Задълбочен анализ и сравнение на приложенията на методите за събиране на данни за мрежовия трафик TAP и SPAN

В областта на мрежовата експлоатация и поддръжка, отстраняването на неизправности и анализа на сигурността, точното и ефикасно получаване на мрежови потоци от данни е основата за изпълнение на различни задачи. TAP (Test Access Point) и SPAN (Switched Port Analyzer, наричан още огледален порт), като две основни технологии за събиране на мрежови данни играят важна роля в различни сценарии поради своите различни технически характеристики. Дълбокото разбиране на техните характеристики, предимства, ограничения и приложими сценарии е от решаващо значение за мрежовите инженери, за да формулират разумни планове за събиране на данни и да подобрят ефективността на управлението на мрежата.

TAP: Цялостно и видимо решение за заснемане на данни „без загуби“

TAP е хардуерно устройство, работещо на физическия или каналния слой. Основната му функция е да постигне 100% репликация и заснемане на мрежови потоци от данни, без да се намесва в оригиналния мрежов трафик. Чрез последователно свързване в мрежова връзка (напр. между комутатор и сървър или рутер и комутатор), то репликира всички пакети данни нагоре и надолу по веригата, преминаващи през връзката към порт за наблюдение, използвайки методи за „оптично разделяне“ или „разделяне на трафика“, за последваща обработка от устройства за анализ (като мрежови анализатори и системи за откриване на проникване - IDS).

Основни характеристики: Фокусирани върху „Интегритет“ и „Стабилност“

1. 100% заснемане на пакети данни без риск от загуба

Това е най-забележимото предимство на TAP. Тъй като TAP работи на физическия слой и директно репликира електрически или оптични сигнали във връзката, той не разчита на ресурсите на процесора на комутатора за препращане или репликация на пакети данни. Следователно, независимо дали мрежовият трафик е в пиковия си обем или съдържа пакети данни с голям размер (като Jumbo Frames с голяма MTU стойност), всички пакети данни могат да бъдат напълно заснети без загуба на пакети, причинена от недостатъчни ресурси на комутатора. Тази функция за „заснемане без загуби“ го прави предпочитано решение за сценарии, изискващи точна поддръжка на данни (като например локализиране на първопричината за повреда и анализ на базовата линия на мрежовата производителност).

2. Няма влияние върху производителността на оригиналната мрежа

Работният режим на TAP гарантира, че не причинява никакви смущения на оригиналната мрежова връзка. Той не променя съдържанието, адресите на източника/целя или времето на пакетите данни, нито заема честотната лента на порта, кеша или ресурсите за обработка на комутатора. Дори ако самото TAP устройство не работи правилно (като например прекъсване на захранването или повреда на хардуера), това ще доведе само до липса на изходни данни от порта за наблюдение, докато комуникацията на оригиналната мрежова връзка остава нормална, като се избягва рискът от прекъсване на мрежата, причинено от повреда на устройствата за събиране на данни.

3. Поддръжка за пълнодуплексни връзки и сложни мрежови среди

Съвременните мрежи най-често използват режим на пълнодуплексна комуникация (т.е. данните нагоре и надолу по веригата могат да се предават едновременно). TAP може да улавя потоци от данни и в двете посоки на пълнодуплексна връзка и да ги извежда през независими портове за наблюдение, като гарантира, че устройството за анализ може напълно да възстанови двупосочния комуникационен процес. Освен това, TAP поддържа различни мрежови скорости (като 100M, 1G, 10G, 40G и дори 100G) и типове медии (усукана двойка, едномодово оптично влакно, многомодово оптично влакно) и може да се адаптира към мрежови среди с различна сложност, като например центрове за данни, основни мрежи и кампусни мрежи.

Сценарии на приложение: Фокусиране върху „Точен анализ“ и „Мониторинг на ключови връзки“

1. Отстраняване на неизправности в мрежата и локализиране на първопричината

Когато в мрежата възникнат проблеми като загуба на пакети, забавяне, трептене или забавяне на приложенията, е необходимо да се възстанови сценарият, при който е възникнала повредата, чрез пълен поток от пакети данни. Например, ако основните бизнес системи на предприятието (като ERP и CRM) изпитват периодични прекъсвания на достъпа, персоналът по експлоатация и поддръжка може да внедри TAP между сървъра и основния комутатор, за да улови всички пакети данни за двупосочно предаване, да анализира дали има проблеми като повторно предаване на TCP, загуба на пакети, забавяне на разрешаването на DNS или грешки в протокола на приложното ниво и по този начин бързо да локализира основната причина за повредата (като проблеми с качеството на връзката, бавен отговор на сървъра или грешки в конфигурацията на мидълуера).

