Ítarleg greining og samanburður á notkun TAP og SPAN netumferðargagnaöflunaraðferða

Á sviði reksturs og viðhalds netkerfa, bilanaleitar og öryggisgreiningar er nákvæm og skilvirk öflun netgagnastrauma grunnurinn að því að framkvæma ýmis verkefni. Sem tvær almennar netgagnaöflunartækni gegna TAP (Test Access Point) og SPAN (Switched Port Analyzer, einnig almennt kallað port mirroring) mikilvægu hlutverki í mismunandi aðstæðum vegna ólíkra tæknilegra eiginleika þeirra. Djúp skilningur á eiginleikum þeirra, kostum, takmörkunum og viðeigandi aðstæðum er lykilatriði fyrir netverkfræðinga til að móta skynsamlegar gagnasöfnunaráætlanir og bæta skilvirkni netstjórnunar.

TAP: Alhliða og sýnileg „taplaus“ gagnasöfnunarlausn

TAP er vélbúnaðartæki sem starfar á efnislaginu eða gagnatenglalaginu. Kjarnahlutverk þess er að ná 100% afritun og skráningu netgagnastrauma án þess að trufla upprunalega netumferðina. Með því að vera raðtengdur í nettengingu (t.d. milli rofa og netþjóns, eða leiðar og rofa), afritar það alla uppstreymis og niðurstreymis gagnapakka sem fara í gegnum tengið til eftirlitsgáttar með því að nota „sjónræna skiptingu“ eða „umferðarskiptingu“ aðferðir, til síðari vinnslu með greiningartækjum (eins og netgreiningartækjum og innbrotsgreiningarkerfum - IDS).

Kjarnaeiginleikar: Með áherslu á „heiðarleika“ og „stöðugleika“

1. 100% gagnapakkaupptaka án tapsáhættu

Þetta er helsti kosturinn við TAP. Þar sem TAP starfar á efnislaginu og afritar rafmagns- eða ljósleiðarmerki beint í tengingunni, treystir það ekki á örgjörvaauðlindir rofans til að áframsenda eða afrita gagnapakka. Þess vegna, óháð því hvort netumferðin er í hámarki eða inniheldur stóra gagnapakka (eins og Jumbo Frames með stóru MTU gildi), er hægt að fanga alla gagnapakka að fullu án þess að pakkatapi stafi af ófullnægjandi auðlindum rofans. Þessi „taplausa fanga“ eiginleiki gerir það að kjörlausninni fyrir aðstæður sem krefjast nákvæms gagnastuðnings (eins og staðsetningu rótarorsök bilana og grunnlínugreiningu á afköstum netsins).

2. Engin áhrif á upprunalega netafköst

Virkni TAP tryggir að það valdi engum truflunum á upprunalegu nettengingunni. Það breytir hvorki efni, uppruna-/áfangastaði né tímasetningu gagnapakka né tekur upp bandvídd, skyndiminni eða vinnsluauðlindir tengis rofans. Jafnvel þótt TAP tækið sjálft bili (eins og rafmagnsleysi eða skemmdir á vélbúnaði), mun það aðeins leiða til þess að engin gögn berast frá eftirlitstenginu, en samskipti upprunalegu nettengingarinnar haldast eðlileg, sem kemur í veg fyrir hættu á nettruflunum af völdum bilunar í gagnasöfnunartækjum.

3. Stuðningur við tvíhliða tengla og flókin netumhverfi

Nútíma net nota að mestu leyti tvíhliða samskiptaaðferð (þ.e. gögnum er hægt að senda samtímis uppstreymis og niðurstreymis). TAP getur tekið gagnastrauma í báðar áttir í tvíhliða tengingu og sent þá út í gegnum óháðar eftirlitstengi, sem tryggir að greiningartækið geti að fullu endurheimt tvíhliða samskiptaferlið. Að auki styður TAP ýmsa nethraða (eins og 100M, 1G, 10G, 40G og jafnvel 100G) og miðlategundir (snúið par, einhliða ljósleiðari, fjölhliða ljósleiðari) og er hægt að aðlaga að netumhverfi með mismunandi flækjustigi eins og gagnaverum, kjarnanetum og háskólanetum.

