TAP eta SPAN sareko trafikoaren datuak eskuratzeko metodoen analisi sakona eta aplikazioen konparaketa

Sareen funtzionamendu eta mantentze-lanen, arazoak konpontzearen eta segurtasun-analisiaren arloetan, sareko datu-jarioak zehaztasunez eta eraginkortasunez eskuratzea da hainbat zeregin egiteko oinarria. Bi sareko datuak eskuratzeko teknologia nagusi direnez, TAPek (Test Access Point) eta SPANek (Switched Port Analyzer, port mirroring bezala ere ezagutzen dena) paper garrantzitsua betetzen dute egoera desberdinetan, beren ezaugarri tekniko bereizgarriengatik. Haien ezaugarriak, abantailak, mugak eta aplikagarri diren egoerak sakonki ulertzea ezinbestekoa da sareko ingeniariek datuak biltzeko plan arrazoizkoak formulatu eta sarearen kudeaketaren eraginkortasuna hobetzeko.

TAP: Datuak Harrapatzeko "Galerarik Gabeko" Soluzio Integral eta Ikusgarria

TAP geruza fisikoan edo datu-lotura geruzan funtzionatzen duen hardware gailu bat da. Bere funtzio nagusia sareko datu-jarioen % 100eko erreplikazioa eta harrapaketa lortzea da, jatorrizko sareko trafikoan interferentziarik egin gabe. Sare-lotura batean seriean konektatuta dagoenez (adibidez, switch baten eta zerbitzari baten artean, edo router baten eta switch baten artean), loturatik monitorizazio-portu batera igarotzen diren goranzko eta beheranzko datu-pakete guztiak erreplikatzen ditu "zatiketa optikoa" edo "trafiko-zatiketa" metodoak erabiliz, ondoren analisi-gailuek (sare-analizatzaileak eta Intrusio Detekzio Sistemak - IDS) prozesatzeko.

Ezaugarri nagusiak: "Osotasuna" eta "Egonkortasuna" ardatz hartuta

1. Datu-paketeen %100eko harrapaketa galera-arriskurik gabe

Hau da TAPen abantaila nabarmenena. TAP geruza fisikoan funtzionatzen duenez eta loturan seinale elektrikoak edo optikoak zuzenean erreplikatzen dituenez, ez du etengailuaren CPU baliabideen mende datu-paketeak birbidaltzeko edo erreplikatzeko. Beraz, sareko trafikoa bere punturik gorenean dagoen edo datu-pakete handiak dituen kontuan hartu gabe (MTU balio handiko Jumbo Frameak, adibidez), datu-pakete guztiak erabat harrapatu daitezke etengailuaren baliabide nahikorik ez izateagatik sortutako pakete-galerarik gabe. "Galerarik gabeko harrapaketa" funtzio honek datu-laguntza zehatza behar duten egoeretarako irtenbide hobetsia bihurtzen du (adibidez, akatsen erroko kausaren kokapena eta sarearen errendimenduaren oinarrizko analisia).

2. Jatorrizko sarearen errendimenduan eraginik ez

TAP-en funtzionamendu moduak bermatzen du ez duela interferentziarik eragiten jatorrizko sare-loturan. Ez du datu-paketeen edukia, iturri/helmuga helbideak edo denbora aldatzen, ezta etengailuaren ataka-banda zabalera, cachea edo prozesatzeko baliabideak okupatzen ere. TAP gailuak berak huts egiten badu ere (adibidez, energia-eten bat edo hardware-kalte bat), ez da daturik aterako monitorizazio-atakatik, jatorrizko sare-loturaren komunikazioa normal mantenduz, datuak biltzeko gailuen hutsegiteek eragindako sare-etenaren arriskua saihestuz.

