Детаљна анализа и поређење примене метода за аквизицију података о мрежном саобраћају TAP и SPAN

У областима рада и одржавања мреже, решавања проблема и анализе безбедности, прецизно и ефикасно прикупљање мрежних токова података је основа за обављање различитих задатака. Као две главне технологије за прикупљање мрежних података, TAP (Test Access Point) и SPAN (Switched Port Analyzer, такође познат као порт mirroring) играју важну улогу у различитим сценаријима због својих различитих техничких карактеристика. Дубоко разумевање њихових карактеристика, предности, ограничења и применљивих сценарија је кључно за мрежне инжењере како би формулисали разумне планове прикупљања података и побољшали ефикасност управљања мрежом.

TAP: Свеобухватно и видљиво решење за снимање података „без губитака“

TAP је хардверски уређај који ради на физичком или слоју везе података. Његова основна функција је да постигне 100% репликацију и снимање мрежних токова података без ометања оригиналног мрежног саобраћаја. Повезивањем у серију у мрежној вези (нпр. између прекидача и сервера или рутера и прекидача), он реплицира све узводне и низводне пакете података који пролазе кроз везу до порта за праћење користећи методе „оптичког раздвајања“ или „раздвајања саобраћаја“, ради накнадне обраде од стране уређаја за анализу (као што су мрежни анализатори и системи за детекцију упада - IDS).

Основне карактеристике: Усмерено на „интегритет“ и „стабилност“

1. 100% снимање пакета података без ризика од губитка

Ово је најзначајнија предност TAP-а. Пошто TAP ради на физичком слоју и директно реплицира електричне или оптичке сигнале у вези, не ослања се на ресурсе процесора прекидача за прослеђивање или репликацију пакета података. Стога, без обзира на то да ли је мрежни саобраћај на врхунцу или садржи велике пакете података (као што су Jumbo Frame-ови са великом MTU вредношћу), сви пакети података могу бити потпуно снимљени без губитка пакета изазваног недовољним ресурсима прекидача. Ова функција „снимања без губитака“ чини га преферираним решењем за сценарије који захтевају тачну подршку подацима (као што су лоцирање узрока квара и анализа основних перформанси мреже).

2. Нема утицаја на перформансе оригиналне мреже

Режим рада TAP-а осигурава да не изазива никакве сметње оригиналној мрежној вези. Не мења садржај, адресе извора/одредишта или време пакета података, нити заузима пропусни опсег порта прекидача, кеш меморију или ресурсе за обраду. Чак и ако сам TAP уређај дође до квара (као што је нестанак струје или оштећење хардвера), то ће резултирати само недостатком података са порта за праћење, док комуникација оригиналне мрежне везе остаје нормална, избегавајући ризик од прекида мреже изазваног кваром уређаја за прикупљање података.

3. Подршка за Full-Duplex везе и сложена мрежна окружења

Модерне мреже углавном усвајају режим комуникације у пуном дуплексу (тј. узводни и низводни подаци могу се преносити истовремено). TAP може да снима токове података у оба смера пуног дуплекса и да их емитује преко независних портова за праћење, осигуравајући да уређај за анализу може у потпуности да обнови процес двосмерне комуникације. Поред тога, TAP подржава различите брзине мреже (као што су 100M, 1G, 10G, 40G, па чак и 100G) и типове медија (упредена парица, једномодно влакно, вишемодно влакно), и може се прилагодити мрежним окружењима различите сложености као што су центри података, основне мреже окоснице и кампус мреже.

Сценарији примене: Фокусирање на „Тачну анализу“ и „Праћење кључних веза“

1. Решавање проблема са мрежом и локација узрока

Када се у мрежи појаве проблеми попут губитка пакета, кашњења, подрхтавања или кашњења апликације, неопходно је вратити сценарио када се квар догодио кроз комплетан ток пакета података. На пример, ако основни пословни системи предузећа (као што су ERP и CRM) доживљавају повремене временске ограничења приступа, особље за рад и одржавање може да примени TAP између сервера и основног прекидача како би снимило све кружне пакете података, анализирало да ли постоје проблеми као што су поновни пренос TCP-а, губитак пакета, кашњење у DNS резолуцији или грешке протокола на нивоу апликације, и тиме брзо лоцирало узрок квара (као што су проблеми са квалитетом везе, спор одговор сервера или грешке у конфигурацији посредничког софтвера).

