TAP un SPAN tīkla datplūsmas datu ieguves metožu padziļināta analīze un lietojumprogrammu salīdzinājums

Tīkla ekspluatācijas un uzturēšanas, problēmu novēršanas un drošības analīzes jomā precīza un efektīva tīkla datu plūsmu iegūšana ir dažādu uzdevumu veikšanas pamats. Kā divas galvenās tīkla datu iegūšanas tehnoloģijas, TAP (Test Access Point) un SPAN (Switched Port Analyzer, ko parasti dēvē arī par portu spoguļošanu), spēlē svarīgu lomu dažādos scenārijos to atšķirīgo tehnisko īpašību dēļ. Dziļa izpratne par to funkcijām, priekšrocībām, ierobežojumiem un piemērojamajiem scenārijiem ir ļoti svarīga, lai tīkla inženieri varētu formulēt saprātīgus datu vākšanas plānus un uzlabot tīkla pārvaldības efektivitāti.

TAP: visaptverošs un pārskatāms bezzudumu datu ieguves risinājums

TAP ir aparatūras ierīce, kas darbojas fiziskajā jeb datu saites slānī. Tās galvenā funkcija ir panākt 100% tīkla datu plūsmu replikāciju un uztveršanu, netraucējot sākotnējai tīkla datplūsmai. Savienojot to virknē tīkla saitē (piemēram, starp komutatoru un serveri vai maršrutētāju un komutatoru), tā, izmantojot "optiskās sadalīšanas" vai "datplūsmas sadalīšanas" metodes, replicē visas augšupējās un lejupējās datu paketes, kas iet caur saiti, uz uzraudzības portu, lai tās pēc tam apstrādātu analīzes ierīcēs (piemēram, tīkla analizatoros un ielaušanās atklāšanas sistēmās — IDS).

Galvenās iezīmes: centrētas uz "integritāti" un "stabilitāti"

1. 100% datu pakešu uztveršana bez zudumu riska

Šī ir TAP ievērojamākā priekšrocība. Tā kā TAP darbojas fiziskajā slānī un tieši replicē elektriskos vai optiskos signālus savienojumā, tas nepaļaujas uz komutatora centrālā procesora resursiem datu pakešu pārsūtīšanai vai replikācijai. Tādēļ neatkarīgi no tā, vai tīkla trafika ir maksimālā noslodze vai satur liela izmēra datu paketes (piemēram, Jumbo Frame ar lielu MTU vērtību), visas datu paketes var pilnībā uztvert bez pakešu zuduma, ko izraisa nepietiekami komutatora resursi. Šī "bezudumu uztveršanas" funkcija padara to par vēlamo risinājumu scenārijos, kuros nepieciešams precīzs datu atbalsts (piemēram, kļūmes cēloņa noteikšana un tīkla veiktspējas sākotnējā analīze).

2. Nav ietekmes uz sākotnējo tīkla veiktspēju

TAP darba režīms nodrošina, ka tas nerada nekādus traucējumus sākotnējai tīkla saitei. Tas nemaina datu pakešu saturu, avota/mērķa adreses vai laiku, kā arī neaizņem komutatora porta joslas platumu, kešatmiņu vai apstrādes resursus. Pat ja pati TAP ierīce nedarbojas pareizi (piemēram, strāvas padeves pārtraukums vai aparatūras bojājums), tas novedīs tikai pie tā, ka no uzraudzības porta netiks izvadīti dati, kamēr sākotnējās tīkla saites komunikācija paliks normāla, novēršot tīkla pārtraukuma risku, ko izraisa datu vākšanas ierīču kļūme.

