ความแตกต่างหลักระหว่างการดักจับแพ็กเก็ตโดยใช้พอร์ต Network TAP และ SPAN

การจำลองพอร์ต(หรือเรียกอีกอย่างว่า SPAN)

เน็ตเวิร์ก แทป(หรือเรียกอีกอย่างว่า Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap เป็นต้น)TAP (Terminal Access Point)อุปกรณ์ TAP (Network Tap) เป็นอุปกรณ์ฮาร์ดแวร์แบบพาสซีฟโดยสมบูรณ์ ซึ่งสามารถดักจับข้อมูลบนเครือข่ายได้โดยไม่ต้องมีการโต้ตอบใดๆ โดยทั่วไปจะใช้ในการตรวจสอบข้อมูลระหว่างสองจุดในเครือข่าย หากเครือข่ายระหว่างสองจุดนี้ประกอบด้วยสายเคเบิลทางกายภาพ อุปกรณ์ TAP อาจเป็นวิธีที่ดีที่สุดในการดักจับข้อมูล

ก่อนที่จะอธิบายความแตกต่างระหว่างสองวิธี (Port Mirror และ Network Tap) สิ่งสำคัญคือต้องเข้าใจวิธีการทำงานของ Ethernet ก่อน ที่ความเร็ว 100 Mbit ขึ้นไป โฮสต์มักจะสื่อสารกันแบบ Full Duplex ซึ่งหมายความว่าโฮสต์หนึ่งสามารถส่ง (Tx) และรับ (Rx) ได้พร้อมกัน นั่นหมายความว่าบนสายเคเบิล 100 Mbit ที่เชื่อมต่อกับโฮสต์หนึ่งตัว ปริมาณการรับส่งข้อมูลเครือข่ายทั้งหมดที่โฮสต์หนึ่งสามารถส่ง/รับ (Tx/Rx) ได้คือ 2 × 100 Mbit = 200 Mbit

การทำ Port mirroring คือการจำลองแพ็กเก็ตแบบแอคทีฟ ซึ่งหมายความว่าอุปกรณ์เครือข่ายมีหน้าที่รับผิดชอบในการคัดลอกแพ็กเก็ตไปยังพอร์ตที่ทำมิเรอร์ไว้

การเก็บข้อมูลปริมาณการใช้งาน: TAP เทียบกับ SPAN
เมื่อตรวจสอบปริมาณการรับส่งข้อมูลเครือข่าย หากคุณไม่ต้องการให้ความช่วยเหลือโดยตรงในขณะที่ผู้ใช้กำลังดำเนินการธุรกรรม คุณมีสองตัวเลือกหลัก ในบทความต่อไปนี้ เราจะให้ภาพรวมของ TAP (Test Access Point) และ SPAN (Switch Port Analyzer) สำหรับการวิเคราะห์เชิงลึก ผู้เชี่ยวชาญด้านการตรวจสอบแพ็กเก็ต Timo'Neill มีบทความหลายบทความที่ lovemytool.com ซึ่งให้รายละเอียดอย่างครบถ้วน แต่ในที่นี้ เราจะใช้แนวทางทั่วไปมากกว่า

สแปน
การทำ Port mirroring เป็นวิธีการตรวจสอบปริมาณการรับส่งข้อมูลเครือข่ายโดยการส่งสำเนาของแต่ละแพ็กเก็ตขาเข้าและ/หรือขาออกจากพอร์ตหนึ่งพอร์ตขึ้นไป (หรือ VLAN) ของสวิตช์ไปยังพอร์ตอื่นที่เชื่อมต่อกับเครื่องวิเคราะห์ปริมาณการรับส่งข้อมูลเครือข่าย Spans มักใช้ในระบบที่เรียบง่ายกว่าเพื่อตรวจสอบหลายไซต์พร้อมกัน จำนวนการส่งข้อมูลเครือข่ายที่สามารถตรวจสอบได้นั้นขึ้นอยู่กับตำแหน่งที่ติดตั้ง SPAN เทียบกับอุปกรณ์ในศูนย์ข้อมูล คุณอาจจะพบสิ่งที่คุณกำลังมองหา แต่ก็ง่ายที่จะพบว่าตัวเองมีข้อมูลมากเกินไป ตัวอย่างเช่น อาจพบสำเนาข้อมูลเดียวกันหลายชุดกระจายอยู่ทั่วทั้ง VLAN ซึ่งทำให้การแก้ไขปัญหา LAN ยากขึ้น และยังส่งผลต่อความเร็วของ CPU สวิตช์หรือส่งผลต่อ Ethernet ผ่านการตรวจจับตำแหน่ง โดยพื้นฐานแล้ว ยิ่งมี Spans มากเท่าไหร่ โอกาสที่จะสูญเสียแพ็กเก็ตก็ยิ่งมากขึ้นเท่านั้น เมื่อเทียบกับ Tap แล้ว Spans สามารถจัดการได้จากระยะไกล ซึ่งหมายความว่าใช้เวลาน้อยลงในการเปลี่ยนแปลงการกำหนดค่า แต่ยังคงจำเป็นต้องมีวิศวกรเครือข่ายอยู่ดี

