Poglobljena analiza in primerjava uporabe metod za pridobivanje podatkov o omrežnem prometu TAP in SPAN

Na področju delovanja in vzdrževanja omrežij, odpravljanja težav in varnostne analize je natančno in učinkovito pridobivanje omrežnih podatkovnih tokov temelj za izvajanje različnih nalog. TAP (Test Access Point) in SPAN (Switched Port Analyzer, pogosto imenovan tudi zrcaljenje vrat) kot dve glavni tehnologiji za pridobivanje omrežnih podatkov igrata pomembno vlogo v različnih scenarijih zaradi svojih različnih tehničnih značilnosti. Globoko razumevanje njunih lastnosti, prednosti, omejitev in ustreznih scenarijev je ključnega pomena za omrežne inženirje, da oblikujejo razumne načrte zbiranja podatkov in izboljšajo učinkovitost upravljanja omrežja.

TAP: Celovita in vidna rešitev za zajem podatkov »brez izgub«

TAP je strojna naprava, ki deluje na fizični ali podatkovni povezovalni plasti. Njena osnovna funkcija je doseči 100-odstotno replikacijo in zajem omrežnih podatkovnih tokov brez motenj v izvirnem omrežnem prometu. Z zaporedno povezavo v omrežni povezavi (npr. med stikalom in strežnikom ali usmerjevalnikom in stikalom) replicira vse podatkovne pakete navzgor in navzdol, ki prehajajo skozi povezavo do nadzornih vrat z uporabo metod "optičnega ločevanja" ali "ločevanja prometa", za nadaljnjo obdelavo z analitičnimi napravami (kot so omrežni analizatorji in sistemi za zaznavanje vdorov - IDS).

Ključne značilnosti: Osredotočenost na "integriteto" in "stabilnost"

1. 100-odstotno zajemanje podatkovnih paketov brez tveganja izgube

To je najpomembnejša prednost protokola TAP. Ker TAP deluje na fizični plasti in neposredno replicira električne ali optične signale v povezavi, se za posredovanje ali replikacijo podatkovnih paketov ne zanaša na vire procesorja stikala. Zato je mogoče vse podatkovne pakete v celoti zajeti brez izgube paketov zaradi nezadostnih virov stikala, ne glede na to, ali je omrežni promet na vrhuncu ali vsebuje velike podatkovne pakete (kot so jumbo okvirji z veliko vrednostjo MTU). Zaradi te funkcije »zajema brez izgub« je to prednostna rešitev za scenarije, ki zahtevajo natančno podporo podatkov (kot sta lociranje vzroka napake in analiza osnovnega delovanja omrežja).

2. Brez vpliva na delovanje prvotnega omrežja

Način delovanja TAP zagotavlja, da ne povzroča motenj v izvirni omrežni povezavi. Ne spreminja vsebine, izvornih/ciljnih naslovov ali časa podatkovnih paketov niti ne zaseda pasovne širine vrat stikala, predpomnilnika ali procesnih virov. Tudi če naprava TAP sama ne deluje pravilno (na primer zaradi izpada napajanja ali poškodbe strojne opreme), to povzroči le, da iz nadzornih vrat ne bo izhodnih podatkov, medtem ko komunikacija izvirne omrežne povezave ostane normalna, s čimer se prepreči tveganje prekinitve omrežja zaradi okvare naprav za zbiranje podatkov.

3. Podpora za povezave s polnim dupleksom in kompleksna omrežna okolja

Sodobna omrežja večinoma uporabljajo način polnega dupleksa (tj. podatki navzgor in navzdol se lahko prenašajo hkrati). TAP lahko zajame podatkovne tokove v obe smeri polnega dupleksa in jih oddaja prek neodvisnih nadzornih vrat, kar zagotavlja, da lahko naprava za analizo v celoti obnovi dvosmerni komunikacijski proces. Poleg tega TAP podpira različne omrežne hitrosti (kot so 100M, 1G, 10G, 40G in celo 100G) in vrste medijev (zvit par, enomodno optično vlakno, večmodno optično vlakno) ter se lahko prilagodi omrežnim okoljem različne kompleksnosti, kot so podatkovni centri, osrednja hrbtenična omrežja in kampusna omrežja.

