosti je presné a efektívne získavanie sieťových dátových tokov základom pre vykonávanie rôznych úloh. TAP (Test Access Point) a SPAN (Switched Port Analyzer, bežne označovaný aj ako zrkadlenie portov) ako dve hlavné technológie získavania sieťových dát zohrávajú dôležitú úlohu v rôznych scenároch vďaka svojim odlišným technickým vlastnostiam. Hlboké pochopenie ich funkcií, výhod, obmedzení a použiteľných scenárov je pre sieťových inžinierov kľúčové na formulovanie rozumných plánov zberu údajov a zlepšenie efektívnosti správy siete.

TAP: Komplexné a prehľadné riešenie pre „bezstratový“ zber dát

TAP je hardvérové ​​zariadenie pracujúce na fyzickej alebo dátovej vrstve. Jeho hlavnou funkciou je dosiahnuť 100 % replikáciu a zachytávanie sieťových dátových tokov bez zasahovania do pôvodnej sieťovej prevádzky. Sériovým zapojením v sieťovom spojení (napr. medzi prepínačom a serverom alebo smerovačom a prepínačom) replikuje všetky dátové pakety smerom nahor a nadol prechádzajúce cez spojenie do monitorovacieho portu pomocou metód „optického rozdelenia“ alebo „rozdelenia prevádzky“ na následné spracovanie analytickými zariadeniami (ako sú sieťové analyzátory a systémy detekcie narušenia – IDS).

Základné vlastnosti: Zamerané na „integritu“ a „stabilitu“

1. 100 % zachytenie dátových paketov bez rizika straty

Toto je najvýraznejšia výhoda protokolu TAP. Keďže TAP pracuje na fyzickej vrstve a priamo replikuje elektrické alebo optické signály v spojení, nespolieha sa na zdroje CPU prepínača pri preposielaní alebo replikácii dátových paketov. Preto bez ohľadu na to, či je sieťová prevádzka na vrchole alebo obsahuje veľké dátové pakety (ako napríklad Jumbo Frames s veľkou hodnotou MTU), všetky dátové pakety je možné úplne zachytiť bez straty paketov spôsobenej nedostatočným množstvom zdrojov prepínača. Táto funkcia „bezstratového zachytávania“ z neho robí preferované riešenie pre scenáre vyžadujúce presnú dátovú podporu (ako je lokalizácia príčiny poruchy a analýza základnej línie výkonu siete).

2. Žiadny vplyv na pôvodný výkon siete

Pracovný režim TAP zabezpečuje, že nespôsobuje žiadne rušenie pôvodného sieťového prepojenia. Nemodifikuje obsah, zdrojové/cieľové adresy ani načasovanie dátových paketov, ani nezaberá šírku pásma portu, vyrovnávaciu pamäť ani spracovateľské zdroje prepínača. Aj keď samotné zariadenie TAP nefunguje správne (napríklad v dôsledku výpadku napájania alebo poškodenia hardvéru), z monitorovacieho portu nebudú odosielané žiadne údaje, zatiaľ čo komunikácia pôvodného sieťového prepojenia zostane normálna, čím sa predíde riziku prerušenia siete spôsobeného poruchou zariadení na zber údajov.

3. Podpora pre plne duplexné spojenia a komplexné sieťové prostredia

Moderné siete väčšinou využívajú plne duplexný komunikačný režim (t. j. dáta proti prúdu aj po prúde sa môžu prenášať súčasne). TAP dokáže zachytiť dátové toky v oboch smeroch plne duplexného spojenia a prenášať ich cez nezávislé monitorovacie porty, čím zabezpečí, že analytické zariadenie dokáže plne obnoviť obojsmerný komunikačný proces. Okrem toho TAP podporuje rôzne sieťové rýchlosti (napríklad 100M, 1G, 10G, 40G a dokonca 100G) a typy médií (krútená dvojlinka, jednomódové optické vlákno, viacmódové optické vlákno) a možno ho prispôsobiť sieťovým prostrediam rôznej zložitosti, ako sú dátové centrá, chrbticové siete a kampusové siete.