2. Установяване на базови нива на мрежова производителност и наблюдение на аномалии

При експлоатацията и поддръжката на мрежата, установяването на базова линия на производителност при нормални бизнес натоварвания (като средно използване на честотната лента, забавяне при препращане на пакети данни и процент на успех при установяване на TCP връзка) е основата за наблюдение на аномалии. TAP може стабилно да улавя пълния обем данни за ключови връзки (като например между основните комутатори и между изходящите рутери и интернет доставчиците) за дълго време, помагайки на оперативния и поддържащ персонал да преброи различни показатели за производителност и да установи точен базов модел. Когато възникнат последващи аномалии, като внезапни пикове на трафика, необичайни забавяния или аномалии в протокола (като необичайни ARP заявки и голям брой ICMP пакети), аномалиите могат да бъдат бързо открити чрез сравняване с базовата линия и може да се извърши навременна намеса.

3. Одит на съответствието и откриване на заплахи с високи изисквания за сигурност

За индустрии с високи изисквания за сигурност на данните и съответствие, като финанси, държавни дела и енергетика, е необходимо да се проведе пълен одит на процеса на предаване на чувствителни данни или точно да се открият потенциални мрежови заплахи (като APT атаки, изтичане на данни и разпространение на зловреден код). Функцията за заснемане без загуби на TAP гарантира целостта и точността на данните от одита, което може да отговори на изискванията на закони и разпоредби като „Закона за мрежова сигурност“ и „Закона за сигурност на данните“ за съхранение и одит на данни; в същото време пакетите с пълен обем данни предоставят и богати аналитични образци за системи за откриване на заплахи (като IDS/IPS и sandbox устройства), помагайки за откриване на нискочестотни и скрити заплахи, скрити в нормалния трафик (като зловреден код в криптиран трафик и проникващи атаки, прикрити като нормална бизнес дейност).

Ограничения: Компромис между цена и гъвкавост при внедряване

Основните ограничения на TAP се крият във високата цена на хардуера и ниската гъвкавост при внедряване. От една страна, TAP е специализирано хардуерно устройство и по-специално TAP устройствата, поддържащи високи скорости (като 40G и 100G) или оптични влакна, са много по-скъпи от софтуерно базираната SPAN функция; от друга страна, TAP трябва да бъде свързан последователно в оригиналната мрежова връзка и връзката трябва да бъде временно прекъсвана по време на внедряването (като например включване и изключване на мрежови кабели или оптични влакна). За някои основни връзки, които не позволяват прекъсване (като например връзки за финансови транзакции, работещи 24/7), внедряването е трудно и точките за достъп на TAP обикновено трябва да бъдат резервирани предварително по време на фазата на планиране на мрежата.

SPAN: Рентабилно и гъвкаво решение за агрегиране на данни с множество портове

SPAN е софтуерна функция, вградена в комутаторите (някои рутери от висок клас също я поддържат). Принципът ѝ е да конфигурира комутатора вътрешно да репликира трафика от един или повече изходни портове (Source Ports) или изходни VLAN мрежи към определен порт за наблюдение (Destination Port, известен също като огледален порт) за приемане и обработка от устройството за анализ. За разлика от TAP, SPAN не изисква допълнителни хардуерни устройства и може да реализира събиране на данни само чрез разчитане на софтуерната конфигурация на комутатора.

Основни характеристики: Фокусирани върху „рентабилност“ и „гъвкавост“

1. Нулеви допълнителни разходи за хардуер и удобно внедряване

Тъй като SPAN е функция, вградена във фърмуера на комутатора, няма нужда от закупуване на специални хардуерни устройства. Събирането на данни може да се активира бързо само чрез конфигуриране чрез CLI (интерфейс за команден ред) или уеб интерфейс за управление (като например задаване на изходния порт, порта за наблюдение и посоката на огледално предаване (входящ, изходящ или двупосочен)). Тази функция за „нулеви хардуерни разходи“ го прави идеален избор за сценарии с ограничени бюджети или временни нужди от мониторинг (като краткосрочно тестване на приложения и временно отстраняване на неизправности).

2. Поддръжка за агрегиране на трафик от множество източници на портове / множество VLAN

Основно предимство на SPAN е, че може да репликира трафик от множество изходни портове (като потребителски портове на множество комутатори на ниво достъп) или множество VLAN мрежи към един и същ порт за наблюдение едновременно. Например, ако персоналът по експлоатацията и поддръжката на предприятието трябва да наблюдава трафика на терминалите на служителите в множество отдели (съответстващи на различни VLAN мрежи), които имат достъп до интернет, няма нужда да се разполагат отделни устройства за събиране на данни на изхода на всяка VLAN мрежа. Чрез агрегиране на трафика на тези VLAN мрежи към един порт за наблюдение чрез SPAN може да се осъществи централизиран анализ, което значително подобрява гъвкавостта и ефективността на събирането на данни.