3. Full-Duplex Loturak eta Sare Ingurune Konplexuak Laguntza

Sare modernoek gehienbat full-duplex komunikazio modua erabiltzen dute (hau da, goranzko eta beheranzko datuak aldi berean transmititu daitezke). TAPek datu-jarioak full-duplex lotura baten bi noranzkoetan jaso eta monitorizazio-portu independenteen bidez igor ditzake, analisi-gailuak bi norabideko komunikazio-prozesua guztiz leheneratu dezakeela ziurtatuz. Horrez gain, TAPek hainbat sare-tasa (adibidez, 100M, 1G, 10G, 40G eta baita 100G ere) eta euskarri mota (pare bihurritua, zuntz monomodala, zuntz multimodala) onartzen ditu, eta konplexutasun desberdineko sare-inguruneetara egokitu daiteke, hala nola datu-zentroetara, bizkarrezur-sare nagusietara eta campus-sareetara.

Aplikazio Eszenarioak: "Analisi Zehatza" eta "Lotura Gakoen Monitorizazioan" arreta jartzea

1. Sarearen arazoak konpontzea eta erroko kausa kokatzea

Sarean paketeen galera, atzerapena, dardara edo aplikazioen atzerapena bezalako arazoak gertatzen direnean, beharrezkoa da akatsa gertatu zeneko egoera leheneratzea datu-paketeen jario oso baten bidez. Adibidez, enpresa baten negozio-sistemek (ERP eta CRM bezalakoek) tarteka sarbide-denbora-mugak badituzte, eragiketa- eta mantentze-langileek TAP bat zabaldu dezakete zerbitzariaren eta etengailu nagusiaren artean joan-etorriko datu-pakete guztiak harrapatzeko, TCP birtransmisioa, paketeen galera, DNS bereizmen-atzerapena edo aplikazio-geruzako protokolo-erroreak bezalako arazoak dauden aztertzeko, eta horrela akatsaren erroko kausa azkar aurkitzeko (adibidez, estekaren kalitate-arazoak, zerbitzariaren erantzun motela edo middleware konfigurazio-erroreak).

2. Sarearen Errendimenduaren Oinarrizko Lerroa Ezartzea eta Anomalien Jarraipena

Sarearen funtzionamenduan eta mantentze-lanetan, negozio-karga normaletan errendimendu-oinarrizko bat ezartzea da anomaliak monitorizatzeko oinarria (adibidez, batez besteko banda-zabalera erabiltzea, datu-paketeen birbidaltze-atzerapena eta TCP konexioen ezarpen-arrakasta-tasa). TAP-ek lotura gakoen bolumen osoko datuak modu egonkorrean jaso ditzake (adibidez, nukleo-switch-en eta irteerako bideratzaileen eta ISPen artekoak) denbora luzez, eragiketa- eta mantentze-langileei errendimendu-adierazle desberdinak zenbatzen eta oinarrizko eredu zehatz bat ezartzen lagunduz. Ondorengo anomaliak gertatzen direnean, hala nola bat-bateko trafiko-igoerak, atzerapen anormalak edo protokolo-anomaliak (adibidez, ARP eskaera anormalak eta ICMP pakete kopuru handia), anomaliak azkar detektatu daitezke oinarrizko lerroarekin alderatuz, eta esku-hartze egokia egin daiteke garaiz.

3. Betetze-ikuskaritza eta mehatxuen detekzioa segurtasun-eskakizun handiekin

Datuen segurtasun eta betetze eskakizun handiak dituzten industrientzat, hala nola finantzak, gobernu gaiak eta energia, beharrezkoa da datu sentikorren transmisio prozesuaren prozesu osoko auditoria egitea edo sareko mehatxu potentzialak zehatz-mehatz detektatzea (adibidez, APT erasoak, datuen ihesak eta kode gaiztoaren hedapena). TAPen galerarik gabeko harrapaketa funtzioak auditoria datuen osotasuna eta zehaztasuna bermatzen ditu, eta horrek lege eta araudiek, hala nola "Sarearen Segurtasun Legea" eta "Datuen Segurtasun Legea", datuak gordetzeko eta auditoriatzeko dituzten eskakizunak bete ditzake; aldi berean, bolumen osoko datu paketeek analisi lagin aberatsak ere eskaintzen dituzte mehatxuak detektatzeko sistemetarako (adibidez, IDS/IPS eta sandbox gailuak), trafiko normalean ezkutatuta dauden maiztasun baxuko eta ezkutuko mehatxuak detektatzen lagunduz (adibidez, trafiko enkriptatuan dagoen kode gaiztoa eta negozio normal gisa mozorrotutako penetrazio erasoak).