3. Atbalsts pilna dupleksa saitēm un sarežģītām tīkla vidēm

Mūsdienu tīkli pārsvarā izmanto pilna dupleksa sakaru režīmu (t. i., augšupējo un lejupējo datu plūsmu var pārraidīt vienlaicīgi). TAP var uztvert datu plūsmas abos pilna dupleksa saites virzienos un izvadīt tās caur neatkarīgiem uzraudzības portiem, nodrošinot, ka analīzes ierīce var pilnībā atjaunot divvirzienu komunikācijas procesu. Turklāt TAP atbalsta dažādus tīkla ātrumus (piemēram, 100 M, 1 G, 10 G, 40 G un pat 100 G) un datu nesēju veidus (vītā pāra, vienmoda šķiedras, daudzmodu šķiedras), un to var pielāgot dažādas sarežģītības tīkla vidēm, piemēram, datu centriem, galvenajiem mugurkaula tīkliem un universitāšu pilsētiņu tīkliem.

Lietojumprogrammu scenāriji: koncentrēšanās uz "precīzu analīzi" un "galveno saišu uzraudzību"

1. Tīkla problēmu novēršana un pamatcēloņa atrašanās vieta

Ja tīklā rodas tādas problēmas kā pakešu zudums, aizkave, trīce vai lietojumprogrammu aizkave, ir jāatjauno scenārijs, kurā kļūme radās, izmantojot visu datu pakešu plūsmu. Piemēram, ja uzņēmuma galvenajās biznesa sistēmās (piemēram, ERP un CRM) rodas periodiski piekļuves taimauti, ekspluatācijas un uzturēšanas personāls var izvietot TAP starp serveri un galveno komutatoru, lai uztvertu visas turp un atpakaļ datu paketes, analizētu, vai pastāv tādas problēmas kā TCP atkārtota pārraide, pakešu zudums, DNS atrisināšanas aizkave vai lietojumprogrammu slāņa protokola kļūdas, un tādējādi ātri atrast kļūmes pamatcēloni (piemēram, saites kvalitātes problēmas, lēna servera atbilde vai starpprogrammatūras konfigurācijas kļūdas).

2. Tīkla veiktspējas bāzes līnijas noteikšana un anomāliju uzraudzība

Tīkla darbībā un uzturēšanā anomāliju uzraudzības pamatā ir veiktspējas bāzes līnijas noteikšana normālas biznesa slodzes apstākļos (piemēram, vidējā joslas platuma izmantošana, datu pakešu pārsūtīšanas aizkave un TCP savienojuma izveides veiksmes rādītājs). TAP var stabili uztvert pilna apjoma datus par galvenajām saitēm (piemēram, starp galvenajiem komutatoriem un starp izejošajiem maršrutētājiem un interneta pakalpojumu sniedzējiem) ilgstoši, palīdzot ekspluatācijas un uzturēšanas personālam aprēķināt dažādus veiktspējas rādītājus un izveidot precīzu bāzes līnijas modeli. Kad rodas sekojošas anomālijas, piemēram, pēkšņi datplūsmas pieaugumi, anomālijas vai protokola anomālijas (piemēram, anomāli ARP pieprasījumi un liels skaits ICMP pakešu), anomālijas var ātri atklāt, salīdzinot ar bāzes līniju, un savlaicīgi iejaukties.

3. Atbilstības audits un draudu noteikšana ar augstām drošības prasībām

Nozarēs ar augstām datu drošības un atbilstības prasībām, piemēram, finanšu, valdības lietu un enerģētikas jomā, ir nepieciešams veikt pilna procesa auditu sensitīvu datu pārraides procesā vai precīzi noteikt potenciālus tīkla draudus (piemēram, APT uzbrukumus, datu noplūdi un ļaunprātīga koda izplatīšanos). TAP bezzudumu uztveršanas funkcija nodrošina audita datu integritāti un precizitāti, kas var atbilst likumu un noteikumu, piemēram, "Tīkla drošības likuma" un "Datu drošības likuma", prasībām attiecībā uz datu saglabāšanu un auditu; vienlaikus pilna apjoma datu paketes nodrošina arī bagātīgus analīzes paraugus draudu noteikšanas sistēmām (piemēram, IDS/IPS un smilškastes ierīcēm), palīdzot atklāt zemas frekvences un slēptus draudus, kas paslēpti parastajā datplūsmā (piemēram, ļaunprātīgu kodu šifrētā datplūsmā un ielaušanās uzbrukumus, kas maskēti kā parasta uzņēmējdarbība).