3. Няма нужда да прекъсвате оригиналната мрежова връзка

За разлика от серийното внедряване на TAP, както изходният порт, така и портът за наблюдение на SPAN са обикновени портове на комутатора. По време на процеса на конфигуриране не е необходимо да се включват и изключват мрежовите кабели на оригиналната връзка и това не влияе върху предаването на оригиналния трафик. Дори ако е необходимо да се коригира изходният порт или да се деактивира функцията SPAN по-късно, това може да се направи само чрез промяна на конфигурацията през командния ред, което е удобно за работа и не пречи на мрежовите услуги.

Сценарии на приложение: Фокус върху „Нискобюджетен мониторинг“ и „Централизиран анализ“

1. Мониторинг на потребителското поведение в кампусни мрежи / корпоративни мрежи

В кампусни или корпоративни мрежи, администраторите често трябва да следят дали терминалите на служителите имат незаконен достъп (като например достъп до незаконни уебсайтове и изтегляне на пиратски софтуер) и дали има голям брой P2P изтегляния или видео потоци, заемащи честотна лента. Чрез агрегиране на трафика от потребителски портове на комутатори на ниво достъп към порта за наблюдение чрез SPAN, комбинирано със софтуер за анализ на трафика (като Wireshark и NetFlow Analyzer), може да се реализира наблюдение в реално време на поведението на потребителите и статистика за заемането на честотна лента без допълнителни хардуерни инвестиции.

2. Временно отстраняване на неизправности и краткосрочно тестване на приложения

Когато в мрежата възникнат временни и случайни повреди или когато е необходимо да се проведе тестване на трафика на новоразгърнато приложение (като например вътрешна OA система и система за видеоконферентна връзка), SPAN може да се използва за бързо изграждане на среда за събиране на данни. Например, ако отдел съобщи за чести замръзвания при видеоконферентни връзки, персоналът по експлоатация и поддръжка може временно да конфигурира SPAN да отразява трафика от порта, където се намира сървърът за видеоконферентни връзки, към порта за наблюдение. Чрез анализ на забавянето на пакетите данни, процента на загуба на пакети и заемането на честотната лента може да се определи дали повредата е причинена от недостатъчна честотна лента на мрежата или загуба на пакети данни. След отстраняване на неизправности, конфигурацията на SPAN може да бъде деактивирана, без това да повлияе на последващите мрежови операции.

3. Статистика за трафика и опростен одит в малки и средни мрежи

За малки и средни мрежи (като малки предприятия и университетски лаборатории), ако изискването за целостност на събирането на данни не е високо и са необходими само прости статистики за трафика (като използване на честотната лента на всеки порт и дял на трафика на Top N приложения) или основен одит за съответствие (като например записване на имената на домейните на уебсайтове, до които потребителите осъществяват достъп), SPAN може напълно да отговори на нуждите. Неговите нискобюджетни и лесни за внедряване функции го правят рентабилен избор за такива сценарии.

Ограничения: Недостатъци в целостта на данните и въздействие върху производителността

1. Риск от загуба на пакети данни и непълно заснемане

Репликацията на пакети данни от SPAN разчита на ресурсите на процесора и кеша на комутатора. Когато трафикът на изходния порт е в пиковите си нива (например, надвишава капацитета на кеша на комутатора) или комутаторът обработва голям брой задачи за пренасочване едновременно, процесорът ще даде приоритет на осигуряването на пренасочването на оригиналния трафик и ще намали или преустанови репликацията на SPAN трафика, което ще доведе до загуба на пакети на мониторинговия порт. Освен това, някои комутатори имат ограничения за съотношението на огледално отразяване на SPAN (например поддържат репликация само на 80% от трафика) или не поддържат пълна репликация на пакети данни с голям размер (като Jumbo Frame). Всичко това ще доведе до непълни събрани данни и ще повлияе на точността на последващите резултати от анализа.

2. Заемане на комутаторни ресурси и потенциално въздействие върху производителността на мрежата

Въпреки че SPAN не прекъсва директно оригиналната връзка, когато броят на изходните портове е голям или трафикът е интензивен, процесът на репликация на пакети данни ще заеме ресурсите на процесора и вътрешната честотна лента на комутатора. Например, ако трафикът на множество 10G портове се отразява към 10G мониторингов порт, когато общият трафик на изходните портове надвиши 10G, не само мониторинговият порт ще пострада от загуба на пакети поради недостатъчна честотна лента, но и използването на процесора на комутатора може значително да се увеличи, като по този начин се повлияе на ефективността на препращане на пакети данни на други портове и дори да се стигне до спад в общата производителност на комутатора.

