Поглиблений аналіз та порівняння застосувань методів збору даних про мережевий трафік TAP та SPAN

У сферах експлуатації та обслуговування мереж, усунення несправностей та аналізу безпеки точне та ефективне отримання потоків мережевих даних є основою для виконання різних завдань. TAP (тестова точка доступу) та SPAN (аналізатор комутованих портів, також відомий як дзеркалювання портів), як дві основні технології збору мережевих даних, відіграють важливу роль у різних сценаріях завдяки своїм різним технічним характеристикам. Глибоке розуміння їхніх функцій, переваг, обмежень та застосовних сценаріїв має вирішальне значення для мережевих інженерів, щоб формулювати розумні плани збору даних та підвищувати ефективність управління мережею.

TAP: Комплексне та наочне рішення для збору даних «без втрат»

TAP – це апаратний пристрій, що працює на фізичному або канальному рівні. Його основна функція полягає в досягненні 100% реплікації та захоплення мережевих потоків даних без втручання в оригінальний мережевий трафік. Завдяки послідовному підключенню в мережевому каналі (наприклад, між комутатором і сервером або маршрутизатором і комутатором), він реплікує всі висхідні та низхідні пакети даних, що проходять через канал, до порту моніторингу, використовуючи методи «оптичного розділення» або «розділення трафіку», для подальшої обробки аналітичними пристроями (такими як мережеві аналізатори та системи виявлення вторгнень - IDS).

Основні характеристики: зосереджені на «цілісності» та «стабільності»

1. 100% захоплення пакетів даних без ризику втрати

Це найважливіша перевага TAP. Оскільки TAP працює на фізичному рівні та безпосередньо реплікує електричні або оптичні сигнали в каналі, він не залежить від ресурсів процесора комутатора для пересилання або реплікації пакетів даних. Тому, незалежно від того, чи мережевий трафік знаходиться на піку, чи містить пакети даних великого розміру (наприклад, Jumbo Frames з великим значенням MTU), усі пакети даних можуть бути повністю захоплені без втрати пакетів, спричиненої недостатніми ресурсами комутатора. Ця функція «захоплення без втрат» робить його кращим рішенням для сценаріїв, що вимагають точної підтримки даних (таких як визначення першопричини несправності та аналіз базової продуктивності мережі).

2. Відсутність впливу на продуктивність оригінальної мережі

Режим роботи TAP гарантує, що він не створює жодних перешкод для оригінального мережевого з'єднання. Він не змінює вміст, адреси джерела/призначення чи час пакетів даних, а також не займає пропускну здатність порту, кеш чи обчислювальні ресурси комутатора. Навіть якщо сам пристрій TAP вийде з ладу (наприклад, через збій живлення або пошкодження обладнання), це призведе лише до відсутності виведення даних з порту моніторингу, тоді як зв'язок оригінального мережевого з'єднання залишається нормальним, що дозволяє уникнути ризику переривання мережі, спричиненого відмовою пристроїв збору даних.

3. Підтримка повнодуплексних з'єднань та складних мережевих середовищ

Сучасні мережі здебільшого використовують режим повнодуплексного зв'язку (тобто дані висхідного та низхідного потоків можуть передаватися одночасно). TAP може захоплювати потоки даних в обох напрямках повнодуплексного з'єднання та виводити їх через незалежні порти моніторингу, гарантуючи, що пристрій аналізу може повністю відновити процес двостороннього зв'язку. Крім того, TAP підтримує різні швидкості мережі (такі як 100M, 1G, 10G, 40G і навіть 100G) та типи середовищ (вита пара, одномодове оптоволокно, багатомодове оптоволокно), і може бути адаптований до мережевих середовищ різної складності, таких як центри обробки даних, основні мережі та кампусні мережі.

Сценарії застосування: зосередження на «точному аналізі» та «моніторингу ключових ланок»

1. Усунення несправностей мережі та визначення першопричини

Коли в мережі виникають такі проблеми, як втрата пакетів, затримка, тремтіння або затримка додатків, необхідно відновити сценарій, коли стався збій, через повний потік пакетів даних. Наприклад, якщо основні бізнес-системи підприємства (такі як ERP та CRM) періодично перевищують час очікування доступу, персонал з експлуатації та технічного обслуговування може розгорнути TAP між сервером та основним комутатором, щоб захопити всі пакети даних туди й назад, проаналізувати, чи є такі проблеми, як повторна передача TCP, втрата пакетів, затримка розв'язання DNS або помилки протоколу на рівні додатків, і таким чином швидко знайти першопричину несправності (наприклад, проблеми з якістю з'єднання, повільна відповідь сервера або помилки конфігурації проміжного програмного забезпечення).