Ierobežojumi: kompromiss starp izmaksām un izvietošanas elastību

TAP galvenie ierobežojumi ir augstās aparatūras izmaksas un zemā izvietošanas elastība. No vienas puses, TAP ir specializēta aparatūras ierīce, un jo īpaši TAP, kas atbalsta augstus ātrumus (piemēram, 40G un 100G) vai optiskās šķiedras datu nesējus, ir daudz dārgāki nekā uz programmatūru balstītā SPAN funkcija; no otras puses, TAP ir jāsavieno virknē sākotnējā tīkla saitē, un izvietošanas laikā saite ir īslaicīgi jāpārtrauc (piemēram, pievienojot un atvienojot tīkla kabeļus vai optiskās šķiedras). Dažām galvenajām saitēm, kas nepieļauj pārtraukumus (piemēram, finanšu darījumu saitēm, kas darbojas visu diennakti), izvietošana ir sarežģīta, un TAP piekļuves punkti parasti ir jārezervē iepriekš tīkla plānošanas fāzē.

SPAN: Izmaksu ziņā efektīvs un elastīgs vairāku portu datu apkopošanas risinājums

SPAN ir programmatūras funkcija, kas iebūvēta komutatoros (to atbalsta arī daži augstas klases maršrutētāji). Tās princips ir konfigurēt komutatoru iekšēji, lai replicētu datplūsmu no viena vai vairākiem avota portiem (avota porti) vai avota VLAN uz norādītu uzraudzības portu (mērķa portu, kas pazīstams arī kā spoguļports), lai to saņemtu un apstrādātu analīzes ierīce. Atšķirībā no TAP, SPAN neprasa papildu aparatūras ierīces un var realizēt datu vākšanu, tikai paļaujoties uz komutatora programmatūras konfigurāciju.

Galvenās iezīmes: centrētas uz "izmaksu efektivitāti" un "elastību"

1. Nav papildu aparatūras izmaksu un ērta izvietošana

Tā kā SPAN ir funkcija, kas iebūvēta komutatora programmaparatūrā, nav nepieciešams iegādāties atsevišķas aparatūras ierīces. Datu vākšanu var ātri iespējot, tikai konfigurējot, izmantojot CLI (komandrindas saskarni) vai tīmekļa pārvaldības saskarni (piemēram, norādot avota portu, uzraudzības portu un spoguļošanas virzienu (ienākošais, izejošais vai divvirzienu)). Šī "nulles aparatūras izmaksu" funkcija padara to par ideālu izvēli scenārijiem ar ierobežotu budžetu vai īslaicīgām uzraudzības vajadzībām (piemēram, īstermiņa lietojumprogrammu testēšanai un īslaicīgai problēmu novēršanai).

2. Atbalsts vairāku avotu portu/vairāku VLAN datplūsmas apkopošanai

Viena no SPAN galvenajām priekšrocībām ir tā, ka tas var vienlaikus replicēt datplūsmu no vairākiem avota portiem (piemēram, vairāku piekļuves slāņa komutatoru lietotāju portiem) vai vairākiem VLAN uz vienu un to pašu uzraudzības portu. Piemēram, ja uzņēmuma ekspluatācijas un apkopes personālam ir jāuzrauga darbinieku termināļu datplūsma vairākās nodaļās (kas atbilst dažādiem VLAN), kas piekļūst internetam, nav nepieciešams izvietot atsevišķas savākšanas ierīces katra VLAN izejā. Apvienojot šo VLAN datplūsmu vienā uzraudzības portā, izmantojot SPAN, var realizēt centralizētu analīzi, ievērojami uzlabojot datu vākšanas elastību un efektivitāti.