Mugak: Kostuaren eta Hedapen Malgutasunaren arteko Konpromisoa

TAPen muga nagusiak hardwarearen kostu handian eta hedapen-malgutasun txikian datza. Alde batetik, TAP hardware gailu dedikatu bat da, eta bereziki, abiadura handiak (40G eta 100G bezalakoak) edo zuntz optikoko euskarriak onartzen dituzten TAPak softwarean oinarritutako SPAN funtzioa baino askoz garestiagoak dira; bestetik, TAP seriean konektatuta egon behar da jatorrizko sare-loturan, eta lotura aldi baterako eten behar da hedapenean zehar (sareko kableak edo zuntz optikoak konektatu eta deskonektatu bezala). Etenik onartzen ez duten oinarrizko lotura batzuetarako (24/7 funtzionatzen duten finantza-transakzioen loturak adibidez), hedapena zaila da, eta TAP sarbide-puntuak normalean aldez aurretik erreserbatu behar dira sarearen plangintza-fasean.

SPAN: Datuen agregazio irtenbide kostu-eraginkorra eta malgua den "portu anitzeko" bat

SPAN etengailuetan txertatutako software funtzio bat da (goi-mailako router batzuek ere onartzen dute). Bere printzipioa etengailua barnean konfiguratzea da, iturburu-portu bat edo gehiagotatik (Iturburu-portuak) edo iturburu-VLANetatik izendatutako monitorizazio-portu batera (Helmuga-portua, ispilu-portua bezala ere ezagutzen dena) trafikoa erreplikatzeko, analisi-gailuak jaso eta prozesatu dezan. TAP ez bezala, SPANek ez du hardware gailu gehigarririk behar eta etengailuaren software-konfigurazioan oinarrituta soilik egin dezake datuen bilketa.

Ezaugarri nagusiak: "Kostu-eraginkortasunean" eta "malgutasunean" zentratuta

1. Zero hardware kostu gehigarri eta inplementazio erosoa

SPAN switch firmwarean txertatutako funtzio bat denez, ez dago hardware gailu dedikatuak erosteko beharrik. Datuen bilketa azkar gaitzeko, CLI (Komando Lerroko Interfazea) edo Web kudeaketa interfazearen bidez konfiguratu behar da (adibidez, iturburu portua, monitorizazio portua eta islatze norabidea zehaztuz (sarrerakoa, irteerakoa edo bi norabidekoa)). "Zero hardware kostu" funtzio honek aukera aproposa bihurtzen du aurrekontu mugatuak edo monitorizazio behar aldi baterakoak dituzten egoeretarako (adibidez, aplikazioen probak epe laburrekoetarako eta arazoak konpontzeko aldi baterakoetarako).

2. Iturburu anitzeko ataka / VLAN anitzeko trafiko agregaziorako laguntza

SPANen abantaila nagusietako bat da hainbat iturburu-portutatik (adibidez, hainbat sarbide-geruzako etengailuen erabiltzaile-portuak) edo hainbat VLANtatik monitorizazio-portu berera aldi berean trafikoa erreplikatu dezakeela. Adibidez, enpresako eragiketa eta mantentze-lanetako langileek hainbat departamentutako (VLAN desberdinei dagozkienak) Internetera sartzen diren langileen terminalen trafikoa monitorizatu behar badute, ez dago bilketa-gailu bereiziak zabaldu beharrik VLAN bakoitzaren irteeran. VLAN hauen trafikoa SPANen bidez monitorizazio-portu bakar batera agregatuz, analisi zentralizatua egin daiteke, datuak biltzeko malgutasuna eta eraginkortasuna asko hobetuz.

