Паглыблены аналіз і параўнанне прымянення метадаў збору дадзеных аб сеткавым трафіку TAP і SPAN

У галіне эксплуатацыі і абслугоўвання сетак, ліквідацыі непаладак і аналізу бяспекі дакладны і эфектыўны збор патокаў сеткавых дадзеных з'яўляецца асновай для выканання розных задач. TAP (тэставая кропка доступу) і SPAN (аналізатар камутаваных партоў, таксама вядомы як люстраное адлюстраванне партоў), дзве асноўныя тэхналогіі збору сеткавых дадзеных, адыгрываюць важную ролю ў розных сцэнарыях дзякуючы сваім адметным тэхнічным характарыстыкам. Глыбокае разуменне іх асаблівасцей, пераваг, абмежаванняў і прыдатных сцэнарыяў мае вырашальнае значэнне для сеткавых інжынераў, каб распрацаваць разумныя планы збору дадзеных і павысіць эфектыўнасць кіравання сеткай.

TAP: Комплекснае і нагляднае рашэнне для збору дадзеных без страт

TAP — гэта апаратная прылада, якая працуе на фізічным або канальным узроўні. Яе асноўная функцыя заключаецца ў дасягненні 100% рэплікацыі і захопу патокаў сеткавых дадзеных без умяшання ў зыходны сеткавы трафік. Пры паслядоўным падключэнні ў сеткавым канале (напрыклад, паміж камутатарам і серверам або маршрутызатарам і камутатарам) яна рэплікуе ўсе пакеты дадзеных вышэйшага і наступнага патоку, якія праходзяць праз канал да порта маніторынгу, выкарыстоўваючы метады «аптычнага падзелу» або «падзелу трафіку», для наступнай апрацоўкі прыладамі аналізу (такімі як сеткавыя аналізатары і сістэмы выяўлення ўварванняў — IDS).

Асноўныя характарыстыкі: арыентаваны на «цэласнасць» і «стабільнасць»

1. 100% захоп пакетаў дадзеных без рызыкі страты

Гэта найбольш відавочная перавага TAP. Паколькі TAP працуе на фізічным узроўні і непасрэдна рэплікуе электрычныя або аптычныя сігналы ў канале сувязі, ён не залежыць ад рэсурсаў працэсара камутатара для перасылкі або рэплікацыі пакетаў дадзеных. Такім чынам, незалежна ад таго, ці знаходзіцца сеткавы трафік на піку, ці змяшчае вялікія пакеты дадзеных (напрыклад, Jumbo Frames з вялікім значэннем MTU), усе пакеты дадзеных могуць быць цалкам захоплены без страты пакетаў, выкліканай недастатковай колькасцю рэсурсаў камутатара. Гэтая функцыя "захопу без страт" робіць яго пераважным рашэннем для сцэнарыяў, якія патрабуюць дакладнай падтрымкі дадзеных (напрыклад, вызначэнне першапрычыны няспраўнасці і аналіз базавых паказчыкаў прадукцыйнасці сеткі).

2. Адсутнасць уплыву на прадукцыйнасць першапачатковай сеткі

Рэжым працы TAP гарантуе, што ён не стварае ніякіх перашкод для зыходнага сеткавага злучэння. Ён не змяняе змест, адрасы крыніцы/прызначэння або час перадачы пакетаў дадзеных, а таксама не займае прапускную здольнасць порта камутатара, кэш або рэсурсы апрацоўкі. Нават калі сама прылада TAP выходзіць з ладу (напрыклад, адключэнне харчавання або пашкоджанне абсталявання), гэта прывядзе толькі да адсутнасці вываду дадзеных з порта маніторынгу, у той час як сувязь зыходнага сеткавага злучэння застаецца нармальнай, што дазваляе пазбегнуць рызыкі перапынення ў сетцы, выкліканага адмовай прылад збору дадзеных.