พอร์ต SPAN ไม่ใช่เทคโนโลยีแบบพาสซีฟอย่างที่บางคนกล่าวอ้าง เพราะมันสามารถส่งผลกระทบต่อปริมาณการรับส่งข้อมูลในเครือข่ายได้หลายด้าน ซึ่งรวมถึง:
- ถึงเวลาเปลี่ยนการโต้ตอบเฟรมแล้ว

- การทิ้งแพ็กเก็ตเนื่องจากการค้นหาข้อมูลมากเกินไป

- แพ็กเก็ตที่เสียหายจะถูกทิ้งโดยไม่แจ้งให้ทราบล่วงหน้า ทำให้การวิเคราะห์เป็นไปได้ยาก
ดังนั้น พอร์ต SPAN จึงเหมาะสมกว่าในสถานการณ์ที่การสูญหายของแพ็กเก็ตไม่ส่งผลกระทบต่อการวิเคราะห์ หรือในกรณีที่คำนึงถึงต้นทุน

แตะ
ในทางตรงกันข้าม อุปกรณ์ดักฟัง (Tap) จำเป็นต้องลงทุนซื้อฮาร์ดแวร์ล่วงหน้า แต่ไม่จำเป็นต้องติดตั้งมากนัก เนื่องจากเป็นอุปกรณ์แบบพาสซีฟ จึงสามารถเชื่อมต่อและตัดการเชื่อมต่อจากเครือข่ายได้โดยไม่ส่งผลกระทบต่อเครือข่าย อุปกรณ์ดักฟังเป็นอุปกรณ์ฮาร์ดแวร์ที่ช่วยให้เข้าถึงข้อมูลที่ไหลผ่านเครือข่ายคอมพิวเตอร์ และมักใช้เพื่อความปลอดภัยของเครือข่ายและการตรวจสอบประสิทธิภาพ ทราฟฟิกที่ถูกตรวจสอบเรียกว่า "ทราฟฟิกแบบส่งผ่าน" (pass-through traffic) และพอร์ตที่ใช้ในการตรวจสอบเรียกว่า "พอร์ตตรวจสอบ" (monitoring port) เพื่อตรวจสอบเครือข่ายได้อย่างชัดเจนยิ่งขึ้น สามารถติดตั้งอุปกรณ์ดักฟังไว้ระหว่างเราเตอร์และสวิตช์ได้
เนื่องจาก TAP ไม่ส่งผลกระทบต่อแพ็กเก็ต จึงสามารถมองได้ว่าเป็นวิธีการตรวจสอบปริมาณการรับส่งข้อมูลเครือข่ายแบบพาสซีฟอย่างแท้จริง
โดยพื้นฐานแล้ว โซลูชัน TAP มีอยู่ 3 ประเภท:

- ตัวแยกสัญญาณเครือข่าย (1 : 1)

- รวม TAP (หลายรายการ : 1)

- การฟื้นฟู TAP (1 : หลายรายการ)

TAP จำลองการรับส่งข้อมูลไปยังเครื่องมือตรวจสอบแบบพาสซีฟเพียงเครื่องเดียว หรือไปยังอุปกรณ์ถ่ายทอดแพ็กเก็ตเครือข่ายความหนาแน่นสูง และให้บริการเครื่องมือทดสอบคุณภาพบริการ (QOS) เครื่องมือตรวจสอบเครือข่าย และเครื่องมือดักจับข้อมูลเครือข่าย เช่น Wireshark หลายเครื่อง (มักจะหลายเครื่อง)
นอกจากนี้ ประเภทของ TAP ยังแตกต่างกันไปตามประเภทของสายเคเบิล รวมถึง TAP ไฟเบอร์และ TAP ทองแดงระดับกิกะบิต ซึ่งทั้งสองแบบทำงานในลักษณะเดียวกันโดยการถ่ายโอนสัญญาณบางส่วนไปยังตัววิเคราะห์ปริมาณการรับส่งข้อมูลเครือข่าย ในขณะที่ส่วนหลักยังคงส่งสัญญาณต่อไปโดยไม่หยุดชะงัก สำหรับ TAP ไฟเบอร์นั้น จะเป็นการแบ่งลำแสงออกเป็นสองส่วน ในขณะที่ในระบบสายเคเบิลทองแดงนั้น จะเป็นการจำลองสัญญาณไฟฟ้า