Aplikačné scenáre: Zameranie na „presnú analýzu“ a „monitorovanie kľúčových prepojení“

1. Riešenie problémov so sieťou a lokalizácia príčiny

Keď sa v sieti vyskytnú problémy, ako je strata paketov, oneskorenie, jitter alebo oneskorenie aplikácie, je potrebné obnoviť scenár, v ktorom k chybe došlo, a to prostredníctvom kompletného toku dátových paketov. Napríklad, ak základné obchodné systémy podniku (ako napríklad ERP a CRM) zažívajú občasné časové limity prístupu, prevádzkový a údržbársky personál môže nasadiť TAP medzi serverom a hlavným prepínačom, aby zachytil všetky dátové pakety pri obojsmernej trase, analyzoval, či existujú problémy, ako je opakovaný prenos TCP, strata paketov, oneskorenie rozlíšenia DNS alebo chyby protokolu na aplikačnej vrstve, a tým rýchlo lokalizoval hlavnú príčinu chyby (ako sú problémy s kvalitou pripojenia, pomalá odozva servera alebo chyby konfigurácie middleware).

2. Stanovenie základnej úrovne výkonnosti siete a monitorovanie anomálií

V oblasti prevádzky a údržby siete je základom pre monitorovanie anomálií stanovenie základnej výkonnostnej úrovne pri bežnom zaťažení (ako je priemerné využitie šírky pásma, oneskorenie presmerovania dátových paketov a miera úspešnosti nadviazania TCP pripojenia). TAP dokáže stabilne zachytávať dáta v plnom objeme kľúčových spojení (napríklad medzi hlavnými prepínačmi a medzi výstupnými smerovačmi a poskytovateľmi internetových služieb) počas dlhého obdobia, čo pomáha prevádzkovému a údržbárskemu personálu počítať rôzne ukazovatele výkonu a vytvoriť presný základný model. Keď sa vyskytnú následné anomálie, ako sú náhle nárasty prevádzky, abnormálne oneskorenia alebo anomálie protokolu (ako sú abnormálne požiadavky ARP a veľký počet paketov ICMP), anomálie je možné rýchlo odhaliť porovnaním s východiskovou hodnotou a včas zasiahnuť.

3. Audit súladu a detekcia hrozieb s vysokými bezpečnostnými požiadavkami

Pre odvetvia s vysokými požiadavkami na bezpečnosť údajov a súlad s predpismi, ako sú financie, vládne záležitosti a energetika, je potrebné vykonávať kompletný audit procesu prenosu citlivých údajov alebo presne odhaliť potenciálne sieťové hrozby (ako sú útoky APT, únik údajov a šírenie škodlivého kódu). Funkcia bezstratového zachytávania TAP zaisťuje integritu a presnosť audítorských údajov, ktoré môžu spĺňať požiadavky zákonov a nariadení, ako sú „zákon o bezpečnosti sietí“ a „zákon o bezpečnosti údajov“, na uchovávanie a audit údajov; zároveň dátové pakety s plným objemom poskytujú aj bohaté analytické vzorky pre systémy detekcie hrozieb (ako sú IDS/IPS a sandbox zariadenia), čo pomáha odhaliť nízkofrekvenčné a skryté hrozby skryté v bežnej prevádzke (ako je škodlivý kód v šifrovanej prevádzke a penetračné útoky maskované ako bežné podnikanie).

Obmedzenia: Kompromis medzi nákladmi a flexibilitou nasadenia

Hlavné obmedzenia TAP spočívajú vo vysokých nákladoch na hardvér a nízkej flexibilite nasadenia. Na jednej strane je TAP špecializované hardvérové ​​zariadenie a najmä TAP podporujúce vysoké rýchlosti (ako napríklad 40G a 100G) alebo optické médiá sú oveľa drahšie ako softvérová funkcia SPAN; na druhej strane, TAP musí byť zapojený sériovo v pôvodnom sieťovom spojení a spojenie musí byť počas nasadenia dočasne prerušené (napríklad pripojením a odpojením sieťových káblov alebo optických vlákien). Pre niektoré základné spojenia, ktoré neumožňujú prerušenie (ako napríklad spojenia pre finančné transakcie fungujúce 24 hodín denne, 7 dní v týždni), je nasadenie náročné a prístupové body TAP je zvyčajne potrebné rezervovať vopred počas fázy plánovania siete.

