ความแตกต่างหลักระหว่างการจับแพ็คเก็ตโดยใช้พอร์ตเครือข่าย TAP และ SPAN

การมิเรอร์พอร์ต(เรียกอีกอย่างว่า SPAN)

แตะเครือข่าย(เรียกอีกอย่างว่า Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap เป็นต้น)TAP (จุดเชื่อมต่อเทอร์มินัล)เป็นอุปกรณ์ฮาร์ดแวร์แบบพาสซีฟเต็มรูปแบบ ซึ่งสามารถดักจับข้อมูลบนเครือข่ายแบบพาสซีฟ โดยทั่วไปจะใช้เพื่อติดตามข้อมูลระหว่างสองจุดในเครือข่าย หากเครือข่ายระหว่างสองจุดนี้ประกอบด้วยสายเคเบิลจริง TAP ของเครือข่ายอาจเป็นวิธีที่ดีที่สุดในการดักจับข้อมูล

ก่อนที่จะอธิบายความแตกต่างระหว่างโซลูชันทั้งสอง (Port Mirror และ Network Tap) สิ่งสำคัญคือต้องเข้าใจก่อนว่าอีเทอร์เน็ตทำงานอย่างไร ที่ความเร็ว 100 เมกะบิตขึ้นไป โฮสต์มักจะสื่อสารแบบฟูลดูเพล็กซ์ ซึ่งหมายความว่าโฮสต์หนึ่งสามารถส่ง (Tx) และรับ (Rx) ได้พร้อมกัน ซึ่งหมายความว่าในสายเคเบิล 100 เมกะบิตที่เชื่อมต่อกับโฮสต์หนึ่ง ปริมาณการรับส่งข้อมูลเครือข่ายทั้งหมดที่โฮสต์หนึ่งสามารถส่ง/รับ (Tx/Rx)) ได้คือ 2 × 100 เมกะบิต = 200 เมกะบิต

การมิเรอร์พอร์ตเป็นการจำลองแพ็คเก็ตที่ใช้งานอยู่ ซึ่งหมายความว่าอุปกรณ์เครือข่ายจะรับผิดชอบทางกายภาพในการคัดลอกแพ็คเก็ตไปยังพอร์ตมิเรอร์

การดึงดูดปริมาณการเข้าชม: TAP เทียบกับ SPAN
เมื่อทำการตรวจสอบปริมาณการใช้งานเครือข่าย หากคุณไม่ต้องการให้ระบบสนับสนุนทำงานโดยตรงในขณะที่ผู้ใช้กำลังประมวลผลธุรกรรม คุณมีสองตัวเลือกหลัก ในบทความต่อไปนี้ เราจะสรุปภาพรวมของ TAP (Test Access Point) และ SPAN (Switch Port Analyzer) หากต้องการวิเคราะห์ในเชิงลึกยิ่งขึ้น ผู้เชี่ยวชาญด้านการตรวจสอบแพ็กเก็ตอย่าง Timo'Neill มีบทความหลายบทความที่ lovemytool.com ซึ่งให้รายละเอียดอย่างละเอียด แต่ในที่นี้ เราจะใช้แนวทางทั่วไปมากกว่า

สแปน
การมิเรอร์พอร์ตเป็นวิธีการตรวจสอบการรับส่งข้อมูลบนเครือข่ายโดยการส่งต่อสำเนาของแพ็กเก็ตขาเข้าและ/หรือขาออกจากพอร์ตหนึ่งพอร์ตขึ้นไป (หรือ VLAN) ของสวิตช์ไปยังพอร์ตอื่นที่เชื่อมต่อกับเครื่องวิเคราะห์การรับส่งข้อมูลบนเครือข่าย สแปนมักใช้ในระบบที่ง่ายกว่าเพื่อตรวจสอบไซต์ต่างๆ พร้อมกันหลายไซต์ จำนวนการส่งผ่านเครือข่ายที่แน่นอนที่สามารถตรวจสอบได้นั้นขึ้นอยู่กับตำแหน่งที่ติดตั้ง SPAN เทียบกับอุปกรณ์ของศูนย์ข้อมูล คุณอาจพบสิ่งที่ต้องการได้ แต่ก็อาจพบว่ามีข้อมูลมากเกินไปได้ง่าย ตัวอย่างเช่น เป็นไปได้ที่จะพบสำเนาข้อมูลเดียวกันหลายชุดใน VLAN ทั้งหมด ซึ่งทำให้การแก้ไขปัญหา LAN ยากขึ้น และยังส่งผลต่อความเร็วของ CPU ของสวิตช์หรือส่งผลต่ออีเทอร์เน็ตผ่านการตรวจจับตำแหน่ง โดยพื้นฐานแล้ว ยิ่งมีสแปนมากเท่าไร ก็ยิ่งมีแนวโน้มที่จะสูญเสียแพ็กเก็ตมากขึ้นเท่านั้น เมื่อเทียบกับแท็ป สแปนสามารถจัดการได้จากระยะไกล ซึ่งหมายความว่าใช้เวลาน้อยลงในการเปลี่ยนแปลงการกำหนดค่า แต่ยังคงต้องใช้วิศวกรเครือข่ายอยู่