3. Падтрымка поўнадуплексных каналаў сувязі і складаных сеткавых асяроддзяў

Сучасныя сеткі ў асноўным выкарыстоўваюць рэжым поўнадуплекснай сувязі (г.зн., дадзеныя ўверх і ўніз па плыні могуць перадавацца адначасова). TAP можа захопліваць патокі дадзеных у абодвух напрамках поўнадуплекснай сувязі і выводзіць іх праз незалежныя парты маніторынгу, гарантуючы, што прылада аналізу можа цалкам аднавіць двухбаковы працэс сувязі. Акрамя таго, TAP падтрымлівае розныя хуткасці сеткі (напрыклад, 100M, 1G, 10G, 40G і нават 100G) і тыпы носьбітаў (вітая пара, аднакадравае валакно, шматмодавае валакно) і можа быць адаптаваны да сеткавых асяроддзяў рознай складанасці, такіх як цэнтры апрацоўкі дадзеных, асноўныя магістральныя сеткі і кампусныя сеткі.

Сцэнарыі прымянення: акцэнт на «дакладным аналізе» і «маніторынгу ключавых звёнаў»

1. Ухіленне непаладак у сетцы і вызначэнне першапрычыны

Калі ў сетцы ўзнікаюць такія праблемы, як страта пакетаў, затрымка, дрыжанне або затрымка прыкладанняў, неабходна аднавіць сцэнар, калі адбылася памылка, праз поўны паток пакетаў дадзеных. Напрыклад, калі асноўныя бізнес-сістэмы прадпрыемства (напрыклад, ERP і CRM) перыядычна перарываюць доступ, эксплуатацыйны і абслуговы персанал можа разгарнуць TAP паміж серверам і асноўным камутатарам, каб захапіць усе пакеты дадзеных туды і назад, прааналізаваць, ці ёсць такія праблемы, як паўторная перадача TCP, страта пакетаў, затрымка дазволу DNS або памылкі пратаколу ўзроўню прыкладання, і такім чынам хутка знайсці першапрычыну памылкі (напрыклад, праблемы з якасцю злучэння, павольны адказ сервера або памылкі канфігурацыі прамежкавага праграмнага забеспячэння).

2. Устанаўленне базавых паказчыкаў прадукцыйнасці сеткі і маніторынг анамалій

Пры эксплуатацыі і абслугоўванні сеткі ўстанаўленне базавага ўзроўню прадукцыйнасці пры нармальных бізнес-нагрузках (напрыклад, сярэдняе выкарыстанне прапускной здольнасці, затрымка перасылкі пакетаў дадзеных і ўзровень паспяховасці ўстанаўлення TCP-злучэння) з'яўляецца асновай для маніторынгу анамалій. TAP можа стабільна фіксаваць поўны аб'ём дадзеных ключавых злучэнняў (напрыклад, паміж асноўнымі камутатарамі і паміж выходнымі маршрутызатарамі і інтэрнэт-правайдэрамі) на працягу доўгага часу, дапамагаючы эксплуатацыйнаму і тэхнічнаму персаналу ўлічваць розныя паказчыкі прадукцыйнасці і ствараць дакладную базавую мадэль. Калі ўзнікаюць наступныя анамаліі, такія як раптоўныя скачкі трафіку, анамальныя затрымкі або анамаліі пратаколаў (напрыклад, анамальныя ARP-запыты і вялікая колькасць ICMP-пакетаў), анамаліі можна хутка выявіць шляхам параўнання з базавым узроўнем, і своечасова ўмяшацца.

3. Аўдыт адпаведнасці і выяўленне пагроз з высокімі патрабаваннямі бяспекі

Для галін з высокімі патрабаваннямі да бяспекі дадзеных і адпаведнасці патрабаванням, такіх як фінансы, дзяржаўныя справы і энергетыка, неабходна праводзіць поўны аўдыт працэсу перадачы канфідэнцыйных дадзеных або дакладна выяўляць патэнцыйныя сеткавыя пагрозы (напрыклад, APT-атакі, уцечку дадзеных і распаўсюджванне шкоднаснага кода). Функцыя захопу без страт TAP забяспечвае цэласнасць і дакладнасць дадзеных аўдыту, што можа адпавядаць патрабаванням законаў і правілаў, такіх як «Закон аб бяспецы сетак» і «Закон аб бяспецы дадзеных» для захоўвання і аўдыту дадзеных; у той жа час, пакеты дадзеных поўнага аб'ёму таксама забяспечваюць багатыя ўзоры аналізу для сістэм выяўлення пагроз (напрыклад, IDS/IPS і пясочніцы), дапамагаючы выяўляць нізкачастотныя і схаваныя пагрозы, схаваныя ў звычайным трафіку (напрыклад, шкоднасны код у зашыфраваным трафіку і атакі пранікнення, замаскіраваныя пад звычайны бізнес).