Scenariji uporabe: Osredotočenost na "natančno analizo" in "spremljanje ključnih povezav"

1. Odpravljanje težav z omrežjem in lokacija vzroka

Ko se v omrežju pojavijo težave, kot so izguba paketov, zakasnitev, tresenje ali zakasnitev aplikacije, je treba obnoviti scenarij, ko je do napake prišlo, in sicer s celotnim tokom podatkovnih paketov. Če na primer osrednji poslovni sistemi podjetja (kot sta ERP in CRM) občasno izgubljajo čas dostopa, lahko operativno in vzdrževalno osebje med strežnikom in osrednjim stikalom namesti TAP, da zajame vse podatkovne pakete v povratnem toku, analizira, ali obstajajo težave, kot so ponovni prenos TCP, izguba paketov, zakasnitev ločljivosti DNS ali napake protokola na ravni aplikacije, in s tem hitro najde vzrok napake (kot so težave s kakovostjo povezave, počasen odziv strežnika ali napake v konfiguraciji vmesne programske opreme).

2. Vzpostavitev osnovnega stanja delovanja omrežja in spremljanje anomalij

Pri delovanju in vzdrževanju omrežja je določitev osnovne vrednosti delovanja pri normalnih poslovnih obremenitvah (kot so povprečna izkoriščenost pasovne širine, zakasnitev posredovanja podatkovnih paketov in stopnja uspešnosti vzpostavitve TCP povezave) osnova za spremljanje anomalij. TAP lahko stabilno zajema podatke o celotni količini ključnih povezav (kot so med osrednjimi stikali in med izhodnimi usmerjevalniki in ponudniki internetnih storitev) dlje časa, kar pomaga osebju za upravljanje in vzdrževanje pri štetju različnih kazalnikov delovanja in vzpostavitvi natančnega osnovnega modela. Ko se pojavijo nadaljnje anomalije, kot so nenadni porasti prometa, nenormalne zamude ali anomalije protokola (kot so nenormalne zahteve ARP in veliko število paketov ICMP), je mogoče anomalije hitro odkriti s primerjavo z osnovno vrednostjo in pravočasno ukrepati.

3. Revizija skladnosti in odkrivanje groženj z visokimi varnostnimi zahtevami

Za panoge z visokimi zahtevami glede varnosti podatkov in skladnosti s predpisi, kot so finance, vladne zadeve in energetika, je treba izvesti celovito revizijo procesa prenosa občutljivih podatkov ali natančno odkriti morebitne omrežne grožnje (kot so napadi APT, uhajanje podatkov in širjenje zlonamerne kode). Funkcija zajemanja brez izgub TAP zagotavlja celovitost in točnost revizijskih podatkov, kar lahko izpolnjuje zahteve zakonov in predpisov, kot sta "Zakon o varnosti omrežja" in "Zakon o varnosti podatkov", za hrambo in revizijo podatkov; hkrati pa paketi podatkov s polno prostornino zagotavljajo tudi bogate vzorce analize za sisteme za odkrivanje groženj (kot so IDS/IPS in naprave sandbox), kar pomaga odkriti nizkofrekvenčne in skrite grožnje, skrite v običajnem prometu (kot so zlonamerna koda v šifriranem prometu in napadi s penetracijo, prikriti kot običajno poslovanje).

Omejitve: Kompromis med stroški in prilagodljivostjo uvajanja

Glavni omejitvi TAP-a sta visoki stroški strojne opreme in nizka fleksibilnost pri uvajanju. Po eni strani je TAP namensko strojna naprava, zlasti pa so TAP-i, ki podpirajo visoke hitrosti (kot sta 40G in 100G) ali optična vlakna, veliko dražji od programske funkcije SPAN; po drugi strani pa je treba TAP v prvotno omrežno povezavo priključiti zaporedno, povezavo pa je treba med uvajanjem začasno prekiniti (na primer s priklopom in odklopom omrežnih kablov ali optičnih vlaken). Pri nekaterih osrednjih povezavah, ki ne dovoljujejo prekinitve (na primer povezave za finančne transakcije, ki delujejo 24 ur na dan, 7 dni v tednu), je uvajanje težavno, dostopne točke TAP pa je običajno treba rezervirati vnaprej med fazo načrtovanja omrežja.