พอร์ต SPAN ไม่ใช่เทคโนโลยีแบบพาสซีฟ ดังที่บางคนกล่าวอ้าง เนื่องจากพอร์ตสามารถส่งผลกระทบอื่นๆ ต่อปริมาณการรับส่งข้อมูลบนเครือข่ายได้ ซึ่งรวมถึง:
- ถึงเวลาเปลี่ยนการโต้ตอบของเฟรม

- ทิ้งแพ็กเก็ตเนื่องจากการค้นหามากเกินไป

- แพ็กเก็ตที่เสียหายจะถูกทิ้งโดยไม่ได้แจ้งให้ทราบ ทำให้การวิเคราะห์เกิดการขัดขวาง
ดังนั้น พอร์ต SPAN จึงเหมาะสมกว่าสำหรับสถานการณ์ที่การทิ้งแพ็กเก็ตไม่ส่งผลต่อการวิเคราะห์หรือเมื่อคำนึงถึงต้นทุน

แตะ
ในทางกลับกัน แท็ปจำเป็นต้องใช้เงินจำนวนมากในการซื้อฮาร์ดแวร์ล่วงหน้า แต่ก็ไม่จำเป็นต้องมีการตั้งค่ามากนัก เนื่องจากแท็ปเป็นแบบพาสซีฟ จึงสามารถเชื่อมต่อและตัดการเชื่อมต่อจากเครือข่ายได้โดยไม่ส่งผลกระทบ แท็ปเป็นอุปกรณ์ฮาร์ดแวร์ที่ให้วิธีในการเข้าถึงข้อมูลที่ไหลผ่านเครือข่ายคอมพิวเตอร์ และมักใช้เพื่อวัตถุประสงค์ในการรักษาความปลอดภัยเครือข่ายและการตรวจสอบประสิทธิภาพ ทราฟฟิกที่ตรวจสอบเรียกว่าทราฟฟิก "พาสทรู" และพอร์ตที่ใช้สำหรับการตรวจสอบเรียกว่า "พอร์ตการตรวจสอบ" เพื่อตรวจสอบเครือข่ายได้ชัดเจนยิ่งขึ้น สามารถวางแท็ปไว้ระหว่างเราเตอร์และสวิตช์ได้
เนื่องจาก TAP ไม่ส่งผลต่อแพ็คเก็ต จึงถือได้ว่าเป็นวิธีแบบพาสซีฟอย่างแท้จริงในการดูข้อมูลการรับส่งข้อมูลบนเครือข่าย
โดยพื้นฐานแล้วโซลูชัน TAP มีอยู่ 3 ประเภท:

- ตัวแยกสัญญาณเครือข่าย (1 : 1)

- Aggregate TAP (หลาย : 1)

- การฟื้นฟู TAP (1 : มัลติ)

TAP จำลองการรับส่งข้อมูลไปยังเครื่องมือตรวจสอบแบบพาสซีฟตัวเดียว หรือไปยังอุปกรณ์ถ่ายทอดแพ็คเก็ตเครือข่ายความหนาแน่นสูง และให้บริการเครื่องมือทดสอบ QOS เครื่องมือตรวจสอบเครือข่าย และเครื่องมือดมกลิ่นเครือข่าย เช่น Wireshark หลายตัว (มักจะหลายตัว)
นอกจากนี้ ประเภทของ TAP ยังแตกต่างกันไปตามประเภทของสายเคเบิล ได้แก่ TAP แบบไฟเบอร์และ TAP แบบทองแดงแบบกิกะบิต โดยทั้งสองประเภททำงานในลักษณะเดียวกันโดยพื้นฐานแล้วคือการถ่ายโอนส่วนหนึ่งของสัญญาณไปยังเครื่องวิเคราะห์ปริมาณการรับส่งข้อมูลบนเครือข่าย ในขณะที่โมเดลหลักยังคงส่งสัญญาณต่อไปโดยไม่หยุดชะงัก สำหรับ TAP แบบไฟเบอร์ จะทำการแยกลำแสงออกเป็นสองส่วน ในขณะที่ในระบบสายเคเบิลทองแดง จะทำการจำลองสัญญาณไฟฟ้า