Umsóknarsviðsmyndir: Áhersla á „nákvæma greiningu“ og „eftirlit með lykiltenglum“

1. Úrræðaleit netkerfis og staðsetning rótarorsökar

Þegar vandamál eins og pakkatap, tafir, titringur eða töf í forritum koma upp í netkerfinu er nauðsynlegt að endurheimta aðstæður þar sem bilunin átti sér stað í gegnum heilan gagnapakkastraum. Til dæmis, ef kjarnakerfi fyrirtækis (eins og ERP og CRM) lenda í tímabundnum aðgangsrofum, geta rekstrar- og viðhaldsstarfsmenn sett upp TAP milli netþjónsins og kjarnarofsins til að fanga alla gagnapakka fram og til baka, greint hvort vandamál séu eins og TCP endursending, pakkatap, tafir á DNS upplausn eða villur í samskiptareglum á forritalaginu og þannig fundið fljótt rót vandans (eins og vandamál með tengigæði, hæga svörun netþjóns eða villur í stillingum millihugbúnaðar).

2. Grunnlína netframmistöðu og eftirlit með frávikum

Í rekstri og viðhaldi neta er það grundvöllur fyrir eftirliti með frávikum að koma á fót afkastagrunnlínu við eðlilegt rekstrarálag (eins og meðalnýtingu bandvíddar, seinkun á áframsendingu gagnapakka og velgengnihlutfalli TCP-tengingar). TAP getur stöðugt safnað fullum gögnum um lykiltengi (eins og milli kjarnarofa og milli útgangsleiða og internetþjónustuaðila) í langan tíma, sem hjálpar rekstrar- og viðhaldsstarfsfólki að telja ýmsa afkastavísa og koma á fót nákvæmu grunnlínumódeli. Þegar síðari frávik eins og skyndileg umferðaraukning, óeðlilegar tafir eða frávik í samskiptareglum (eins og óeðlilegar ARP-beiðnir og mikill fjöldi ICMP-pakka) koma upp, er hægt að greina frávik fljótt með því að bera þau saman við grunnlínuna og grípa tímanlega til aðgerða.

3. Eftirlitsskoðun og ógnargreining með ströngum öryggiskröfum

Fyrir atvinnugreinar sem gera miklar kröfur um gagnaöryggi og reglufylgni, svo sem fjármál, stjórnvöld og orkumál, er nauðsynlegt að framkvæma heildarendurskoðun á flutningsferli viðkvæmra gagna eða greina nákvæmlega hugsanlegar netógnir (eins og APT-árásir, gagnaleka og útbreiðslu illgjarnra kóða). Taplaus handtaka TAP tryggir heilleika og nákvæmni endurskoðunargagna, sem geta uppfyllt kröfur laga og reglugerða eins og „netöryggislaga“ og „gagnaöryggislaga“ um varðveislu og endurskoðun gagna; á sama tíma veita heildargagnapakkar einnig rík greiningarsýni fyrir ógnargreiningarkerfi (eins og IDS/IPS og sandkassatæki), sem hjálpar til við að greina lágtíðni og faldar ógnir sem eru faldar í venjulegri umferð (eins og illgjarn kóði í dulkóðaðri umferð og árásir sem eru dulbúnar sem venjuleg viðskipti).

Takmarkanir: Málamiðlun milli kostnaðar og sveigjanleika í dreifingu

Helstu takmarkanir TAP liggja í miklum vélbúnaðarkostnaði og litlum sveigjanleika í uppsetningu. Annars vegar er TAP sérstakt vélbúnaðartæki, og sérstaklega eru TAP-tæki sem styðja háhraða (eins og 40G og 100G) eða ljósleiðara mun dýrari en hugbúnaðarbyggða SPAN-virknin; hins vegar þarf TAP að vera tengt í röð í upprunalegu nettengingunni og tengingin þarf að vera rofin tímabundið meðan á uppsetningu stendur (eins og með því að tengja og aftengja netsnúrur eða ljósleiðara). Fyrir sumar kjarnatengingar sem leyfa ekki truflun (eins og fjárhagsfærslutengla sem eru í gangi allan sólarhringinn) er uppsetning erfið og venjulega þarf að bóka TAP-aðgangspunkta fyrirfram á skipulagsstigi netsins.