2. Встановлення базових показників продуктивності мережі та моніторинг аномалій

В експлуатації та обслуговуванні мережі встановлення базового рівня продуктивності за нормальних робочих навантажень (таких як середнє використання пропускної здатності, затримка пересилання пакетів даних та коефіцієнт успішного встановлення TCP-з'єднання) є основою для моніторингу аномалій. TAP може стабільно фіксувати повний обсяг даних ключових каналів (таких як між основними комутаторами та між вихідними маршрутизаторами та інтернет-провайдерами) протягом тривалого часу, допомагаючи персоналу з експлуатації та технічного обслуговування розраховувати різні показники продуктивності та створювати точну базову модель. Коли виникають подальші аномалії, такі як раптові сплески трафіку, аномальні затримки або аномалії протоколу (такі як аномальні ARP-запити та велика кількість ICMP-пакетів), аномалії можна швидко виявити шляхом порівняння з базовим рівнем, і своєчасно вжити заходів.

3. Аудит відповідності та виявлення загроз з високими вимогами безпеки

Для галузей з високими вимогами до безпеки даних та відповідності вимогам, таких як фінанси, державні справи та енергетика, необхідно проводити повний аудит процесу передачі конфіденційних даних або точно виявляти потенційні мережеві загрози (такі як APT-атаки, витік даних та поширення шкідливого коду). Функція захоплення без втрат TAP забезпечує цілісність та точність даних аудиту, що може відповідати вимогам законів та нормативних актів, таких як «Закон про мережеву безпеку» та «Закон про безпеку даних» щодо зберігання та аудиту даних; водночас, повнооб’ємні пакети даних також надають багаті зразки аналізу для систем виявлення загроз (таких як IDS/IPS та пристрої «пісочниці»), допомагаючи виявляти низькочастотні та приховані загрози, приховані у звичайному трафіку (такі як шкідливий код у зашифрованому трафіку та атаки проникнення, замасковані під звичайний бізнес).

Обмеження: Компроміс між вартістю та гнучкістю розгортання

Основні обмеження TAP полягають у високій вартості обладнання та низькій гнучкості розгортання. З одного боку, TAP є спеціалізованим апаратним пристроєм, і зокрема, TAP, що підтримують високі швидкості (такі як 40G та 100G) або волоконно-оптичні носії, набагато дорожчі, ніж програмна функція SPAN; з іншого боку, TAP потрібно підключати послідовно в оригінальному мережевому каналі, а під час розгортання канал необхідно тимчасово переривати (наприклад, підключати та відключати мережеві кабелі або оптичні волокна). Для деяких основних каналів, які не дозволяють переривання (таких як канали фінансових транзакцій, що працюють цілодобово), розгортання є складним, і точки доступу TAP зазвичай потрібно резервувати заздалегідь на етапі планування мережі.

SPAN: Економічно ефективне та гнучке рішення для агрегації даних "багатопортового" типу

SPAN – це програмна функція, вбудована в комутатори (деякі високоякісні маршрутизатори також її підтримують). Її принцип полягає у внутрішньому налаштуванні комутатора для реплікації трафіку з одного або кількох вихідних портів (Source Ports) або вихідних VLAN на призначений порт моніторингу (Destination Port, також відомий як дзеркальний порт) для отримання та обробки пристроєм аналізу. На відміну від TAP, SPAN не потребує додаткових апаратних пристроїв і може здійснювати збір даних, лише спираючись на програмну конфігурацію комутатора.

Основні характеристики: зосереджені на «економічній ефективності» та «гнучкості»

1. Нульові додаткові витрати на обладнання та зручне розгортання

Оскільки SPAN – це функція, вбудована в прошивку комутатора, немає потреби купувати спеціальні апаратні пристрої. Збір даних можна швидко ввімкнути лише шляхом налаштування через CLI (інтерфейс командного рядка) або веб-інтерфейс керування (наприклад, вказавши порт джерела, порт моніторингу та напрямок дзеркалювання (вхідний, вихідний або двонаправлений)). Ця функція «нульової вартості обладнання» робить її ідеальним вибором для сценаріїв з обмеженим бюджетом або тимчасовими потребами моніторингу (наприклад, короткострокове тестування програм та тимчасове усунення несправностей).

2. Підтримка агрегації трафіку з кількох портів/VLAN

Основною перевагою SPAN є те, що він може реплікувати трафік з кількох портів-джерел (таких як порти користувачів кількох комутаторів рівня доступу) або кількох VLAN на один і той самий порт моніторингу одночасно. Наприклад, якщо персоналу з експлуатації та технічного обслуговування підприємства потрібно контролювати трафік терміналів співробітників у кількох відділах (що відповідають різним VLAN), які мають доступ до Інтернету, немає потреби розгортати окремі пристрої збору на виході кожної VLAN. Агрегуючи трафік цих VLAN на один порт моніторингу через SPAN, можна реалізувати централізований аналіз, що значно підвищує гнучкість та ефективність збору даних.

