TAP және SPAN желілік трафик деректерін жинау әдістерін терең талдау және қолданбаларды салыстыру

Желіні пайдалану және техникалық қызмет көрсету, ақауларды жою және қауіпсіздікті талдау салаларында желілік деректер ағындарын дәл және тиімді алу әртүрлі тапсырмаларды орындаудың негізі болып табылады. Желілік деректерді жинаудың екі негізгі технологиясы ретінде TAP (Test Access Point) және SPAN (Switched Port Analyzer, сондай-ақ әдетте портты көрсету деп аталады) ерекше техникалық сипаттамаларына байланысты әртүрлі сценарийлерде маңызды рөл атқарады. Олардың мүмкіндіктерін, артықшылықтарын, шектеулерін және қолданылатын сценарийлерін терең түсіну желі инженерлері үшін негізделген деректерді жинау жоспарларын құрастыру және желіні басқару тиімділігін арттыру үшін өте маңызды.

TAP: жан-жақты және көрінетін «шығынсыз» деректерді алу шешімі

TAP – физикалық немесе деректер байланысы деңгейінде жұмыс істейтін аппараттық құрылғы. Оның негізгі функциясы - бастапқы желілік трафикке кедергі жасамай, желілік деректер ағындарын 100% репликациялау және түсіру. Желілік байланыста (мысалы, коммутатор мен сервер немесе маршрутизатор мен коммутатор арасында) тізбектей қосылу арқылы ол талдау құрылғыларымен (мысалы, желі анализаторлары және шабуылды анықтау жүйелері - IDS сияқты) "оптикалық бөлу" немесе "трафикті бөлу" әдістерін пайдаланып, бақылау портына сілтеме арқылы өтетін барлық жоғары және төмен ағынды деректер пакеттерін қайталайды.

Негізгі мүмкіндіктер: «Тұтастық» және «Тұрақтылық» негізінде

1. Жоғалту қаупі жоқ 100% деректер пакетін түсіру

Бұл БГБ-ның ең маңызды артықшылығы. TAP физикалық деңгейде жұмыс істейтіндіктен және сілтемедегі электрлік немесе оптикалық сигналдарды тікелей қайталайтындықтан, ол деректер пакетін қайта жіберу немесе репликациялау үшін коммутатордың CPU ресурстарына сүйенбейді. Сондықтан, желі трафигі ең жоғары деңгейде немесе үлкен өлшемді деректер пакеттерін (мысалы, үлкен MTU мәні бар Jumbo жақтаулары) қамтитынына қарамастан, барлық деректер пакеттерін коммутатор ресурстарының жеткіліксіздігінен туындаған пакеттік жоғалтусыз толығымен түсіруге болады. Бұл «шығынсыз түсіру» мүмкіндігі оны нақты деректерді қолдауды қажет ететін сценарийлер үшін таңдаулы шешімге айналдырады (мысалы, қатенің түпкі себебі орны және желі өнімділігінің бастапқы талдауы).

2. Түпнұсқа желі өнімділігіне әсер етпейді

TAP жұмыс режимі бастапқы желілік байланысқа ешқандай кедергі келтірмейтініне кепілдік береді. Ол мазмұнды, бастапқы/бағытталған мекенжайларды немесе деректер пакеттерінің уақытын өзгертпейді және коммутатордың порт өткізу қабілеттілігін, кэшін немесе өңдеу ресурстарын пайдаланбайды. TAP құрылғысының өзі істен шықса да (мысалы, электр қуатының үзілуі немесе аппараттық құралдың зақымдануы), бұл тек бақылау портынан деректер шығысын қамтамасыз етпейді, ал бастапқы желілік байланыс қалыпты болып қалады, бұл деректерді жинау құрылғыларының істен шығуынан туындаған желінің үзілу қаупін болдырмайды.

3. Толық дуплексті сілтемелерді және күрделі желілік орталарды қолдау

Заманауи желілер негізінен толық дуплексті байланыс режимін қабылдайды (яғни, жоғары және төменгі ағынды деректер бір уақытта берілуі мүмкін). TAP толық дуплексті сілтеменің екі бағыты бойынша деректер ағындарын түсіріп, оларды тәуелсіз бақылау порттары арқылы шығара алады, бұл талдау құрылғысының екі жақты байланыс процесін толығымен қалпына келтіруін қамтамасыз етеді. Сонымен қатар, TAP әртүрлі желі жылдамдығын (мысалы, 100M, 1G, 10G, 40G және тіпті 100G) және медиа түрлерін (бұралған жұп, бір режимді талшық, көп режимді талшық) қолдайды және деректер орталықтары, негізгі магистральдық желілер және кампус желілері сияқты әртүрлі күрделіліктегі желілік орталарға бейімделуі мүмкін.