SPAN: Stroškovno učinkovita in prilagodljiva rešitev za združevanje podatkov z več vrati

SPAN je programska funkcija, vgrajena v stikala (podpirajo jo tudi nekateri vrhunski usmerjevalniki). Njeno načelo je, da stikalo interno konfigurira tako, da replicira promet iz enega ali več izvornih vrat (izvorna vrata) ali izvornih VLAN-ov na določena nadzorna vrata (ciljna vrata, znana tudi kot zrcalna vrata) za sprejem in obdelavo s strani analitične naprave. Za razliko od TAP SPAN ne potrebuje dodatnih strojnih naprav in lahko zbira podatke le s pomočjo programske konfiguracije stikala.

Ključne značilnosti: Osredotočenost na "stroškovno učinkovitost" in "prilagodljivost"

1. Nič dodatnih stroškov strojne opreme in priročna namestitev

Ker je SPAN funkcija, vgrajena v vdelano programsko opremo stikala, ni treba kupiti namenske strojne opreme. Zbiranje podatkov je mogoče hitro omogočiti le s konfiguracijo prek CLI (vmesnik ukazne vrstice) ali spletnega vmesnika za upravljanje (na primer z določitvijo izvornih vrat, vrat za spremljanje in smeri zrcaljenja (dohodno, odhodno ali dvosmerno)). Zaradi te funkcije »ničelnih stroškov strojne opreme« je idealna izbira za scenarije z omejenim proračunom ali začasnimi potrebami po spremljanju (kot so kratkoročno testiranje aplikacij in začasno odpravljanje težav).

2. Podpora za združevanje prometa iz več izvornih vrat / več VLAN

Glavna prednost omrežja SPAN je, da lahko hkrati replicira promet iz več izvornih vrat (kot so uporabniška vrata več stikal dostopne plasti) ali več omrežij VLAN na ista nadzorna vrata. Če mora na primer osebje za upravljanje in vzdrževanje podjetja spremljati promet terminalov zaposlenih v več oddelkih (ki ustrezajo različnim omrežjem VLAN), ki dostopajo do interneta, ni treba namestiti ločenih naprav za zbiranje na izhodu vsakega omrežja VLAN. Z združevanjem prometa teh omrežij VLAN na ena nadzorna vrata prek omrežja SPAN je mogoče doseči centralizirano analizo, kar močno izboljša prilagodljivost in učinkovitost zbiranja podatkov.

3. Ni treba prekiniti prvotne omrežne povezave

Za razliko od serijske uvedbe TAP sta tako izvorna vrata kot nadzorna vrata SPAN običajna vrata stikala. Med postopkom konfiguracije ni treba priključevati in odključevati omrežnih kablov izvorne povezave, kar ne vpliva na prenos izvornega prometa. Tudi če je treba pozneje prilagoditi izvorna vrata ali onemogočiti funkcijo SPAN, je to mogoče storiti le s spreminjanjem konfiguracije prek ukazne vrstice, kar je priročno za uporabo in ne moti omrežnih storitev.

Scenariji uporabe: Osredotočenost na "cenovno ugodno spremljanje" in "centralizirano analizo"

1. Spremljanje vedenja uporabnikov v kampusnih omrežjih / poslovnih omrežjih

V kampusnih ali poslovnih omrežjih morajo skrbniki pogosto spremljati, ali imajo terminali zaposlenih nezakonit dostop (kot je dostop do nezakonitih spletnih mest in prenos piratske programske opreme) in ali veliko število prenosov P2P ali video tokov zaseda pasovno širino. Z združevanjem prometa uporabniških vrat stikal dostopne ravni na nadzorna vrata prek SPAN, v kombinaciji s programsko opremo za analizo prometa (kot sta Wireshark in NetFlow Analyzer), je mogoče doseči spremljanje vedenja uporabnikov v realnem času in statistiko zasedenosti pasovne širine brez dodatnih naložb v strojno opremo.