3. Немає потреби переривати оригінальне мережеве з'єднання

На відміну від послідовного розгортання TAP, як порт джерела, так і порт моніторингу SPAN є звичайними портами комутатора. Під час процесу налаштування немає потреби підключати та відключати мережеві кабелі вихідного з'єднання, і це не впливає на передачу вихідного трафіку. Навіть якщо пізніше знадобиться налаштувати порт джерела або вимкнути функцію SPAN, це можна зробити лише шляхом зміни конфігурації через командний рядок, що зручно в експлуатації та не перешкоджає роботі мережевих служб.

Сценарії застосування: зосередження на «низьковартісному моніторингу» та «централізованому аналізі»

1. Моніторинг поведінки користувачів у кампусних мережах / корпоративних мережах

У кампусних мережах або корпоративних мережах адміністраторам часто потрібно контролювати, чи мають термінали співробітників незаконний доступ (наприклад, доступ до незаконних веб-сайтів та завантаження піратського програмного забезпечення), а також чи є велика кількість P2P-завантажень або відеопотоків, що займають пропускну здатність. Агрегуючи трафік користувацьких портів комутаторів рівня доступу до порту моніторингу через SPAN у поєднанні з програмним забезпеченням для аналізу трафіку (таким як Wireshark та NetFlow Analyzer), можна реалізувати моніторинг поведінки користувачів у режимі реального часу та статистику використання пропускної здатності без додаткових інвестицій в обладнання.

2. Тимчасове усунення несправностей та короткострокове тестування застосунків

Коли в мережі виникають тимчасові та епізодичні збої, або коли необхідно провести тестування трафіку в нещодавно розгорнутій програмі (наприклад, у внутрішній системі OA та системі відеоконференцій), SPAN можна використовувати для швидкого створення середовища збору даних. Наприклад, якщо відділ повідомляє про часті зависання під час відеоконференцій, персонал з експлуатації та технічного обслуговування може тимчасово налаштувати SPAN для відображення трафіку порту, на якому розташований сервер відеоконференцій, на порт моніторингу. Аналізуючи затримку пакетів даних, коефіцієнт втрати пакетів та зайнятість пропускної здатності, можна визначити, чи спричинена несправність недостатньою пропускною здатністю мережі чи втратою пакетів даних. Після завершення усунення несправностей конфігурацію SPAN можна вимкнути, не впливаючи на подальшу роботу мережі.

3. Статистика трафіку та простий аудит у малих та середніх мережах

Для малих та середніх мереж (таких як малі підприємства та кампусні лабораторії), якщо вимоги до цілісності збору даних не є високими, і потрібна лише проста статистика трафіку (наприклад, використання пропускної здатності кожного порту та частка трафіку Top N додатків) або базовий аудит відповідності (наприклад, запис доменних імен веб-сайтів, до яких звертаються користувачі), SPAN може повністю задовольнити потреби. Його низька вартість та прості в розгортанні функції роблять його економічно ефективним вибором для таких сценаріїв.

Обмеження: недоліки цілісності даних та вплив на продуктивність

1. Ризик втрати пакетів даних та неповного захоплення

Реплікація пакетів даних за допомогою SPAN залежить від ресурсів процесора та кешу комутатора. Коли трафік порту-джерела досягає пікового значення (наприклад, перевищує ємність кешу комутатора) або комутатор обробляє велику кількість завдань переадресації одночасно, процесор надасть пріоритет забезпеченню переадресації вихідного трафіку та зменшить або призупинить реплікацію трафіку SPAN, що призведе до втрати пакетів на порту моніторингу. Крім того, деякі комутатори мають обмеження на коефіцієнт дзеркалювання SPAN (наприклад, підтримка реплікації лише 80% трафіку) або не підтримують повну реплікацію пакетів даних великого розміру (наприклад, Jumbo Frames). Все це призведе до неповного зібрання даних та вплине на точність результатів подальшого аналізу.

2. Зайняття ресурсів комутатора та потенційний вплив на продуктивність мережі

Хоча SPAN безпосередньо не перериває вихідне з'єднання, коли кількість вихідних портів велика або трафік інтенсивний, процес реплікації пакетів даних займатиме ресурси процесора та внутрішню пропускну здатність комутатора. Наприклад, якщо трафік кількох портів 10G відображається на порт моніторингу 10G, коли загальний трафік вихідних портів перевищує 10G, то не тільки порт моніторингу постраждає від втрати пакетів через недостатню пропускну здатність, але й завантаження процесора комутатора може значно зрости, що вплине на ефективність пересилання пакетів даних інших портів і навіть призведе до зниження загальної продуктивності комутатора.