2. Успостављање основних перформанси мреже и праћење аномалија

У раду и одржавању мреже, успостављање основне вредности перформанси под нормалним пословним оптерећењем (као што су просечна искоришћеност пропусног опсега, кашњење прослеђивања пакета података и стопа успеха успостављања TCP везе) је основа за праћење аномалија. TAP може стабилно да снима податке пуне запремине кључних веза (као што су између основних прекидача и између излазних рутера и интернет провајдера) током дужег времена, помажући особљу за рад и одржавање да израчуна различите индикаторе перформанси и успостави тачан модел основне вредности. Када се појаве накнадне аномалије као што су изненадни скокови саобраћаја, абнормална кашњења или аномалије протокола (као што су абнормални ARP захтеви и велики број ICMP пакета), аномалије се могу брзо открити поређењем са основном вредношћу и може се благовремено интервенисати.

3. Ревизија усклађености и откривање претњи са високим безбедносним захтевима

За индустрије са високим захтевима за безбедношћу података и усклађеношћу, као што су финансије, владини послови и енергетика, неопходно је спровести потпуну ревизију процеса преноса осетљивих података или прецизно открити потенцијалне мрежне претње (као што су APT напади, цурење података и ширење злонамерног кода). Функција снимања без губитака TAP-а осигурава интегритет и тачност података ревизије, што може да испуни захтеве закона и прописа као што су „Закон о безбедности мреже“ и „Закон о безбедности података“ за чување и ревизију података; истовремено, пакети података пуне запремине такође пружају богате узорке анализе за системе за откривање претњи (као што су IDS/IPS и sandbox уређаји), помажући у откривању нискофреквентних и скривених претњи скривених у нормалном саобраћају (као што је злонамерни код у шифрованом саобраћају и напади пенетрацијом прикривени као нормално пословање).

Ограничења: Компромис између трошкова и флексибилности примене

Главна ограничења TAP-а леже у његовој високој цени хардвера и ниској флексибилности примене. С једне стране, TAP је наменски хардверски уређај, а посебно су TAP-ови који подржавају високе брзине (као што су 40G и 100G) или оптичка влакна много скупљи од софтверски засноване SPAN функције; с друге стране, TAP мора бити повезан серијски у оригиналној мрежној вези, а веза мора бити привремено прекинута током примене (као што је укључивање и искључивање мрежних каблова или оптичких влакана). За неке основне везе које не дозвољавају прекид (као што су везе за финансијске трансакције које раде 24/7), примена је отежана, а TAP приступне тачке обично морају бити резервисане унапред током фазе планирања мреже.

SPAN: Исплативо и флексибилно решење за агрегацију података са више портова

SPAN је софтверска функција уграђена у прекидаче (неки врхунски рутери је такође подржавају). Њен принцип је да се прекидач интерно конфигурише да реплицира саобраћај са једног или више изворних портова (Source Ports) или изворних VLAN мрежа на одређени порт за праћење (Destination Port, такође познат као mirror port) за пријем и обраду од стране уређаја за анализу. За разлику од TAP-а, SPAN не захтева додатне хардверске уређаје и може да оствари прикупљање података само ослањајући се на софтверску конфигурацију прекидача.

Основне карактеристике: Усмерено на „исплативост“ и „флексибилност“

1. Нула додатних трошкова хардвера и практично имплементирање

Пошто је SPAN функција уграђена у фирмвер прекидача, нема потребе за куповином наменских хардверских уређаја. Прикупљање података може се брзо омогућити само конфигурисањем путем CLI (интерфејса командне линије) или веб интерфејса за управљање (као што је одређивање изворног порта, порта за праћење и смера пресликавања (долазни, одлазни или двосмерни)). Ова функција „нултих трошкова хардвера“ чини је идеалним избором за сценарије са ограниченим буџетом или привременим потребама за праћењем (као што су краткорочно тестирање апликација и привремено решавање проблема).

2. Подршка за агрегацију саобраћаја са вишеструких извора портова / вишеструких VLAN мрежа

Главна предност SPAN-а је то што може да реплицира саобраћај са више изворних портова (као што су кориснички портови више прекидача слоја приступа) или више VLAN мрежа на исти порт за праћење у исто време. На пример, ако особље за рад и одржавање предузећа треба да прати саобраћај терминала запослених у више одељења (која одговарају различитим VLAN мрежама) који приступају интернету, нема потребе за распоређивањем одвојених уређаја за прикупљање на излазу сваке VLAN мреже. Агрегацијом саобраћаја ових VLAN мрежа на један порт за праћење путем SPAN-а, може се остварити централизована анализа, што значајно побољшава флексибилност и ефикасност прикупљања података.