SPAN: Hagkvæm og sveigjanleg lausn fyrir gagnasöfnun með mörgum tengipunktum

SPAN er hugbúnaðarvirkni sem er innbyggð í rofa (sumar háþróaðar beinar styðja hana einnig). Meginreglan er að stilla rofann innbyrðis til að afrita umferð frá einni eða fleiri upprunaportum (Source Ports) eða uppruna-VLAN til tilnefnds eftirlitsports (Destination Port, einnig þekkt sem spegilport) til móttöku og vinnslu af greiningartækinu. Ólíkt TAP þarf SPAN ekki viðbótar vélbúnað og getur aðeins framkvæmt gagnasöfnun með því að reiða sig á hugbúnaðarstillingu rofans.

Kjarnaeiginleikar: Með áherslu á „hagkvæmni“ og „sveigjanleika“

1. Enginn aukakostnaður við vélbúnað og þægileg uppsetning

Þar sem SPAN er aðgerð sem er innbyggð í vélbúnaðar rofans er engin þörf á að kaupa sérstaka vélbúnaðartæki. Gagnasöfnun er aðeins hægt að virkja fljótt með því að stilla hana í gegnum CLI (Command Line Interface) eða vefstjórnunarviðmót (eins og að tilgreina upprunatengi, eftirlitstengi og speglunarstefnu (innleiðandi, útleiðandi eða tvíátta)). Þessi „núll vélbúnaðarkostnaður“ eiginleiki gerir það að kjörnum valkosti fyrir aðstæður með takmarkað fjármagn eða tímabundnar eftirlitsþarfir (eins og skammtímaprófanir á forritum og tímabundna bilanaleit).

2. Stuðningur við fjölnota tengi / fjöl-VLAN umferðarsöfnun

Mikilvægur kostur við SPAN er að það getur afritað umferð frá mörgum upprunaportum (eins og notendaportum margra aðgangslagsrofa) eða mörgum VLAN-netum á sama eftirlitsport á sama tíma. Til dæmis, ef starfsfólk rekstrar og viðhalds fyrirtækis þarf að fylgjast með umferð starfsmannastöðva í mörgum deildum (samsvarandi mismunandi VLAN-netum) sem fá aðgang að internetinu, er engin þörf á að setja upp aðskilin söfnunartæki við útgang hvers VLAN. Með því að safna umferð þessara VLAN-neta á eina eftirlitsport í gegnum SPAN er hægt að framkvæma miðlæga greiningu, sem bætir verulega sveigjanleika og skilvirkni gagnasöfnunar.

3. Engin þörf á að trufla upprunalega nettenginguna

Ólíkt raðuppsetningu TAP eru bæði upprunatengið og eftirlitstengið á SPAN venjuleg tengi á rofanum. Í stillingarferlinu er engin þörf á að tengja og aftengja netsnúrur upprunalegu tengisins og það hefur engin áhrif á flutning upprunalegu umferðarinnar. Jafnvel þótt nauðsynlegt sé að stilla upprunatengið eða slökkva á SPAN-virkninni síðar, er það aðeins hægt með því að breyta stillingunum í gegnum skipanalínuna, sem er þægilegt í notkun og truflar ekki netþjónustu.

Umsóknarsviðsmyndir: Áhersla á „ódýra eftirlit“ og „miðlæga greiningu“

1. Eftirlit með hegðun notenda í háskólanetum / fyrirtækjanetum

Í háskólanetum eða fyrirtækjanetum þurfa stjórnendur oft að fylgjast með hvort starfsmannatölvur hafi ólöglegan aðgang (eins og að fara inn á ólöglegar vefsíður og hlaða niður ólöglegum hugbúnaði) og hvort fjöldi P2P niðurhala eða myndstrauma sem taka upp bandvídd sé mikill. Með því að safna saman umferð notendaporta aðgangslagsrofa að eftirlitsportinu í gegnum SPAN, ásamt hugbúnaði fyrir umferðargreiningu (eins og Wireshark og NetFlow Analyzer), er hægt að fylgjast með hegðun notenda í rauntíma og tölfræði um bandvíddarnýtingu án þess að þurfa að fjárfesta í frekari vélbúnaði.