Абмежаванні: кампраміс паміж коштам і гнуткасцю разгортвання

Асноўныя абмежаванні TAP заключаюцца ў высокім кошту абсталявання і нізкай гнуткасці разгортвання. З аднаго боку, TAP — гэта спецыялізаваная апаратная прылада, і ў прыватнасці, TAP, якія падтрымліваюць высокія хуткасці (напрыклад, 40G і 100G) або аптычныя валаконныя носьбіты, значна даражэйшыя за праграмную функцыю SPAN; з іншага боку, TAP павінен быць падключаны паслядоўна ў зыходным сеткавым канале, і канал павінен быць часова перапынены падчас разгортвання (напрыклад, падключэнне і адключэнне сеткавых кабеляў або аптычных валокнаў). Для некаторых асноўных каналаў, якія не дапускаюць перапынення (напрыклад, каналы фінансавых транзакцый, якія працуюць кругласутачна), разгортванне з'яўляецца складаным, і кропкі доступу TAP звычайна неабходна рэзерваваць загадзя на этапе планавання сеткі.

SPAN: эканамічна эфектыўнае і гнуткае рашэнне для агрэгацыі дадзеных з некалькімі портамі

SPAN — гэта праграмная функцыя, убудаваная ў камутатары (некаторыя высокакласныя маршрутызатары таксама падтрымліваюць яе). Яе прынцып заключаецца ва ўнутранай канфігурацыі камутатара для рэплікацыі трафіку з аднаго або некалькіх зыходных партоў (парты крыніцы) або зыходных VLAN на прызначаны порт маніторынгу (порт прызначэння, таксама вядомы як порт люстранога адлюстравання) для прыёму і апрацоўкі прыладай аналізу. У адрозненне ад TAP, SPAN не патрабуе дадатковых апаратных прылад і можа ажыццяўляць збор дадзеных, абапіраючыся толькі на праграмную канфігурацыю камутатара.

Асноўныя характарыстыкі: арыентаваны на «эканамічную эфектыўнасць» і «гнуткасць»

1. Нулявыя дадатковыя выдаткі на абсталяванне і зручнае разгортванне

Паколькі SPAN — гэта функцыя, убудаваная ў прашыўку камутатара, няма неабходнасці набываць спецыяльныя апаратныя прылады. Збор дадзеных можна хутка ўключыць толькі шляхам налады праз CLI (інтэрфейс каманднага радка) або вэб-інтэрфейс кіравання (напрыклад, указаннем зыходнага порта, порта маніторынгу і кірунку люстранога адлюстравання (уваходны, выходны або двухнакіраваны)). Гэтая функцыя «нулявых выдаткаў на абсталяванне» робіць яе ідэальным выбарам для сцэнарыяў з абмежаваным бюджэтам або часовымі патрэбамі ў маніторынгу (напрыклад, кароткатэрміновае тэставанне прыкладанняў і часовае ліквідацыя непаладак).

2. Падтрымка агрэгацыі трафіку з некалькіх крыніц партоў / некалькіх віртуальных лакальных сетак

Асноўная перавага SPAN заключаецца ў тым, што ён можа адначасова рэплікаваць трафік з некалькіх зыходных партоў (напрыклад, карыстальніцкіх партоў некалькіх камутатараў узроўню доступу) або некалькіх віртуальных лакальных сетак (VLAN) на адзін і той жа порт маніторынгу. Напрыклад, калі персаналу па эксплуатацыі і абслугоўванні прадпрыемства неабходна кантраляваць трафік тэрміналаў супрацоўнікаў у некалькіх аддзелах (якія адпавядаюць розным VLAN), якія маюць доступ да Інтэрнэту, няма неабходнасці разгортваць асобныя прылады збору на выхадзе кожнай VLAN. Агрэгацыя трафіку гэтых VLAN на адзін порт маніторынгу праз SPAN дазваляе рэалізаваць цэнтралізаваны аналіз, што значна паляпшае гнуткасць і эфектыўнасць збору дадзеных.