2. Začasno odpravljanje težav in kratkoročno testiranje aplikacij

Ko se v omrežju pojavijo začasne in občasne napake ali ko je treba izvesti testiranje prometa na novo nameščeni aplikaciji (kot je interni sistem OA in sistem za videokonference), se lahko SPAN uporabi za hitro izgradnjo okolja za zbiranje podatkov. Če na primer oddelek poroča o pogostih zamrznitvah pri videokonferencah, lahko osebje za upravljanje in vzdrževanje začasno konfigurira SPAN tako, da zrcali promet vrat, kjer se nahaja strežnik za videokonference, na nadzorna vrata. Z analizo zakasnitve podatkovnih paketov, stopnje izgube paketov in zasedenosti pasovne širine je mogoče ugotoviti, ali je napako povzročila nezadostna pasovna širina omrežja ali izguba podatkovnih paketov. Po odpravljanju težav je mogoče konfiguracijo SPAN onemogočiti, ne da bi to vplivalo na nadaljnje delovanje omrežja.

3. Statistika prometa in preprosto revidiranje v majhnih in srednje velikih omrežjih

Za mala in srednje velika omrežja (kot so mala podjetja in univerzitetni laboratoriji), če zahteve po integriteti zbiranja podatkov niso visoke in so potrebni le preprosti statistični podatki o prometu (kot je izkoriščenost pasovne širine posameznih vrat in delež prometa aplikacij Top N) ali osnovni pregled skladnosti (kot je beleženje imen domen spletnih mest, do katerih dostopajo uporabniki), lahko SPAN v celoti zadosti potrebam. Zaradi nizkih stroškov in enostavne namestitve je stroškovno učinkovita izbira za takšne scenarije.

Omejitve: Pomanjkljivosti v integriteti podatkov in vpliv na delovanje

1. Tveganje izgube podatkovnih paketov in nepopolnega zajemanja

Replikacija podatkovnih paketov s strani SPAN je odvisna od virov CPE in predpomnilnika stikala. Ko je promet na izvornih vratih na vrhuncu (na primer, ko preseže zmogljivost predpomnilnika stikala) ali ko stikalo hkrati obdeluje veliko število nalog posredovanja, bo CPE dal prednost zagotavljanju posredovanja izvirnega prometa in zmanjšal ali začasno ustavil replikacijo prometa SPAN, kar bo povzročilo izgubo paketov na nadzornih vratih. Poleg tega imajo nekatera stikala omejitve glede razmerja zrcaljenja SPAN (na primer podpirajo le replikacijo 80 % prometa) ali ne podpirajo popolne replikacije velikih podatkovnih paketov (kot so Jumbo okvirji). Vse to bo vodilo do nepopolnih zbranih podatkov in vplivalo na natančnost rezultatov poznejše analize.

2. Zasedba stikalnih virov in morebiten vpliv na delovanje omrežja

Čeprav SPAN neposredno ne prekine izvirne povezave, bo postopek podvajanja podatkovnih paketov pri velikem številu izvornih vrat ali velikem prometu zasedel vire procesorja in notranjo pasovno širino stikala. Če se na primer promet več 10G vrat zrcali na 10G nadzorna vrata in skupni promet izvornih vrat preseže 10G, ne bo le prišlo do izgube paketov na nadzornih vratih zaradi nezadostne pasovne širine, temveč se lahko znatno poveča tudi izkoriščenost procesorja stikala, kar bo vplivalo na učinkovitost posredovanja podatkovnih paketov drugih vrat in celo povzročilo zmanjšanje splošne zmogljivosti stikala.

3. Odvisnost funkcije od modela stikala in omejena združljivost

Raven podpore za funkcijo SPAN se med stikali različnih proizvajalcev in modelov zelo razlikuje. Na primer, stikala nižjega cenovnega razreda lahko podpirajo samo ena nadzorna vrata in ne podpirajo zrcaljenja VLAN ali polnega dupleksnega zrcaljenja prometa; funkcija SPAN nekaterih stikal ima omejitev "enosmernega zrcaljenja" (tj. zrcaljenje samo vhodnega ali odhodnega prometa in ne more hkrati zrcaliti dvosmernega prometa); poleg tega se mora SPAN med stikali (kot je zrcaljenje prometa vrat stikala A na nadzorna vrata stikala B) zanašati na posebne protokole (kot sta Cisco RSPAN in Huaweijev ERSPAN), ki imajo kompleksno konfiguracijo in nizko združljivost ter jih je težko prilagoditi okolju mešanega omrežja več proizvajalcev.