3. Nav nepieciešams pārtraukt sākotnējo tīkla saiti

Atšķirībā no TAP secīgās izvietošanas, gan SPAN avota ports, gan uzraudzības ports ir komutatora parastās porti. Konfigurēšanas procesa laikā nav nepieciešams pievienot un atvienot sākotnējās saites tīkla kabeļus, un tas neietekmē sākotnējās datplūsmas pārraidi. Pat ja vēlāk ir nepieciešams pielāgot avota portu vai atspējot SPAN funkciju, to var izdarīt, tikai modificējot konfigurāciju, izmantojot komandrindu, kas ir ērti lietojams un netraucē tīkla pakalpojumus.

Lietojumprogrammu scenāriji: koncentrēšanās uz "zemu izmaksu uzraudzību" un "centralizētu analīzi"

1. Lietotāju uzvedības uzraudzība universitāšu pilsētiņu tīklos/uzņēmumu tīklos

Universitātes pilsētiņas vai uzņēmumu tīklos administratoriem bieži ir jāuzrauga, vai darbinieku termināļiem ir nelegāla piekļuve (piemēram, piekļuve nelegālām tīmekļa vietnēm un pirātiskas programmatūras lejupielāde) un vai ir liels skaits P2P lejupielāžu vai video straumju, kas aizņem joslas platumu. Apkopojot piekļuves slāņa komutatoru lietotāju portu trafiku uz uzraudzības portu, izmantojot SPAN, apvienojumā ar trafika analīzes programmatūru (piemēram, Wireshark un NetFlow Analyzer), lietotāju uzvedības uzraudzību reāllaikā un joslas platuma aizņemtības statistiku var realizēt bez papildu aparatūras ieguldījumiem.

2. Pagaidu problēmu novēršana un īstermiņa lietojumprogrammu testēšana

Ja tīklā rodas īslaicīgas un neregulāras kļūmes vai ja ir nepieciešams veikt datplūsmas testēšanu jaunizveidotā lietojumprogrammā (piemēram, iekšējā OA sistēmā un videokonferenču sistēmā), SPAN var izmantot, lai ātri izveidotu datu vākšanas vidi. Piemēram, ja nodaļa ziņo par biežām videokonferenču sasalšanām, ekspluatācijas un apkopes personāls var īslaicīgi konfigurēt SPAN, lai tas atspoguļotu videokonferenču servera porta datplūsmu uzraudzības portā. Analizējot datu pakešu aizkavi, pakešu zuduma līmeni un joslas platuma aizņemtību, var noteikt, vai kļūmi izraisa nepietiekama tīkla joslas platums vai datu pakešu zudums. Pēc problēmu novēršanas pabeigšanas SPAN konfigurāciju var atspējot, neietekmējot turpmākās tīkla darbības.

3. Datplūsmas statistika un vienkārša auditēšana mazos un vidējos tīklos

Maziem un vidējiem tīkliem (piemēram, maziem uzņēmumiem un universitāšu laboratorijām), ja datu vākšanas integritātes prasības nav augstas un ir nepieciešama tikai vienkārša datplūsmas statistika (piemēram, katras porta joslas platuma izmantošana un Top N lietojumprogrammu datplūsmas proporcija) vai pamata atbilstības audits (piemēram, lietotāju piekļūto tīmekļa vietņu domēnu nosaukumu reģistrēšana), SPAN var pilnībā apmierināt vajadzības. Tā zemās izmaksas un viegli izvietojamās funkcijas padara to par rentablu izvēli šādos scenārijos.