3. Няма неабходнасці перарываць першапачатковае сеткавае злучэнне

У адрозненне ад серыйнага разгортвання TAP, як порт крыніцы, так і порт маніторынгу SPAN з'яўляюцца звычайнымі партамі камутатара. Падчас працэсу канфігурацыі няма неабходнасці падключаць і адключаць сеткавыя кабелі зыходнага злучэння, і гэта не ўплывае на перадачу зыходнага трафіку. Нават калі пазней спатрэбіцца наладзіць порт крыніцы або адключыць функцыю SPAN, гэта можна зрабіць толькі шляхам змены канфігурацыі праз камандны радок, што зручна ў выкарыстанні і не перашкаджае працы сеткавых службаў.

Сцэнарыі прымянення: акцэнт на «недарагім маніторынгу» і «цэнтралізаваным аналізе»

1. Маніторынг паводзін карыстальнікаў у кампусных / карпаратыўных сетках

У кампусных або карпаратыўных сетках адміністратарам часта трэба кантраляваць, ці маюць тэрміналы супрацоўнікаў незаконны доступ (напрыклад, доступ да незаконных вэб-сайтаў і загрузка пірацкага праграмнага забеспячэння), і ці ёсць вялікая колькасць P2P-загрузак або відэаструменяў, якія займаюць прапускную здольнасць. Агрэгуючы трафік карыстальніцкіх партоў камутатараў узроўню доступу да порта маніторынгу праз SPAN у спалучэнні з праграмным забеспячэннем для аналізу трафіку (напрыклад, Wireshark і NetFlow Analyzer), можна рэалізаваць маніторынг паводзін карыстальнікаў у рэжыме рэальнага часу і статыстыку выкарыстання прапускной здольнасці без дадатковых інвестыцый у абсталяванне.

2. Часовае ліквідацыя непаладак і кароткатэрміновае тэставанне прыкладанняў

Калі ў сетцы ўзнікаюць часовыя і выпадковыя збоі, або калі неабходна правесці тэставанне трафіку ў нядаўна разгорнутым дадатку (напрыклад, унутранай сістэме OA і сістэме відэаканферэнцый), SPAN можна выкарыстоўваць для хуткага стварэння асяроддзя збору даных. Напрыклад, калі аддзел паведамляе пра частыя завісанні ў відэаканферэнцыях, персанал па эксплуатацыі і тэхнічным абслугоўванні можа часова наладзіць SPAN для адлюстравання трафіку порта, на якім размешчаны сервер відэаканферэнцый, на порт маніторынгу. Аналізуючы затрымку пакетаў даных, узровень страты пакетаў і занятасць прапускной здольнасці, можна вызначыць, ці выклікана няспраўнасць недастатковай прапускной здольнасцю сеткі або стратай пакетаў даных. Пасля завяршэння ліквідацыі непаладак канфігурацыю SPAN можна адключыць, не ўплываючы на ​​наступныя аперацыі сеткі.

3. Статыстыка трафіку і просты аўдыт у малых і сярэдніх сетках

Для малых і сярэдніх сетак (напрыклад, малых прадпрыемстваў і кампусных лабараторый), калі патрабаванні да цэласнасці збору дадзеных невысокія і патрэбна толькі простая статыстыка трафіку (напрыклад, выкарыстанне прапускной здольнасці кожнага порта і доля трафіку прыкладанняў Top N) або базавы аўдыт адпаведнасці (напрыклад, запіс імёнаў даменаў вэб-сайтаў, да якіх звяртаюцца карыстальнікі), SPAN можа цалкам задаволіць патрэбы. Яго недарагі і просты ў разгортванні функцыянал робіць яго эканамічна эфектыўным выбарам для такіх сцэнарыяў.