3. Залежність функції від моделі комутатора та обмежена сумісність

Рівень підтримки функції SPAN значно варіюється між комутаторами різних виробників та моделей. Наприклад, комутатори низького класу можуть підтримувати лише один порт моніторингу та не підтримувати дзеркалювання VLAN або повнодуплексне дзеркалювання трафіку; функція SPAN деяких комутаторів має обмеження «одностороннього дзеркалювання» (тобто дзеркалювання лише вхідного або вихідного трафіку та не може одночасно дзеркалювати двонаправлений трафік); крім того, SPAN між комутаторами (наприклад, дзеркалювання трафіку порту комутатора A до порту моніторингу комутатора B) повинен спиратися на певні протоколи (такі як RSPAN від Cisco та ERSPAN від Huawei), які мають складну конфігурацію та низьку сумісність, і їх важко адаптувати до середовища змішаних мереж кількох виробників.

Порівняння основних відмінностей та пропозиції щодо вибору між TAP та SPAN

Порівняння основних відмінностей

Щоб чіткіше показати відмінності між ними, ми порівняємо їх за такими аспектами, як технічні характеристики, вплив на продуктивність, вартість та відповідні сценарії:

Пропозиції щодо вибору: «Точне зіставлення» на основі вимог сценарію

1. Сценарії, де TAP є кращим

○Моніторинг основних бізнес-зв'язків (таких як основні комутатори центру обробки даних та вихідні маршрутизатори), що вимагає забезпечення цілісності збору даних;

○Визначення першопричини несправності мережі (наприклад, повторна передача TCP та затримка застосунку), що вимагає точного аналізу на основі повного обсягу пакетів даних;

○Галузі з високими вимогами до безпеки та відповідності (фінанси, державні справи, енергетика), що вимагають дотримання цілісності та непідробки аудиторських даних;

○Високошвидкісні мережеві середовища (10G і вище) або сценарії з великими пакетами даних, що вимагають уникнення втрати пакетів у SPAN.

2. Сценарії, де SPAN є кращим

○Малі та середні мережі з обмеженими бюджетами або сценарії, що вимагають лише простої статистики трафіку (наприклад, використання пропускної здатності та найпопулярніші програми);

○Тимчасове усунення несправностей або короткострокове тестування програм (наприклад, тестування запуску нової системи), що вимагає швидкого розгортання без довгострокового використання ресурсів;

○Централізований моніторинг багатоджерельних портів/багатоVLAN (наприклад, моніторинг поведінки користувачів кампусної мережі), що вимагає гнучкої агрегації трафіку;

○Моніторинг неосновних каналів (таких як порти користувачів комутаторів рівня доступу) з низькими вимогами до цілісності збору даних.

3. Гібридні сценарії використання

У деяких складних мережевих середовищах також можна застосувати гібридний метод розгортання "TAP + SPAN". Наприклад, розгорніть TAP в основних каналах центру обробки даних, щоб забезпечити повний збір даних для усунення несправностей та аудиту безпеки; налаштуйте SPAN в комутаторах рівня доступу або рівня агрегації для агрегації розсіяного користувацького трафіку для аналізу поведінки та статистики пропускної здатності. Це не тільки задовольняє потреби точного моніторингу ключових каналів, але й знижує загальну вартість розгортання.

Отже, як дві основні технології збору мережевих даних, TAP та SPAN не мають абсолютних «переваг чи недоліків», а лише «відмінності в адаптації до сценаріїв». TAP зосереджена на «захопленні без втрат» та «стабільній надійності» і підходить для ключових сценаріїв з високими вимогами до цілісності даних та стабільності мережі, але має високу вартість та низьку гнучкість розгортання; SPAN має переваги «нульової вартості» та «гнучкісті та зручності», і підходить для низьковитратних, тимчасових або неосновних сценаріїв, але має ризики втрати даних та впливу на продуктивність.

Під час фактичної експлуатації та обслуговування мережі мережеві інженери повинні вибирати найбільш підходяще технічне рішення, виходячи з власних бізнес-потреб (наприклад, чи є це основним каналом зв'язку та чи потрібен точний аналіз), бюджетних витрат, масштабу мережі та вимог до відповідності. Водночас, з покращенням швидкості мережі (наприклад, 25G, 100G та 400G) та підвищенням вимог до безпеки мережі, технологія TAP також постійно розвивається (наприклад, підтримує інтелектуальне розділення трафіку та багатопортову агрегацію), а виробники комутаторів також постійно оптимізують функцію SPAN (наприклад, збільшують ємність кешу та підтримують дзеркальне відображення без втрат). У майбутньому ці дві технології продовжуватимуть відігравати свою роль у відповідних галузях та забезпечуватимуть більш ефективну та точну підтримку даних для управління мережею.