3. Ez da beharrezkoa jatorrizko sareko esteka etetea

TAPen serieko hedapenaren desberdina, bai SPANen iturburu-ataka bai monitorizazio-ataka switch-aren ohiko atakak dira. Konfigurazio-prozesuan, ez dago jatorrizko loturaren sare-kableak konektatu eta deskonektatu beharrik, eta ez du eraginik jatorrizko trafikoaren transmisioan. Iturburu-ataka doitu edo SPAN funtzioa desgaitu behar bada ere geroago, konfigurazioa komando-lerroaren bidez aldatuz bakarrik egin daiteke, erabiltzeko erosoa baita eta ez baitu sareko zerbitzuekin interferentziarik sortzen.

Aplikazio Eszenarioak: "Kostu Txikiko Monitorizazioan" eta "Analisi Zentralizatuan" arreta jarriz

1. Erabiltzaileen Portaeraren Monitorizazioa Campuseko Sareetan / Enpresa Sareetan

Campuseko sareetan edo enpresa-sareetan, administratzaileek askotan kontrolatu behar dute langileen terminalek legez kanpoko sarbiderik duten (adibidez, webgune ilegaletara sartzea eta software piratak deskargatzea) eta P2P deskarga edo bideo-jario kopuru handi batek banda-zabalera okupatzen duen. Sarbide-geruzako etengailuen erabiltzaile-portuen trafikoa SPAN bidez monitorizazio-portuan batuz, trafiko-analisi softwarearekin (adibidez, Wireshark eta NetFlow Analyzer) konbinatuz, erabiltzaileen portaeraren denbora errealeko monitorizazioa eta banda-zabaleraren okupazioaren estatistikak lor daitezke hardware inbertsio gehigarririk gabe.

2. Aldi baterako arazoak konpontzea eta aplikazioen epe laburreko probak

Sarean aldi baterako eta noizbehinkako akatsak gertatzen direnean, edo aplikazio berri batean trafiko probak egin behar direnean (adibidez, barne OA sistema bat eta bideo-konferentzia sistema bat), SPAN erabil daiteke datuak biltzeko ingurune bat azkar eraikitzeko. Adibidez, sail batek bideo-konferentzietan maiz izozten direla jakinarazten badu, eragiketa eta mantentze-langileek SPAN aldi baterako konfigura dezakete bideo-konferentzia zerbitzaria dagoen portuaren trafikoa monitorizazio-portura islatzeko. Datu-paketeen atzerapena, paketeen galera-tasa eta banda-zabaleraren okupazioa aztertuz, zehaztu daiteke akatsa sareko banda-zabalera nahikorik ez izateagatik edo datu-paketeen galeragatik den. Arazoak konpontzen amaitutakoan, SPAN konfigurazioa desgaitu daiteke ondorengo sareko eragiketetan eragin gabe.

3. Trafiko-estatistikak eta auditoria sinplea sare txiki eta ertainetan

Sare txiki eta ertainetarako (enpresa txikiak eta campuseko laborategiak, adibidez), datuen bilketaren osotasunaren eskakizuna ez bada handia, eta trafiko-estatistika sinpleak (adibidez, portu bakoitzaren banda-zabaleraren erabilera eta Top N aplikazioen trafiko-proportzioa) edo oinarrizko betetze-ikuskapena (adibidez, erabiltzaileek atzitutako webguneen domeinu-izenak erregistratzea) besterik ez badira behar, SPANek beharrak guztiz ase ditzake. Bere kostu txikiko eta erraz inplementatzen diren ezaugarriek aukera kostu-eraginkorra bihurtzen dute egoera horietarako.