SPAN: Cenovo výhodné a flexibilné riešenie agregácie dát „pre viacero portov“

SPAN je softvérová funkcia zabudovaná do prepínačov (niektoré špičkové routery ju tiež podporujú). Jej princíp spočíva v internej konfigurácii prepínača tak, aby replikoval prevádzku z jedného alebo viacerých zdrojových portov (zdrojové porty) alebo zdrojových VLAN na určený monitorovací port (cieľový port, tiež známy ako zrkadlový port) na príjem a spracovanie analytickým zariadením. Na rozdiel od TAP, SPAN nevyžaduje ďalšie hardvérové ​​zariadenia a dokáže zhromažďovať údaje iba na základe softvérovej konfigurácie prepínača.

Základné vlastnosti: Zamerané na „nákladovú efektívnosť“ a „flexibilitu“

1. Nulové dodatočné náklady na hardvér a pohodlné nasadenie

Keďže SPAN je funkcia zabudovaná vo firmvéri prepínača, nie je potrebné kupovať špecializované hardvérové ​​zariadenia. Zber údajov je možné rýchlo povoliť iba konfiguráciou prostredníctvom rozhrania CLI (rozhranie príkazového riadka) alebo webového rozhrania pre správu (napríklad zadaním zdrojového portu, monitorovacieho portu a smeru zrkadlenia (prichádzajúci, odchádzajúci alebo obojsmerný)). Táto funkcia „nulových nákladov na hardvér“ z nej robí ideálnu voľbu pre scenáre s obmedzeným rozpočtom alebo dočasnými potrebami monitorovania (ako je krátkodobé testovanie aplikácií a dočasné riešenie problémov).

2. Podpora agregácie prevádzky z viacerých zdrojov portov / viacerých VLAN

Hlavnou výhodou siete SPAN je, že dokáže replikovať prevádzku z viacerých zdrojových portov (napríklad používateľských portov viacerých prepínačov prístupovej vrstvy) alebo viacerých sietí VLAN na rovnaký monitorovací port súčasne. Napríklad, ak prevádzka a údržba podniku potrebujú monitorovať prevádzku terminálov zamestnancov vo viacerých oddeleniach (zodpovedajúcich rôznym sieťam VLAN), ktoré pristupujú na internet, nie je potrebné nasadzovať samostatné zberné zariadenia na výstupe z každej siete VLAN. Agregáciou prevádzky týchto sietí VLAN na jeden monitorovací port prostredníctvom siete SPAN je možné realizovať centralizovanú analýzu, čo výrazne zlepšuje flexibilitu a efektivitu zberu údajov.

3. Nie je potrebné prerušiť pôvodné sieťové pripojenie

Na rozdiel od sériového nasadenia TAP sú zdrojový port aj monitorovací port SPAN bežnými portami prepínača. Počas procesu konfigurácie nie je potrebné pripájať a odpájať sieťové káble pôvodného prepojenia a to nemá žiadny vplyv na prenos pôvodnej prevádzky. Aj keď je neskôr potrebné upraviť zdrojový port alebo deaktivovať funkciu SPAN, je to možné iba úpravou konfigurácie prostredníctvom príkazového riadku, čo je pohodlné na používanie a neovplyvňuje sieťové služby.

Aplikačné scenáre: Zameranie na „nízkonákladové monitorovanie“ a „centralizovanú analýzu“

1. Monitorovanie správania používateľov v kampusových sieťach / podnikových sieťach

V kampusových alebo podnikových sieťach musia administrátori často monitorovať, či majú zamestnanecké terminály nelegálny prístup (napríklad prístup na nelegálne webové stránky a sťahovanie pirátskeho softvéru) a či existuje veľký počet P2P sťahovaní alebo video streamov, ktoré zaberajú šírku pásma. Agregáciou prevádzky používateľských portov prepínačov prístupovej vrstvy do monitorovacieho portu prostredníctvom SPAN v kombinácii so softvérom na analýzu prevádzky (ako napríklad Wireshark a NetFlow Analyzer) je možné realizovať monitorovanie správania používateľov v reálnom čase a štatistiky obsadenosti šírky pásma bez dodatočných investícií do hardvéru.

2. Dočasné riešenie problémov a krátkodobé testovanie aplikácií

Keď sa v sieti vyskytnú dočasné a príležitostné poruchy alebo keď je potrebné vykonať testovanie prevádzky v novo nasadenej aplikácii (napríklad v internom systéme OA a systéme videokonferencií), SPAN sa dá použiť na rýchle vybudovanie prostredia zberu údajov. Napríklad, ak oddelenie hlási časté zamrznutia vo videokonferenciách, prevádzkový a údržbársky personál môže dočasne nakonfigurovať SPAN tak, aby zrkadlil prevádzku portu, na ktorom sa nachádza server videokonferencií, na monitorovací port. Analýzou oneskorenia dátových paketov, miery straty paketov a obsadenosti šírky pásma je možné určiť, či je porucha spôsobená nedostatočnou šírkou pásma siete alebo stratou dátových paketov. Po dokončení riešenia problémov je možné konfiguráciu SPAN deaktivovať bez ovplyvnenia následnej prevádzky siete.