Абмежаванні: недахопы ў цэласнасці дадзеных і ўплыў на прадукцыйнасць

1. Рызыка страты пакетаў дадзеных і няпоўнага захопу

Рэплікацыя пакетаў дадзеных праз SPAN залежыць ад рэсурсаў працэсара і кэша камутатара. Калі трафік зыходнага порта дасягае піка (напрыклад, перавышае ёмістасць кэша камутатара) або камутатар апрацоўвае вялікую колькасць задач перасылкі адначасова, працэсар аддае прыярытэт забеспячэнню перасылкі зыходнага трафіку і змяншае або прыпыняе рэплікацыю трафіку SPAN, што прыводзіць да страты пакетаў на порце маніторынгу. Акрамя таго, некаторыя камутатары маюць абмежаванні на каэфіцыент люстранога адлюстравання SPAN (напрыклад, падтрымка рэплікацыі толькі 80% трафіку) або не падтрымліваюць поўную рэплікацыю пакетаў дадзеных вялікага памеру (напрыклад, Jumbo Frames). Усё гэта прывядзе да няпоўнага збору дадзеных і паўплывае на дакладнасць наступных вынікаў аналізу.

2. Захоп рэсурсаў камутатара і патэнцыйны ўплыў на прадукцыйнасць сеткі

Нягледзячы на ​​тое, што SPAN не перарывае непасрэдна зыходнае злучэнне, калі колькасць зыходных партоў вялікая або трафік інтэнсіўны, працэс рэплікацыі пакетаў дадзеных будзе выкарыстоўваць рэсурсы працэсара і ўнутраную прапускную здольнасць камутатара. Напрыклад, калі трафік некалькіх партоў 10G адлюстроўваецца на маніторынгавы порт 10G, і агульны трафік зыходных партоў перавышае 10G, то не толькі маніторынгавы порт будзе пакутаваць ад страты пакетаў з-за недастатковай прапускной здольнасці, але і можа значна павялічыцца загрузка працэсара камутатара, што паўплывае на эфектыўнасць перасылкі пакетаў дадзеных іншых партоў і нават прывядзе да зніжэння агульнай прадукцыйнасці камутатара.

3. Залежнасць функцыі ад мадэлі камутатара і абмежаваная сумяшчальнасць

Узровень падтрымкі функцыі SPAN значна адрозніваецца ў камутатараў розных вытворцаў і мадэляў. Напрыклад, камутатары нізкага класа могуць падтрымліваць толькі адзін порт маніторынгу і не падтрымліваць люстраванне VLAN або поўнадуплекснае люстраванне трафіку; функцыя SPAN некаторых камутатараў мае абмежаванне "аднабаковага люстравання" (г.зн. люстраванне толькі ўваходнага або выходнага трафіку і не можа адначасова люстраваць двухбаковы трафік); акрамя таго, SPAN паміж камутатарамі (напрыклад, люстраванне трафіку порта камутатара A на порт маніторынгу камутатара B) павінен абапірацца на пэўныя пратаколы (напрыклад, RSPAN ад Cisco і ERSPAN ад Huawei), якія маюць складаную канфігурацыю і нізкую сумяшчальнасць, і іх цяжка адаптаваць да асяроддзя змешаных сетак некалькіх вытворцаў.

Параўнанне асноўных адрозненняў і прапановы па выбары паміж TAP і SPAN

Параўнанне асноўных адрозненняў

Каб больш выразна паказаць адрозненні паміж імі, мы параўнаем іх па такіх параметрах, як тэхнічныя характарыстыкі, уплыў на прадукцыйнасць, кошт і прыдатныя сцэнарыі:

Прапановы па выбары: «Дакладнае супастаўленне» на аснове патрабаванняў сцэнарыя

1. Сцэнарыі, дзе TAP з'яўляецца пераважным

○Маніторынг асноўных бізнес-сувязяў (напрыклад, асноўных камутатараў цэнтра апрацоўкі дадзеных і выходных маршрутызатараў), які патрабуе забеспячэння цэласнасці збору дадзеных;

○Вызначэнне першапрычыны збою ў сетцы (напрыклад, паўторная перадача TCP і затрымка прыкладанняў), што патрабуе дакладнага аналізу на аснове поўных аб'ёмаў пакетаў дадзеных;

○Галіны з высокімі патрабаваннямі бяспекі і адпаведнасці (фінансы, дзяржаўныя справы, энергетыка), якія патрабуюць забеспячэння цэласнасці і непадробнасці аўдытарскіх дадзеных;

○Высокахуткасныя сеткавыя асяроддзі (10G і вышэй) або сцэнарыі з вялікімі пакетамі дадзеных, якія патрабуюць пазбягання страты пакетаў у SPAN.