2. Tímabundin bilanaleit og skammtímaprófanir á forritum

Þegar tímabundnar og einstaka bilanir koma upp í netkerfinu, eða þegar nauðsynlegt er að framkvæma umferðarprófanir á nýuppsettu forriti (eins og innra OA-kerfi og myndfundakerfi), er hægt að nota SPAN til að byggja fljótt upp gagnasöfnunarumhverfi. Til dæmis, ef deild greinir frá tíðum frystingum í myndfundum, geta rekstrar- og viðhaldsstarfsmenn tímabundið stillt SPAN til að spegla umferð tengisins þar sem myndfundaþjónninn er staðsettur við eftirlitstengið. Með því að greina töf gagnapakka, pakkatapstíðni og bandvíddarnýtingu er hægt að ákvarða hvort bilunin stafar af ófullnægjandi bandvídd netsins eða pakkatapi. Eftir að bilanaleitinni er lokið er hægt að slökkva á SPAN-stillingunni án þess að það hafi áhrif á síðari netaðgerðir.

3. Umferðartölfræði og einföld endurskoðun í litlum og meðalstórum netum

Fyrir lítil og meðalstór net (eins og lítil fyrirtæki og háskólarannsóknarstofur), ef kröfur um áreiðanleika gagnasöfnunar eru ekki miklar og aðeins þarf einfalda umferðartölfræði (eins og bandvíddarnýtingu hverrar tengis og umferðarhlutfall Top N forrita) eða grunn samræmisendurskoðun (eins og að skrá lénsheiti vefsíðunnar sem notendur hafa aðgang að) er þörf, getur SPAN uppfyllt þarfirnar að fullu. Lágt verð og auðveld uppsetningarvirkni gerir það að hagkvæmum valkosti fyrir slíkar aðstæður.

Takmarkanir: Gallar í gagnaheilindum og áhrifum á afköst

1. Hætta á gagnapakkatapi og ófullkominni gagnaöflun

Afritun gagnapakka með SPAN er háð örgjörva og skyndiminni rofans. Þegar umferð upprunaportsins er í hámarki (eins og þegar skyndiminni rofans er farið yfir) eða rofinn vinnur úr mörgum áframsendingarverkefnum á sama tíma, mun örgjörvinn forgangsraða því að tryggja áframsendingu upprunalegu umferðarinnar og draga úr eða stöðva afritun SPAN-umferðar, sem leiðir til pakkataps á eftirlitsportinu. Að auki hafa sumir rofar takmarkanir á speglunarhlutfalli SPAN (eins og að styðja aðeins afritun 80% af umferðinni) eða styðja ekki fulla afritun stórra gagnapakka (eins og Jumbo Frames). Allt þetta mun leiða til ófullkominna gagnasöfnunar og hafa áhrif á nákvæmni síðari greiningarniðurstaðna.

2. Að taka upp rofaauðlindir og hugsanleg áhrif á netafköst

Þó að SPAN trufli ekki upprunalegu tenginguna beint, þá mun afritunarferlið fyrir gagnapakka taka upp örgjörvaauðlindir og innri bandbreidd rofans þegar fjöldi upprunaporta er mikill eða umferðin mikil. Til dæmis, ef umferð margra 10G porta er spegluð á 10G eftirlitsport, og heildarumferð upprunaportanna fer yfir 10G, mun ekki aðeins eftirlitsportið þjást af pakkatapi vegna ófullnægjandi bandbreiddar, heldur getur örgjörvanotkun rofans einnig aukist verulega, sem hefur áhrif á skilvirkni gagnapakkaframsendingar annarra porta og jafnvel valdið lækkun á heildarafköstum rofans.

3. Virkni háð rofagerð og takmörkuð samhæfni

Stuðningsstig SPAN-virkninnar er mjög mismunandi eftir framleiðendum og gerðum rofa. Til dæmis gætu ódýrari rofar aðeins stutt eina eftirlitsgátt og ekki VLAN-speglun eða tvíhliða umferðarspeglun; SPAN-virknin í sumum rofum hefur takmörkun á „einstefnuspeglun“ (þ.e. aðeins speglun á inn- eða útleiðandi umferð og getur ekki speglað tvíátta umferð á sama tíma); auk þess þarf SPAN-virkni milli rofa (eins og speglun á tengi rofa A við eftirlitsgátt rofa B) að reiða sig á ákveðnar samskiptareglur (eins og RSPAN frá Cisco og ERSPAN frá Huawei), sem hefur flókna stillingu og litla samhæfni og er erfitt að aðlaga að umhverfi blandaðs netkerfis margra framleiðenda.