Қолдану сценарийлері: «Дәл талдауға» және «Негізгі сілтемелерді бақылауға» назар аудару

1. Желі ақаулықтарын жою және негізгі себептің орны

Желіде пакеттің жоғалуы, кідіріс, діріл немесе қолданбаның кешігуі сияқты мәселелер туындағанда, толық деректер пакеті ағыны арқылы қате орын алған кездегі сценарийді қалпына келтіру қажет. Мысалы, егер кәсіпорынның негізгі бизнес жүйелерінде (ERP және CRM сияқты) үзік-үзік қатынау күту үзілістері болса, операциялық және техникалық қызмет көрсету персоналы барлық айналмалы деректер пакеттерін түсіру үшін сервер мен негізгі қосқыш арасында TAP қолдана алады, TCP қайта жіберу, пакет жоғалуы, DNS ажыратымдылығының кешігуі сияқты мәселелердің бар-жоғын талдай алады, немесе қателердің пайда болу себебін тез табу үшін қолданбаның қате қабаты, (мысалы, сілтеме сапасының ақаулары, сервердің баяу жауабы немесе аралық бағдарламалық құрал конфигурациясының қателері).

2. Желінің өнімділігінің бастапқы деңгейін орнату және аномалияларды бақылау

Желінің жұмысында және техникалық қызмет көрсетуде қалыпты іскери жүктемелер кезінде өнімділіктің базалық көрсеткішін орнату (мысалы, өткізу қабілеттілігінің орташа пайдалануы, деректер пакетін қайта жіберудің кешігуі және TCP қосылымын орнатудың сәтті жылдамдығы) ауытқуларды бақылау үшін негіз болып табылады. TAP негізгі сілтемелердің толық көлемдегі деректерін (мысалы, негізгі қосқыштар арасындағы және шығыс маршрутизаторлары мен Интернет провайдерлері арасындағы) ұзақ уақыт бойы тұрақты түрде түсіріп, пайдалану және техникалық қызмет көрсету персоналына әртүрлі өнімділік көрсеткіштерін санауға және дәл бастапқы үлгіні құруға көмектеседі. Трафиктің кенеттен көтерілуі, қалыптан тыс кешігулер немесе хаттамалық ауытқулар (мысалы, қалыпты емес ARP сұраулары және ICMP пакеттерінің үлкен саны) сияқты кейінгі ауытқулар орын алған кезде, аномалияларды бастапқы деңгеймен салыстыру арқылы тез анықтауға болады және уақтылы араласуды жүзеге асыруға болады.

3. Жоғары қауіпсіздік талаптарымен сәйкестік аудиті және қатерлерді анықтау

Қаржы, мемлекеттік істер және энергетика сияқты деректер қауіпсіздігі мен сәйкестікке жоғары талаптары бар салалар үшін құпия деректерді беру үдерісіне толық процесс аудитін жүргізу немесе ықтимал желілік қауіптерді (APT шабуылдары, деректердің ағуы және зиянды кодтың таралуы сияқты) дәл анықтау қажет. TAP-тың жоғалтпай түсіру мүмкіндігі деректерді сақтау және тексеру үшін «Желілік қауіпсіздік туралы заң» және «Деректерді қорғау туралы заң» сияқты заңдар мен нормативтік актілердің талаптарына жауап бере алатын аудит деректерінің тұтастығы мен дәлдігін қамтамасыз етеді; сонымен қатар толық көлемді деректер пакеттері қалыпты трафикте жасырылған төмен жиілікті және жасырын қауіптерді (мысалы, шифрланған трафиктегі зиянды код және кәдімгі бизнес ретінде жасырылған ену шабуылдары) анықтауға көмектесетін қауіпті анықтау жүйелеріне (мысалы, IDS/IPS және құмсалғыш құрылғылары) талдаудың бай үлгілерін береді.