3. Зависимост на функцията от модела на превключвателя и ограничена съвместимост

Нивото на поддръжка на функцията SPAN варира значително между комутаторите от различни производители и модели. Например, комутаторите от нисък клас може да поддържат само един порт за наблюдение и да не поддържат VLAN огледално отразяване или пълнодуплексно огледално отразяване на трафика; функцията SPAN на някои комутатори има ограничение за „еднопосочно огледално отразяване“ (т.е. огледално отразява само входящия или изходящия трафик и не може да отразява двупосочен трафик едновременно); освен това, SPAN между комутаторите (като огледално отразяване на трафика на порта на комутатор A към порта за наблюдение на комутатор B) трябва да разчита на специфични протоколи (като RSPAN на Cisco и ERSPAN на Huawei), които имат сложна конфигурация и ниска съвместимост и са трудни за адаптиране към средата на смесени мрежи от множество производители.

Сравнение на основните разлики и предложения за избор между TAP и SPAN

Сравнение на основните разлики

За да покажем по-ясно разликите между двете, ще ги сравним по отношение на техническите характеристики, въздействието върху производителността, разходите и приложимите сценарии:

Предложения за избор: „Точно съвпадение“ въз основа на изискванията на сценария

1. Сценарии, при които TAP е за предпочитане

○Мониторинг на основните бизнес връзки (като например основните комутатори на центрове за данни и връзките на изходните рутери), изискващ осигуряване на целостта на събирането на данни;

○Локализиране на първопричината за мрежова повреда (като например повторно предаване на TCP и забавяне на приложението), изискващо точен анализ, базиран на пакети данни с пълен обем;

○Индустрии с високи изисквания за сигурност и съответствие (финанси, държавни дела, енергетика), изискващи спазване на целостта и неподправянето на одитните данни;

○Високоскоростни мрежови среди (10G и повече) или сценарии с големи пакети данни, изискващи избягване на загуба на пакети в SPAN.

2. Сценарии, в които SPAN е за предпочитане

○Малки и средни мрежи с ограничени бюджети или сценарии, изискващи само прости статистики за трафика (като например заетост на честотната лента и най-популярни приложения);

○Временно отстраняване на неизправности или краткосрочно тестване на приложения (като например тестване за стартиране на нова система), изискващо бързо внедряване без дългосрочно заемане на ресурси;

○Централизирано наблюдение на мулти-източникови портове/мулти-VLAN мрежи (като наблюдение на поведението на потребителите в кампусната мрежа), изискващо гъвкаво агрегиране на трафика;

○Мониторинг на неосновни връзки (като потребителски портове на комутатори на ниво достъп), с ниски изисквания за целостта на събирането на данни.

3. Сценарии за употреба на хибридни системи

В някои сложни мрежови среди може да се използва и хибриден метод за внедряване „TAP + SPAN“. Например, внедрете TAP в основните връзки на центъра за данни, за да осигурите пълно събиране на данни за отстраняване на неизправности и одит на сигурността; конфигурирайте SPAN в комутатори на ниво достъп или агрегиране, за да агрегирате разпръснатия потребителски трафик за анализ на поведението и статистика за честотната лента. Това не само отговаря на нуждите от точен мониторинг на ключовите връзки, но и намалява общите разходи за внедряване.

Така че, като две основни технологии за събиране на мрежови данни, TAP и SPAN нямат абсолютни „предимства или недостатъци“, а само „разлики в адаптацията към сценарии“. TAP е съсредоточена върху „заснемане без загуби“ и „стабилна надеждност“ и е подходяща за ключови сценарии с високи изисквания за целостта на данните и стабилността на мрежата, но има висока цена и ниска гъвкавост при внедряване; SPAN има предимствата на „нулева цена“ и „гъвкавост и удобство“ и е подходяща за нискобюджетни, временни или неосновни сценарии, но крие рискове от загуба на данни и влияние върху производителността.

В реалната експлоатация и поддръжка на мрежата, мрежовите инженери трябва да изберат най-подходящото техническо решение въз основа на собствените си бизнес нужди (като например дали става въпрос за основна връзка и дали е необходим точен анализ), бюджетни разходи, мащаб на мрежата и изисквания за съответствие. В същото време, с подобряването на мрежовите скорости (като 25G, 100G и 400G) и надграждането на изискванията за мрежова сигурност, TAP технологията също непрекъснато се развива (като например поддръжка на интелигентно разделяне на трафика и многопортово агрегиране), а производителите на комутатори също непрекъснато оптимизират SPAN функцията (като например подобряване на капацитета на кеша и поддръжка на огледално предаване без загуби). В бъдеще двете технологии ще продължат да играят своята роля в съответните си области и ще осигуряват по-ефективна и точна поддръжка на данни за управление на мрежата.