3. Štatistika prevádzky a jednoduchý audit v malých a stredných sieťach

V prípade malých a stredne veľkých sietí (ako sú malé podniky a univerzitné laboratóriá), ak nie sú požiadavky na integritu zberu údajov vysoké a sú potrebné iba jednoduché štatistiky prevádzky (ako je využitie šírky pásma každého portu a podiel prevádzky aplikácií Top N) alebo základné audity zhody (ako je zaznamenávanie názvov domén webových stránok, ku ktorým používatelia pristupujú), môže SPAN plne uspokojiť tieto potreby. Jeho nízke náklady a ľahko nasaditeľné funkcie z neho robia nákladovo efektívnu voľbu pre takéto scenáre.

Obmedzenia: Nedostatky v integrite údajov a vplyv na výkon

1. Riziko straty dátových paketov a neúplného zachytenia

Replikácia dátových paketov pomocou SPAN závisí od zdrojov CPU a vyrovnávacej pamäte prepínača. Keď je prevádzka zdrojového portu na vrchole (napríklad prekročí kapacitu vyrovnávacej pamäte prepínača) alebo prepínač spracováva veľký počet úloh presmerovania súčasne, CPU uprednostní zabezpečenie presmerovania pôvodnej prevádzky a zníži alebo pozastaví replikáciu prevádzky SPAN, čo vedie k strate paketov na monitorovacom porte. Okrem toho majú niektoré prepínače obmedzenia pomeru zrkadlenia SPAN (napríklad podporujú replikáciu iba 80 % prevádzky) alebo nepodporujú úplnú replikáciu veľkých dátových paketov (napríklad Jumbo Frame). To všetko vedie k neúplným zhromaždeným údajom a ovplyvňuje presnosť následných výsledkov analýzy.

2. Obsadenie zdrojov prepínačov a potenciálny vplyv na výkon siete

Hoci SPAN priamo neprerušuje pôvodné spojenie, keď je počet zdrojových portov veľký alebo je prevádzka intenzívna, proces replikácie dátových paketov zaberie prostriedky CPU a vnútornú šírku pásma prepínača. Napríklad, ak je prevádzka viacerých 10G portov zrkadlená na monitorovací 10G port a celková prevádzka zdrojových portov prekročí 10G, nielenže monitorovací port bude trpieť stratou paketov v dôsledku nedostatočnej šírky pásma, ale môže sa tiež výrazne zvýšiť využitie CPU prepínača, čo ovplyvní efektivitu presmerovania dátových paketov iných portov a dokonca spôsobí pokles celkového výkonu prepínača.

3. Závislosť funkcie od modelu prepínača a obmedzená kompatibilita

Úroveň podpory funkcie SPAN sa medzi prepínačmi rôznych výrobcov a modelov značne líši. Napríklad, prepínače nižšej triedy môžu podporovať iba jeden monitorovací port a nepodporujú zrkadlenie VLAN alebo zrkadlenie plne duplexnej prevádzky; funkcia SPAN niektorých prepínačov má obmedzenie „jednosmerného zrkadlenia“ (t. j. zrkadlenie iba prichádzajúcej alebo odchádzajúcej prevádzky a nemožnosť zrkadlenia obojsmernej prevádzky súčasne); okrem toho sa medziprepínačová funkcia SPAN (napríklad zrkadlenie prevádzky portu prepínača A na monitorovací port prepínača B) musí spoliehať na špecifické protokoly (ako napríklad RSPAN od spoločnosti Cisco a ERSPAN od spoločnosti Huawei), ktoré majú zložitú konfiguráciu a nízku kompatibilitu a je ťažké ich prispôsobiť prostrediu zmiešaných sietí viacerých výrobcov.