Mugak: Datuen Osotasunean eta Errendimenduan duten Eraginan dauden Gabeziak

1. Datu-paketeak galtzeko eta harrapaketa osatugabea izateko arriskua

SPANek datu-paketeen erreplikazioa switch-aren CPU eta cache baliabideen menpe dago. Iturburu-atakako trafikoa bere gailurrean dagoenean (adibidez, switch-aren cache edukiera gainditzen duenean) edo switch-ak birbidaltze-zeregin kopuru handia prozesatzen duenean aldi berean, CPUak lehentasuna emango dio jatorrizko trafikoaren birbidaltzea bermatzeari, eta SPAN trafikoaren erreplikazioa murriztuko edo etengo du, eta horrek paketeak galtzea eragingo du monitorizazio-atakan. Gainera, switch batzuek SPANen islatze-erlazioan murrizketak dituzte (adibidez, trafikoaren % 80ren erreplikazioa soilik onartzea) edo tamaina handiko datu-paketeen erreplikazio osoa ez dute onartzen (adibidez, Jumbo Frame-ak). Horrek guztiak datu bildu osatugabeak ekarriko ditu eta ondorengo analisi-emaitzen zehaztasunean eragina izango du.

2. Kommutadoreen baliabideen okupazioa eta sarearen errendimenduan izan dezakeen eragina

SPANek ez du jatorrizko lotura zuzenean eteten, baina iturburu-portuen kopurua handia edo trafikoa astuna denean, datu-paketeen erreplikazio-prozesuak switch-aren CPU baliabideak eta barne-banda-zabalera okupatuko ditu. Adibidez, hainbat 10G porturen trafikoa 10G monitorizazio-portu batera islatzen bada, iturburu-portuen trafiko osoa 10G gainditzen duenean, monitorizazio-portuak pakete-galera jasango du banda-zabalera nahikorik ez dagoelako, baina switch-aren CPU erabilera ere nabarmen handitu daiteke, eta horrela beste portuen datu-paketeen birbidaltze-eraginkortasunean eraginez eta switch-aren errendimendu orokorraren beherakada ere eraginez.

3. Funtzioaren menpekotasuna etengailu modeloarekiko eta bateragarritasun mugatua

SPAN funtzioaren laguntza maila asko aldatzen da fabrikatzaile eta modelo desberdinetako etengailuen artean. Adibidez, behe-mailako etengailuek monitorizazio-portu bakarra onar dezakete eta ez dute VLAN islatzea edo full-duplex trafikoaren islatzea onartzen; etengailu batzuen SPAN funtzioak "noranzko bakarreko islatzea" murrizketa du (hau da, sarrerako edo irteerako trafikoa bakarrik islatzen du, eta ezin du bi norabideko trafikoa aldi berean islatu); gainera, etengailu gurutzatuen SPANak (adibidez, A etengailuaren portu-trafikoa B etengailuaren monitorizazio-portuan islatzea) protokolo espezifikoetan oinarritu behar da (adibidez, Ciscoren RSPAN eta Huaweiren ERSPAN), konfigurazio konplexua eta bateragarritasun txikia dituena, eta zaila da fabrikatzaile anitzen sare mistoen ingurunera egokitzea.

TAP eta SPAN arteko oinarrizko desberdintasunen konparaketa eta hautaketa iradokizunak

Oinarrizko desberdintasunen konparaketa

Bien arteko desberdintasunak argiago erakusteko, ezaugarri teknikoen, errendimenduaren eraginaren, kostuaren eta aplikagarri diren eszenatokien dimentsioetatik alderatzen ditugu:

Hautapen iradokizunak: "Bat-etortze zehatza" eszenatokiaren eskakizunetan oinarrituta

1. TAP hobesten den egoerak

○Negozio-lotura nagusien monitorizazioa (datu-zentroen nukleo-etengailuak eta irteerako bideratzaileen loturak, esaterako), datuen harrapaketaren osotasuna bermatzea eskatzen duena;

○Sareko akatsen erro-kausaren kokapena (TCP birtransmisioa eta aplikazioaren atzerapena, adibidez), bolumen osoko datu-paketeetan oinarritutako analisi zehatza behar duena;

○Segurtasun eta betetze-eskakizun handiak dituzten industriak (finantzak, gobernu-gaiak, energia), auditoria-datuen osotasuna eta manipulaziorik eza betetzea eskatzen dutenak;

○Abiadura handiko sare-inguruneak (10G eta gehiago) edo tamaina handiko datu-paketeak dituzten eszenarioak, SPAN-en pakete-galera saihestu behar denak.