Шектеулер: құны мен орналастыру икемділігі арасындағы айырбас

TAP негізгі шектеулері оның жоғары аппараттық құнында және орналастырудың төмен икемділігінде жатыр. Бір жағынан, TAP арнайы аппараттық құрал болып табылады және атап айтқанда, жоғары жылдамдықтарды (мысалы, 40G және 100G) немесе оптикалық талшықты тасымалдағыштарды қолдайтын TAPs бағдарламалық құралға негізделген SPAN функциясынан әлдеқайда қымбатырақ; екінші жағынан, TAP бастапқы желілік сілтемеде тізбектей қосылуы керек және оны орналастыру кезінде сілтеме уақытша үзілуі керек (мысалы, желілік кабельдерді немесе оптикалық талшықтарды қосу және ажырату). Үзіліске жол бермейтін кейбір негізгі сілтемелер үшін (мысалы, 24/7 жұмыс істейтін қаржылық транзакция сілтемелері) орналастыру қиын және TAP кіру нүктелері әдетте желіні жоспарлау кезеңінде алдын ала резервтелуі керек.

SPAN: Үнемді және икемді «Көп портты» деректерді агрегациялау шешімі

SPAN — қосқыштарға орнатылған бағдарламалық құрал функциясы (кейбір жоғары деңгейлі маршрутизаторлар да оны қолдайды). Оның принципі талдау құрылғысы арқылы қабылдау және өңдеу үшін бір немесе бірнеше бастапқы порттардан (Көз порттары) немесе бастапқы VLAN желілерінен тағайындалған бақылау портына (Тағайындалған порт, сондай-ақ айна порты ретінде белгілі) трафикті көшіру үшін коммутаторды ішкі конфигурациялау болып табылады. TAP-тан айырмашылығы, SPAN қосымша аппараттық құрылғыларды қажет етпейді және деректерді жинауды тек коммутатордың бағдарламалық конфигурациясына сүйену арқылы жүзеге асыра алады.

Негізгі мүмкіндіктер: «Шығындық тиімділік» және «Икемділік» негізінде

1. Нөлдік қосымша жабдық құны және ыңғайлы орналастыру

SPAN қосқыш микробағдарламасына енгізілген функция болғандықтан, арнайы аппараттық құрылғыларды сатып алудың қажеті жоқ. Деректер жинауды тек CLI (пәрмен жолы интерфейсі) немесе веб-басқару интерфейсі арқылы конфигурациялау арқылы жылдам қосуға болады (мысалы, бастапқы портты, бақылау портын және көшіру бағытын (кіріс, шығыс немесе екі бағытты) көрсету). Бұл «аппараттық құралдың нөлдік құны» мүмкіндігі оны шектеулі бюджеттері бар сценарийлер немесе уақытша бақылау қажеттіліктері (мысалы, қолданбаны қысқа мерзімді тестілеу және уақытша ақаулықтарды жою) үшін тамаша таңдау жасайды.

2. Көп көзді портты / көп VLAN трафикті біріктіруді қолдау

SPAN-ның басты артықшылығы - ол бірнеше бастапқы порттардан (мысалы, бірнеше қатынау қабатының коммутаторларының пайдаланушы порттары) немесе бірнеше VLAN-дардан бір уақытта бір бақылау портына трафикті көшіре алады. Мысалы, егер кәсіпорынның пайдалану және техникалық қызмет көрсету персоналы Интернетке кіретін бірнеше бөлімдегі (әртүрлі VLAN-дарға сәйкес) қызметкерлер терминалдарының трафигін бақылауы қажет болса, әрбір VLAN-ның шығысында бөлек жинау құрылғыларын орналастырудың қажеті жоқ. Осы VLAN-дардың трафигін SPAN арқылы бір бақылау портына біріктіру арқылы орталықтандырылған талдауды жүзеге асыруға болады, бұл деректерді жинаудың икемділігі мен тиімділігін айтарлықтай жақсартады.

3. Түпнұсқа желі сілтемесін үзудің қажеті жоқ

TAP сериясын орналастырудан айырмашылығы, бастапқы порты да, SPAN бақылау порты да коммутатордың қарапайым порттары болып табылады. Конфигурациялау процесінде бастапқы сілтеменің желілік кабельдерін қосудың және ажыратудың қажеті жоқ және бастапқы трафиктің берілуіне әсер етпейді. Тіпті бастапқы портты реттеу немесе SPAN функциясын кейінірек өшіру қажет болса да, оны басқаруға ыңғайлы және желі қызметтеріне кедергі келтірмейтін пәрмен жолы арқылы конфигурацияны өзгерту арқылы ғана жасауға болады.