3. Нема потребе за прекидом оригиналне мрежне везе

За разлику од серијског повезивања TAP-а, и изворни порт и порт за праћење SPAN-а су обични портови прекидача. Током процеса конфигурације, нема потребе за укључивањем и искључивањем мрежних каблова оригиналне везе, и нема утицаја на пренос оригиналног саобраћаја. Чак и ако је потребно касније подесити изворни порт или онемогућити SPAN функцију, то се може учинити само изменом конфигурације путем командне линије, што је погодно за руковање и не омета мрежне услуге.

Сценарији примене: Фокусирање на „нискобуџетно праћење“ и „централизовану анализу“

1. Праћење понашања корисника у кампус мрежама / пословним мрежама

У кампус мрежама или пословним мрежама, администратори често морају да прате да ли терминали запослених имају илегалан приступ (као што је приступ илегалним веб страницама и преузимање пиратског софтвера) и да ли постоји велики број P2P преузимања или видео стримова који заузимају пропусни опсег. Агрегацијом саобраћаја корисничких портова прекидача слоја приступа на порт за праћење путем SPAN-а, у комбинацији са софтвером за анализу саобраћаја (као што су Wireshark и NetFlow Analyzer), праћење понашања корисника у реалном времену и статистика заузетости пропусног опсега могу се остварити без додатних улагања у хардвер.

2. Привремено решавање проблема и краткорочно тестирање апликација

Када се у мрежи појаве привремени и повремени кварови или када је потребно спровести тестирање саобраћаја на новоинсталираној апликацији (као што је интерни OA систем и систем за видео конференције), SPAN се може користити за брзо изградњу окружења за прикупљање података. На пример, ако одељење пријави честе замрзавања у видео конференцијама, особље за рад и одржавање може привремено конфигурисати SPAN да преслика саобраћај порта на којем се налази сервер за видео конференције на порт за праћење. Анализом кашњења пакета података, стопе губитка пакета и заузетости пропусног опсега, може се утврдити да ли је квар узрокован недовољним пропусним опсегом мреже или губитком пакета података. Након што је решавање проблема завршено, SPAN конфигурација се може онемогућити без утицаја на накнадне мрежне операције.

3. Статистика саобраћаја и једноставна ревизија у малим и средњим мрежама

За мале и средње мреже (као што су мала предузећа и кампусне лабораторије), ако захтев за интегритетом прикупљања података није висок и потребна је само једноставна статистика саобраћаја (као што је искоришћеност пропусног опсега сваког порта и удео саобраћаја Топ Н апликација) или основна ревизија усаглашености (као што је бележење имена домена веб локација којима приступају корисници), SPAN може у потпуности задовољити потребе. Његове ниске цене и једноставне функције за имплементацију чине га исплативим избором за такве сценарије.

Ограничења: Недостаци у интегритету података и утицају на перформансе

1. Ризик од губитка пакета података и непотпуног снимања

Репликација пакета података помоћу SPAN-а ослања се на ресурсе процесора и кеш меморије свитча. Када је саобраћај изворног порта на врхунцу (на пример, прелази капацитет кеш меморије свитча) или свитч обрађује велики број задатака прослеђивања истовремено, процесор ће дати приоритет обезбеђивању прослеђивања оригиналног саобраћаја и смањити или обуставити репликацију SPAN саобраћаја, што доводи до губитка пакета на порту за праћење. Поред тога, неки свитчеви имају ограничења у односу огледала SPAN-а (на пример, подржавају репликацију само 80% саобраћаја) или не подржавају потпуну репликацију великих пакета података (као што су Jumbo Frame-ови). Све ово ће довести до непотпуних прикупљених података и утицати на тачност накнадних резултата анализе.

2. Заузимање ресурса комутатора и потенцијални утицај на перформансе мреже

Иако SPAN не прекида директно оригиналну везу, када је број изворних портова велики или је саобраћај густ, процес репликације пакета података ће заузети ресурсе процесора и унутрашњи пропусни опсег прекидача. На пример, ако се саобраћај више 10G портова пресликава на 10G порт за праћење, када укупан саобраћај изворних портова пређе 10G, не само да ће порт за праћење патити од губитка пакета због недовољног пропусног опсега, већ се искоришћење процесора прекидача може значајно повећати, што утиче на ефикасност прослеђивања пакета података других портова, па чак и узрокује пад укупних перформанси прекидача.