2. SPAN nahiago den egoerak

○Aurrekontu mugatuak dituzten sare txiki eta ertainak, edo trafiko-estatistika sinpleak soilik behar dituzten eszenatokiak (adibidez, banda-zabaleraren okupazioa eta aplikazio nagusiak);

○Arazoak konpontzea edo aplikazioen epe laburreko probak (sistema berrien abiarazte probak, adibidez), baliabideak epe luzera okupatu gabe hedapen azkarra behar dutenak;

○Iturri anitzeko portuen/VLAN anitzen monitorizazio zentralizatua (adibidez, campuseko sareko erabiltzaileen portaeraren monitorizazioa), trafiko agregazio malgua behar duena;

○Oinarrizkoak ez diren loturen monitorizazioa (sarbide-geruzako etengailuen erabiltzaile-ataken adibidez), datuen harrapaketaren osotasunerako eskakizun gutxirekin.

3. Erabilera hibridoaren eszenatokiak

Sare-ingurune konplexu batzuetan, "TAP + SPAN" inplementazio-metodo hibridoa ere erabil daiteke. Adibidez, TAP datu-zentroaren oinarrizko esteketan zabaldu daiteke, arazoak konpontzeko eta segurtasun-auditoriak egiteko datu-bolumen osoa jasotzeko; SPAN konfiguratu sarbide-geruzako edo agregazio-geruzako etengailuetan, erabiltzaile-trafiko sakabanatua biltzeko, portaeraren analisia eta banda-zabaleraren estatistikak egiteko. Horrek ez ditu esteka nagusien monitorizazio-behar zehatzak asetzen bakarrik, baita inplementazio-kostu orokorra murrizten ere.

Beraz, sareko datuak eskuratzeko bi teknologia nagusi direnez, TAPek eta SPANek ez dute "abantaila edo desabantaila" absoluturik, "egokitzapen-egokitzapenean dauden desberdintasunak" baizik. TAP "galerarik gabeko harrapaketa" eta "fidagarritasun egonkorrean" oinarritzen da, eta datuen osotasunerako eta sarearen egonkortasunerako eskakizun handiak dituzten eszenatoki nagusietarako egokia da, baina kostu handia eta hedapen-malgutasun txikia ditu; SPANek "kostu zero" eta "malgutasun eta erosotasunaren" abantailak ditu, eta kostu txikiko, aldi baterako edo funtsezkoak ez diren eszenatokietarako egokia da, baina datuak galtzeko eta errendimenduan eragina izateko arriskuak ditu.

Sarearen benetako funtzionamenduan eta mantentze-lanetan, sareko ingeniariek irtenbide tekniko egokiena aukeratu behar dute beren negozio-beharren arabera (adibidez, lotura nagusia den eta analisi zehatza behar den), aurrekontu-kostuen, sarearen eskalaren eta betetze-eskakizunen arabera. Aldi berean, sare-tasen hobekuntzarekin (adibidez, 25G, 100G eta 400G) eta sarearen segurtasun-eskakizunen eguneratzearekin, TAP teknologia ere etengabe garatzen ari da (adibidez, trafikoaren banaketa adimenduna eta portu anitzeko agregazioa onartzen), eta etengailuen fabrikatzaileek ere etengabe optimizatzen ari dira SPAN funtzioa (adibidez, cachearen edukiera hobetzea eta galerarik gabeko islatzea onartzen). Etorkizunean, bi teknologiek beren arloetan beren eginkizunak beteko dituzte eta sarearen kudeaketarako datu-laguntza eraginkorragoa eta zehatzagoa eskainiko dute.