Ierobežojumi: datu integritātes un veiktspējas ietekmes trūkumi

1. Datu pakešu zuduma un nepilnīgas uztveršanas risks

SPAN datu pakešu replikācija ir atkarīga no komutatora centrālā procesora un kešatmiņas resursiem. Kad avota porta datplūsma ir sasniegusi maksimumu (piemēram, pārsniedz komutatora kešatmiņas ietilpību) vai komutators vienlaikus apstrādā lielu skaitu pārsūtīšanas uzdevumu, centrālais procesors piešķirs prioritāti sākotnējās datplūsmas pārsūtīšanas nodrošināšanai un samazinās vai apturēs SPAN datplūsmas replikāciju, kā rezultātā uzraudzības portā notiks pakešu zudums. Turklāt dažiem komutatoriem ir ierobežojumi attiecībā uz SPAN spoguļošanas koeficientu (piemēram, tiek atbalstīta tikai 80% datplūsmas replikācija) vai tie neatbalsta lielu datu pakešu (piemēram, Jumbo Frame) pilnīgu replikāciju. Tas viss novedīs pie nepilnīgiem apkopotajiem datiem un ietekmēs turpmāko analīzes rezultātu precizitāti.

2. Komutatoru resursu izmantošana un iespējamā ietekme uz tīkla veiktspēju

Lai gan SPAN tieši nepārtrauc sākotnējo saiti, ja avota portu skaits ir liels vai datplūsma ir intensīva, datu pakešu replikācijas process aizņems komutatora centrālā procesora resursus un iekšējo joslas platumu. Piemēram, ja vairāku 10G portu datplūsma tiek spoguļota uz 10G uzraudzības portu, kad avota portu kopējā datplūsma pārsniedz 10G, ne tikai uzraudzības ports cietīs no pakešu zuduma nepietiekamas joslas platuma dēļ, bet arī komutatora centrālā procesora noslodze var ievērojami palielināties, tādējādi ietekmējot citu portu datu pakešu pārsūtīšanas efektivitāti un pat izraisot komutatora kopējās veiktspējas samazināšanos.

3. Funkciju atkarība no slēdža modeļa un ierobežota saderība

SPAN funkcijas atbalsta līmenis dažādu ražotāju un modeļu komutatoriem ievērojami atšķiras. Piemēram, lētākie komutatori var atbalstīt tikai vienu uzraudzības portu un neatbalstīt VLAN spoguļošanu vai pilna dupleksa datplūsmas spoguļošanu; dažu komutatoru SPAN funkcijai ir "vienvirziena spoguļošanas" ierobežojums (t.i., spoguļo tikai ienākošo vai izejošo datplūsmu un nevar vienlaikus spoguļot divvirzienu datplūsmu); turklāt šķērskomutatoru SPAN (piemēram, komutatora A porta datplūsmas spoguļošana uz komutatora B uzraudzības portu) ir jāpaļaujas uz īpašiem protokoliem (piemēram, Cisco RSPAN un Huawei ERSPAN), kuriem ir sarežģīta konfigurācija un zema saderība, un tos ir grūti pielāgot vairāku ražotāju jauktas tīklošanas videi.

TAP un SPAN galveno atšķirību salīdzinājums un izvēles ieteikumi

Galvenās atšķirības salīdzinājums

Lai skaidrāk parādītu atšķirības starp abiem, mēs tos salīdzinām no tehnisko raksturlielumu, veiktspējas ietekmes, izmaksu un piemērojamo scenāriju dimensijām:

Atlases ieteikumi: "Precīza atbilstība", pamatojoties uz scenārija prasībām

1. Scenāriji, kuros priekšroka tiek dota TAP

○Galveno biznesa saišu (piemēram, datu centra galveno komutatoru un izejošo maršrutētāju saišu) uzraudzība, kas prasa nodrošināt datu ieguves integritāti;

○Tīkla kļūmes pamatcēloņa atrašanās vieta (piemēram, TCP atkārtota pārraide un lietojumprogrammas aizkave), kam nepieciešama precīza analīze, kuras pamatā ir pilna apjoma datu paketes;

○Nozares ar augstām drošības un atbilstības prasībām (finanses, valdības lietas, enerģētika), kurās ir nepieciešams nodrošināt audita datu integritāti un to neizmainīšanu;

○Augstas pārraides ātruma tīkla vides (10G un augstākas) vai scenāriji ar lieliem datu paketēm, kuros nepieciešams izvairīties no pakešu zuduma SPAN režīmā.