2. Сцэнарыі, дзе пераважней выкарыстоўваць SPAN

○Малыя і сярэднія сеткі з абмежаваным бюджэтам або сцэнарыі, якія патрабуюць толькі простай статыстыкі трафіку (напрыклад, занятасць прапускной здольнасці і найбольш папулярныя праграмы);

○Часовае ліквідацыя непаладак або кароткатэрміновае тэставанне прыкладанняў (напрыклад, тэставанне запуску новай сістэмы), якое патрабуе хуткага разгортвання без доўгатэрміновага выкарыстання рэсурсаў;

○Цэнтралізаваны маніторынг шматкрынічных партоў/мультыVLAN (напрыклад, маніторынг паводзін карыстальнікаў кампуснай сеткі), які патрабуе гнуткай агрэгацыі трафіку;

○Маніторынг неасноўных каналаў (напрыклад, карыстальніцкіх партоў камутатараў узроўню доступу) з нізкімі патрабаваннямі да цэласнасці збору дадзеных.

3. Гібрыдныя сцэнарыі выкарыстання

У некаторых складаных сеткавых асяроддзях можна выкарыстоўваць гібрыдны метад разгортвання "TAP + SPAN". Напрыклад, разгарнуць TAP у асноўных каналах цэнтра апрацоўкі дадзеных, каб забяспечыць поўны збор дадзеных для ліквідацыі непаладак і аўдыту бяспекі; наладзіць SPAN у камутатарах узроўню доступу або агрэгацыі для агрэгацыі разрозненага карыстальніцкага трафіку для аналізу паводзін і статыстыкі прапускной здольнасці. Гэта не толькі задавальняе патрэбы дакладнага маніторынгу ключавых каналаў, але і зніжае агульны кошт разгортвання.

Такім чынам, як дзве асноўныя тэхналогіі для збору сеткавых дадзеных, TAP і SPAN не маюць абсалютных «пераваг або недахопаў», а толькі «адрозненні ў адаптацыі да сцэнарыяў». TAP сканцэнтравана на «захопе без страт» і «стабільнай надзейнасці» і падыходзіць для ключавых сцэнарыяў з высокімі патрабаваннямі да цэласнасці дадзеных і стабільнасці сеткі, але мае высокі кошт і нізкую гнуткасць разгортвання; SPAN мае перавагі «нулявой кошту» і «гнуткасці і зручнасці» і падыходзіць для недарагіх, часовых або неасноўных сцэнарыяў, але мае рызыкі страты дадзеных і ўплыву на прадукцыйнасць.

У рэальнай эксплуатацыі і абслугоўванні сеткі сеткавыя інжынеры павінны выбраць найбольш прыдатнае тэхнічнае рашэнне, зыходзячы з уласных бізнес-патрэб (напрыклад, ці з'яўляецца гэта асноўным каналам сувязі і ці патрабуецца дакладны аналіз), бюджэтных выдаткаў, маштабу сеткі і патрабаванняў да адпаведнасці. Адначасова з паляпшэннем хуткасці перадачы дадзеных у сетцы (напрыклад, 25G, 100G і 400G) і павышэннем патрабаванняў да бяспекі сеткі, тэхналогія TAP таксама пастаянна развіваецца (напрыклад, падтрымлівае інтэлектуальнае падзеленне трафіку і шматпортную агрэгацыю), а вытворцы камутатараў таксама пастаянна аптымізуюць функцыю SPAN (напрыклад, паляпшаюць ёмістасць кэша і падтрымліваюць люстраное адлюстраванне без страт). У будучыні гэтыя дзве тэхналогіі будуць і надалей адыгрываць сваю ролю ў адпаведных галінах і забяспечваць больш эфектыўную і дакладную падтрымку дадзеных для кіравання сеткай.