Primerjava ključnih razlik in predlogi za izbiro med TAP in SPAN

Primerjava temeljnih razlik

Da bi jasneje prikazali razlike med obema, jih primerjamo z vidika tehničnih značilnosti, vpliva na zmogljivost, stroškov in ustreznih scenarijev:

Predlogi za izbiro: »Natančno ujemanje« na podlagi zahtev scenarija

1. Scenariji, kjer je TAP prednostna izbira

○Spremljanje ključnih poslovnih povezav (kot so stikala osrednjega podatkovnega centra in povezave izhodnih usmerjevalnikov), ki zahteva zagotavljanje celovitosti zajemanja podatkov;

○Določanje vzroka napake v omrežju (kot sta ponovni prenos TCP in zakasnitev aplikacije), kar zahteva natančno analizo na podlagi podatkovnih paketov celotnega obsega;

○Industrije z visokimi varnostnimi in skladnostnimi zahtevami (finance, vladne zadeve, energetika), ki zahtevajo zagotavljanje integritete in neoviranosti revizijskih podatkov;

○Visokohitrostna omrežna okolja (10G in več) ali scenariji z velikimi podatkovnimi paketi, ki zahtevajo preprečevanje izgube paketov v SPAN.

2. Scenariji, kjer je SPAN prednostna izbira

○Majhna in srednje velika omrežja z omejenimi proračuni ali scenariji, ki zahtevajo le preproste statistične podatke o prometu (kot so zasedenost pasovne širine in najpogostejše aplikacije);

○Začasno odpravljanje težav ali kratkoročno testiranje aplikacij (kot je testiranje zagona novega sistema), ki zahteva hitro uvajanje brez dolgoročne zasedenosti virov;

○Centralizirano spremljanje večizvornih vrat/večVLAN-ov (kot je spremljanje vedenja uporabnikov v kampusnem omrežju), ki zahteva prilagodljivo združevanje prometa;

○Spremljanje neosnovnih povezav (kot so uporabniška vrata stikal dostopne plasti) z nizkimi zahtevami glede integritete zajemanja podatkov.

3. Hibridni scenariji uporabe

V nekaterih kompleksnih omrežnih okoljih se lahko uporabi tudi hibridna metoda uvajanja »TAP + SPAN«. Na primer, uvedite TAP v osrednjih povezavah podatkovnega centra, da zagotovite zajem celotne količine podatkov za odpravljanje težav in varnostni nadzor; konfigurirajte SPAN v stikalih na ravni dostopa ali agregacije, da združite razpršen uporabniški promet za analizo vedenja in statistiko pasovne širine. To ne le zadosti potrebam po natančnem spremljanju ključnih povezav, temveč tudi zmanjša skupne stroške uvajanja.

TAP in SPAN kot dve osrednji tehnologiji za zajem omrežnih podatkov nimata absolutnih "prednosti ali slabosti", temveč le "razlike v prilagajanju scenarijem". TAP se osredotoča na "zajem brez izgub" in "stabilno zanesljivost" ter je primeren za ključne scenarije z visokimi zahtevami glede integritete podatkov in stabilnosti omrežja, vendar ima visoke stroške in nizko fleksibilnost uvajanja; SPAN ima prednosti "ničelnih stroškov" in "fleksibilnosti ter priročnosti" ter je primeren za nizkocenovne, začasne ali neosnovne scenarije, vendar prinaša tveganja izgube podatkov in vpliva na zmogljivost.

Pri dejanskem delovanju in vzdrževanju omrežja morajo omrežni inženirji izbrati najprimernejšo tehnično rešitev glede na lastne poslovne potrebe (na primer, ali gre za osrednjo povezavo in ali je potrebna natančna analiza), proračunske stroške, obseg omrežja in zahteve glede skladnosti. Hkrati se z izboljšanjem omrežnih hitrosti (kot so 25G, 100G in 400G) in nadgradnjo zahtev glede omrežne varnosti nenehno razvija tudi tehnologija TAP (na primer podpora inteligentni delitvi prometa in združevanju več vrat), proizvajalci stikal pa nenehno optimizirajo tudi funkcijo SPAN (na primer izboljšanje zmogljivosti predpomnilnika in podpora zrcaljenju brez izgub). V prihodnosti bosta obe tehnologiji še naprej igrali svojo vlogo na svojih področjih in zagotavljali učinkovitejšo in natančnejšo podatkovno podporo za upravljanje omrežja.