2. Scenāriji, kuros priekšroka tiek dota SPAN

○Mazi un vidēja lieluma tīkli ar ierobežotu budžetu vai scenāriji, kuros nepieciešama tikai vienkārša datplūsmas statistika (piemēram, joslas platuma aizņemtība un populārākās lietojumprogrammas);

○Pagaidu problēmu novēršana vai īstermiņa lietojumprogrammu testēšana (piemēram, jaunas sistēmas palaišanas testēšana), kas prasa ātru izvietošanu bez ilgstošas ​​resursu aizņemšanas;

○Centralizēta vairāku avotu pieslēgvietu/vairāku VLAN uzraudzība (piemēram, universitātes tīkla lietotāju uzvedības uzraudzība), kam nepieciešama elastīga datplūsmas apkopošana;

○Nepiederīgu saišu (piemēram, piekļuves slāņa komutatoru lietotāju portu) uzraudzība ar zemām datu ieguves integritātes prasībām.

3. Hibrīda lietošanas scenāriji

Dažās sarežģītās tīkla vidēs var izmantot arī hibrīda izvietošanas metodi "TAP + SPAN". Piemēram, izvietojiet TAP datu centra galvenajās saitēs, lai nodrošinātu pilna apjoma datu uztveršanu problēmu novēršanai un drošības auditam; konfigurējiet SPAN piekļuves slāņa vai apkopošanas slāņa slēdžos, lai apkopotu izkliedēto lietotāju datplūsmu uzvedības analīzei un joslas platuma statistikai. Tas ne tikai atbilst galveno saišu precīzas uzraudzības vajadzībām, bet arī samazina kopējās izvietošanas izmaksas.

Tātad, kā divām galvenajām tīkla datu ieguves tehnoloģijām, TAP un SPAN nav absolūtu "priekšrocību vai trūkumu", bet tikai "atšķirības scenāriju pielāgošanā". TAP pamatā ir "bezzudumu uztveršana" un "stabilā uzticamība", un tas ir piemērots galvenajiem scenārijiem ar augstām datu integritātes un tīkla stabilitātes prasībām, taču tam ir augstas izmaksas un zema izvietošanas elastība; SPAN ir tādas priekšrocības kā "nulles izmaksas" un "elastība un ērtības", un tas ir piemērots zemu izmaksu, pagaidu vai nebūtiskiem scenārijiem, taču tam ir datu zuduma un veiktspējas ietekmes risks.

Faktiskajā tīkla ekspluatācijā un uzturēšanā tīkla inženieriem ir jāizvēlas vispiemērotākais tehniskais risinājums, pamatojoties uz savām biznesa vajadzībām (piemēram, vai tā ir galvenā saite un vai nepieciešama precīza analīze), budžeta izmaksām, tīkla mērogu un atbilstības prasībām. Vienlaikus, uzlabojoties tīkla ātrumam (piemēram, 25G, 100G un 400G) un tīkla drošības prasībām, pastāvīgi attīstās arī TAP tehnoloģija (piemēram, atbalstot intelektuālu datplūsmas sadalīšanu un vairāku portu apvienošanu), un arī komutatoru ražotāji nepārtraukti optimizē SPAN funkciju (piemēram, uzlabojot kešatmiņas ietilpību un atbalstot bezzudumu spoguļošanu). Nākotnē abas tehnoloģijas turpinās pildīt savas lomas attiecīgajās jomās un nodrošinās efektīvāku un precīzāku datu atbalstu tīkla pārvaldībai.