3. Зависност функције од модела прекидача и ограничена компатибилност

Ниво подршке за SPAN функцију значајно варира међу прекидачима различитих произвођача и модела. На пример, прекидачи ниже класе могу подржавати само један порт за праћење и не подржавају VLAN огледало или потпуно дуплексно огледало саобраћаја; SPAN функција неких прекидача има ограничење „једносмерног огледала“ (тј. само огледало долазног или одлазног саобраћаја и не може истовремено да огледало двосмерни саобраћај); поред тога, SPAN између прекидача (као што је огледало саобраћаја порта прекидача А на порт за праћење прекидача Б) мора да се ослања на специфичне протоколе (као што су Cisco RSPAN и Huawei ERSPAN), који имају сложену конфигурацију и ниску компатибилност, и тешко их је прилагодити окружењу мешовитих мрежа више произвођача.

Поређење основних разлика и предлози за избор између TAP и SPAN

Поређење основних разлика

Да бисмо јасније показали разлике између њих двоје, упоређујемо их на основу техничких карактеристика, утицаја на перформансе, трошкова и применљивих сценарија:

Предлози за избор: „Тачно подударање“ на основу захтева сценарија

1. Сценарији у којима је TAP пожељнији

○Праћење основних пословних веза (као што су прекидачи центра података и везе излазних рутера), што захтева обезбеђивање интегритета снимања података;

○Локација узрока квара на мрежи (као што су TCP ретрансмисија и кашњење апликације), што захтева прецизну анализу засновану на пакетима података пуне запремине;

○Индустрије са високим захтевима за безбедност и усклађеност (финансије, владини послови, енергетика), које захтевају испуњавање интегритета и нефалсификовање података ревизије;

○Мрежна окружења високе брзине (10G и више) или сценарији са великим пакетима података, који захтевају избегавање губитка пакета у SPAN-у.

2. Сценарији у којима је SPAN пожељнији

○Мале и средње мреже са ограниченим буџетима или сценарији који захтевају само једноставну статистику саобраћаја (као што су заузетост пропусног опсега и најпопуларније апликације);

○Привремено решавање проблема или краткорочно тестирање апликација (као што је тестирање покретања новог система), што захтева брзо распоређивање без дугорочног заузимања ресурса;

○Централизовано праћење вишеизворних портова/више-VLAN мрежа (као што је праћење понашања корисника кампус мреже), што захтева флексибилну агрегацију саобраћаја;

○Праћење неосновних веза (као што су кориснички портови прекидача слоја приступа), са ниским захтевима за интегритет снимања података.

3. Хибридни сценарији коришћења

У неким сложеним мрежним окружењима, може се усвојити и хибридни метод распоређивања „TAP + SPAN“. На пример, распоредите TAP у основним везама дата центра како бисте осигурали прикупљање података у пуном обиму за решавање проблема и безбедносну ревизију; конфигуришите SPAN у прекидачима слоја приступа или слоја агрегације како бисте агрегирали распршени кориснички саобраћај за анализу понашања и статистику пропусног опсега. Ово не само да задовољава потребе за тачним праћењем кључних веза, већ и смањује укупне трошкове распоређивања.

Дакле, као две основне технологије за прикупљање података из мреже, TAP и SPAN немају апсолутне „предности или мане“, већ само „разлике у прилагођавању сценарија“. TAP је усредсређен на „снимање без губитака“ и „стабилну поузданост“ и погодан је за кључне сценарије са високим захтевима за интегритет података и стабилност мреже, али има високу цену и ниску флексибилност примене; SPAN има предности „нулте цене“ и „флексибилности и практичности“ и погодан је за јефтине, привремене или неосновне сценарије, али носи ризике од губитка података и утицаја на перформансе.

У стварном раду и одржавању мреже, мрежни инжењери морају да одаберу најприкладније техничко решење на основу сопствених пословних потреба (као што је да ли се ради о основној вези и да ли је потребна прецизна анализа), буџетских трошкова, величине мреже и захтева за усклађеност. Истовремено, са побољшањем мрежних брзина (као што су 25G, 100G и 400G) и унапређењем захтева за безбедност мреже, TAP технологија се такође стално развија (као што је подршка за интелигентно дељење саобраћаја и агрегацију више портова), а произвођачи прекидача такође континуирано оптимизују SPAN функцију (као што је побољшање капацитета кеш меморије и подршка за огледало без губитака). У будућности, ове две технологије ће даље играти своје улоге у својим областима и пружати ефикаснију и тачнију подршку подацима за управљање мрежом.