Porovnanie základných rozdielov a návrhy na výber medzi TAP a SPAN

Porovnanie základných rozdielov

Aby sme jasnejšie ukázali rozdiely medzi nimi, porovnávame ich z hľadiska technických charakteristík, vplyvu na výkon, nákladov a použiteľných scenárov:

Návrhy na výber: „Presné zhody“ na základe požiadaviek scenára

1. Scenáre, v ktorých je TAP uprednostňovaný

○Monitorovanie kľúčových obchodných prepojení (ako sú hlavné prepínače dátových centier a prepojenia výstupných smerovačov), ktoré si vyžaduje zabezpečenie integrity zachytávania údajov;

○Lokalizácia príčiny sieťovej chyby (ako napríklad opakovaný prenos TCP a oneskorenie aplikácie), ktorá si vyžaduje presnú analýzu na základe dátových paketov s plným objemom;

○Odvetvia s vysokými požiadavkami na bezpečnosť a dodržiavanie predpisov (financie, vládne záležitosti, energetika), ktoré vyžadujú splnenie požiadaviek na integritu a nezmenenosť audítorských údajov;

○Vysokorýchlostné sieťové prostredia (10G a vyššie) alebo scenáre s veľkými dátovými paketmi, ktoré vyžadujú zabránenie strate paketov v sieti SPAN.

2. Scenáre, v ktorých je SPAN preferovaný

○Malé a stredne veľké siete s obmedzenými rozpočtami alebo scenáre vyžadujúce iba jednoduché štatistiky prevádzky (ako napríklad obsadenosť šírky pásma a najpoužívanejšie aplikácie);

○Dočasné riešenie problémov alebo krátkodobé testovanie aplikácií (napríklad testovanie spustenia nového systému), ktoré si vyžaduje rýchle nasadenie bez dlhodobého zaťaženia zdrojov;

○Centralizované monitorovanie portov s viacerými zdrojmi/sieťami VLAN (napríklad monitorovanie správania používateľov kampusovej siete), ktoré si vyžaduje flexibilnú agregáciu prevádzky;

○Monitorovanie nepodstatných spojení (ako sú napríklad používateľské porty prepínačov prístupovej vrstvy) s nízkymi požiadavkami na integritu zachytávania údajov.

3. Scenáre hybridného použitia

V niektorých zložitých sieťových prostrediach je možné použiť aj hybridnú metódu nasadenia „TAP + SPAN“. Napríklad nasadenie TAP v kľúčových linkách dátového centra zabezpečí zber údajov v plnom rozsahu na riešenie problémov a bezpečnostný audit; konfigurácia SPAN v prepínačoch na prístupovej alebo agregačnej vrstve zabezpečí agregáciu rozptýlenej používateľskej prevádzky na analýzu správania a štatistiky šírky pásma. To nielenže spĺňa presné potreby monitorovania kľúčových liniek, ale tiež znižuje celkové náklady na nasadenie.

Takže TAP a SPAN, ako dve základné technológie pre zber sieťových dát, nemajú žiadne absolútne „výhody ani nevýhody“, ale iba „rozdiely v adaptácii na scenáre“. TAP sa zameriava na „bezstratové zachytávanie“ a „stabilnú spoľahlivosť“ a je vhodná pre kľúčové scenáre s vysokými požiadavkami na integritu dát a stabilitu siete, ale má vysoké náklady a nízku flexibilitu nasadenia; SPAN má výhody „nulových nákladov“ a „flexibility a pohodlia“ a je vhodná pre nízkonákladové, dočasné alebo nepodstatné scenáre, ale so sebou nesie riziká straty dát a vplyvu na výkon.

V reálnej prevádzke a údržbe siete si musia sieťoví inžinieri vybrať najvhodnejšie technické riešenie na základe vlastných obchodných potrieb (napríklad či ide o jadro siete a či je potrebná presná analýza), rozpočtových nákladov, rozsahu siete a požiadaviek na súlad s predpismi. Zároveň sa so zlepšovaním sieťových rýchlostí (napríklad 25G, 100G a 400G) a modernizáciou požiadaviek na sieťovú bezpečnosť neustále vyvíja aj technológia TAP (napríklad podpora inteligentného rozdelenia prevádzky a agregácie viacerých portov) a výrobcovia prepínačov tiež neustále optimalizujú funkciu SPAN (napríklad zlepšenie kapacity vyrovnávacej pamäte a podpora bezstratového zrkadlenia). V budúcnosti budú tieto dve technológie naďalej zohrávať svoju úlohu vo svojich príslušných oblastiach a poskytovať efektívnejšiu a presnejšiu dátovú podporu pre správu siete.