Samanburður á kjarnamismun og tillögur að vali á milli TAP og SPAN

Samanburður á kjarnamismun

Til að sýna betur muninn á þessu tvennu berum við þá saman út frá tæknilegum eiginleikum, áhrifum á afköst, kostnaði og viðeigandi aðstæðum:

Tillögur að vali: „Nákvæm samsvörun“ byggð á kröfum atburðarásar

1. Atburðarás þar sem TAP er æskilegri

○Eftirlit með kjarnatengjum rekstrarins (svo sem kjarnarofa gagnavera og útgangsleiðartengla), sem krefst þess að tryggja áreiðanleika gagnaöflunar;

○Staðsetning rót vandans í netkerfinu (eins og endursending TCP og töf í forritum), sem krefst nákvæmrar greiningar byggða á gagnapökkum í fullu magni;

○Atvinnugreinar með miklar kröfur um öryggi og reglufylgni (fjármál, stjórnvöld, orka), þar sem krafist er að uppfylla heiðarleika og að ekki sé átt við endurskoðunargögn;

○Netumhverfi með miklum hraða (10G og hærra) eða aðstæður með stórum gagnapökkum sem krefjast þess að forðast pakkatap í SPAN.

2. Atburðarásir þar sem SPAN er æskilegt

○Lítil og meðalstór net með takmarkaða fjárhagsáætlun, eða aðstæður þar sem aðeins þarf einfalda umferðartölfræði (eins og bandvíddarnýtingu og vinsælustu forritin);

○Tímabundin bilanaleit eða skammtímaprófanir á forritum (eins og prófanir á nýjum kerfum), sem krefjast hraðrar innleiðingar án langtímaupptöku auðlinda;

○Miðlæg eftirlit með fjölnotendatengjum/fjöl-VLAN (eins og eftirlit með hegðun notenda á háskólanetum), sem krefst sveigjanlegrar umferðarsöfnunar;

○Eftirlit með tenglum sem ekki eru kjarnatenglar (eins og notendatengi aðgangslagsrofa), með lágum kröfum um heilleika gagnaöflunar.

3. Blönduð notkunarsviðsmynd

Í sumum flóknum netumhverfi er einnig hægt að nota blönduð uppsetningaraðferð, „TAP + SPAN“. Til dæmis er hægt að setja upp TAP í kjarnatengjum gagnaversins til að tryggja að allt gagnamagni sé safnað fyrir bilanaleit og öryggisendurskoðun; stillið SPAN í aðgangslags- eða samanlagningarlagsrofa til að safna saman dreifðri notendaumferð fyrir hegðunargreiningu og bandbreiddartölfræði. Þetta uppfyllir ekki aðeins nákvæmar eftirlitsþarfir lykiltengja heldur dregur einnig úr heildarkostnaði við uppsetningu.

Sem tvær kjarnatækni fyrir gagnasöfnun netkerfa hafa TAP og SPAN því enga algera „kosti eða galla“ heldur aðeins „mun á aðlögun að atburðarásum“. TAP snýst um „taplausa gagnaöflun“ og „stöðuga áreiðanleika“ og hentar fyrir lykilatburðarásir með miklum kröfum um gagnaheilindi og stöðugleika netsins, en hefur mikinn kostnað og lítinn sveigjanleika í dreifingu; SPAN hefur kosti „núllkostnaðar“ og „sveigjanleika og þæginda“ og hentar fyrir lágkostnaðar, tímabundin eða ekki-kjarna atburðarásir, en hefur áhættu á gagnatapi og áhrifum á afköst.

Í raunverulegum rekstri og viðhaldi neta þurfa netverkfræðingar að velja bestu tæknilegu lausnina út frá eigin viðskiptaþörfum (eins og hvort um kjarnatengingu sé að ræða og hvort nákvæm greining sé nauðsynleg), fjárhagsáætlun, stærð netsins og kröfum um samræmi. Á sama tíma, með bættum nethraða (eins og 25G, 100G og 400G) og uppfærslu á öryggiskröfum netsins, er TAP-tækni einnig stöðugt að þróast (eins og að styðja við snjalla umferðarskiptingu og fjölportasamsetningu), og framleiðendur rofa eru einnig stöðugt að fínstilla SPAN-virknina (eins og að bæta skyndiminni og styðja taplausa speglun). Í framtíðinni munu tæknin tvö gegna frekari hlutverki á sínu sviði og veita skilvirkari og nákvæmari gagnastuðning fyrir netstjórnun.