Қолдану сценарийлері: «Төмен шығындарды бақылау» және «Орталықтандырылған талдау» бағыттарына назар аудару

1. Кампус желілерінде/Кәсіпорын желілерінде пайдаланушы мінез-құлқын бақылау

Кампус желілерінде немесе кәсіпорын желілерінде әкімшілер жиі қызметкерлер терминалдарының заңсыз кіру мүмкіндігін (мысалы, заңсыз веб-сайттарға кіру және қарақшылық бағдарламалық құралды жүктеп алу) және өткізу қабілеттілігін алып жатқан P2P жүктеулерінің немесе бейне ағындарының көп саны бар-жоғын бақылауы керек. Трафикті талдау бағдарламалық құралымен (Wireshark және NetFlow Analyzer сияқты) біріктірілген SPAN арқылы бақылау портына кіру деңгейі коммутаторларының пайдаланушы порттарының трафигін жинақтау арқылы нақты уақыт режимінде пайдаланушы әрекетін бақылау және өткізу қабілеттілігінің жұмысы статистикасын қосымша аппараттық инвестициясыз жүзеге асыруға болады.

2. Уақытша ақаулықтарды жою және қолданбаларды қысқа мерзімді тестілеу

Желіде уақытша және кездейсоқ ақаулар орын алған кезде немесе жаңадан орналастырылған қолданбада (мысалы, ішкі OA жүйесі және бейнеконференция жүйесі) трафикті тестілеуді жүргізу қажет болған кезде, SPAN деректерді жинау ортасын тез құру үшін пайдаланылуы мүмкін. Мысалы, егер бөлім бейнеконференцияларда жиі қатып қалулар туралы хабарласа, пайдалану және техникалық қызмет көрсету қызметкерлері бейнеконференция сервері орналасқан порттың трафигін бақылау портына шағылыстыру үшін SPAN-ды уақытша конфигурациялай алады. Деректер пакетінің кідірісін, пакеттердің жоғалу жылдамдығын және өткізу қабілеттілігін талдау арқылы ақаулықтың желі өткізу қабілеттілігінің жеткіліксіздігінен немесе деректер пакетінің жоғалуынан туындағанын анықтауға болады. Ақаулықтарды жою аяқталғаннан кейін, SPAN конфигурациясын кейінгі желілік операцияларға әсер етпестен өшіруге болады.

3. Шағын және орта желілердегі трафик статистикасы және қарапайым аудит

Шағын және орта желілер үшін (мысалы, шағын кәсіпорындар мен кампус зертханалары), егер деректерді жинау тұтастығына қойылатын талап жоғары болмаса және тек қарапайым трафик статистикасы (мысалы, әрбір порттың өткізу қабілеттілігін пайдалануы және Top N қосымшаларының трафик үлесі) немесе негізгі сәйкестік аудиті (мысалы, пайдаланушылар кіретін веб-сайт домен атауларын жазу) қажет болса, SPAN қажеттіліктерді толығымен қанағаттандыра алады. Оның арзан және оңай орналастырылатын мүмкіндіктері оны мұндай сценарийлер үшін тиімді таңдау етеді.

Шектеулер: деректер тұтастығындағы кемшіліктер мен өнімділікке әсер ету

1. Деректер пакетін жоғалту және толық түсірмеу қаупі

Деректер пакеттерін SPAN арқылы репликациялау коммутатордың CPU және кэш ресурстарына сүйенеді. Бастапқы порттың трафигі ең жоғары деңгейде болғанда (мысалы, коммутатордың кэш сыйымдылығынан асып кету) немесе коммутатор бір уақытта бағыттау тапсырмаларының көп санын өңдеп жатқанда, орталық процессор бастапқы трафикті қайта жіберуді қамтамасыз етуге басымдылық береді және SPAN трафигінің қайталануын азайтады немесе тоқтатады, нәтижесінде бақылау портында пакет жоғалады. Бұған қоса, кейбір қосқыштарда SPAN шағылыстыру қатынасында шектеулер бар (мысалы, трафиктің 80% репликациясын ғана қолдау) немесе үлкен өлшемді деректер пакеттерінің толық репликациясын қолдамайды (мысалы, Jumbo Frames). Мұның бәрі жинақталған мәліметтердің толық болмауына әкеледі және кейінгі талдау нәтижелерінің дәлдігіне әсер етеді.

2. Ауыстырушы ресурстар және желі өнімділігіне ықтимал әсер ету

SPAN бастапқы сілтемені тікелей үзбесе де, бастапқы порттардың саны көп немесе трафик көп болғанда, деректер пакетін репликациялау процесі орталық процессор ресурстарын және коммутатордың ішкі өткізу қабілеттілігін алады. Мысалы, егер бірнеше 10G порттарының трафигі 10G бақылау портына шағылыстырылса, бастапқы порттардың жалпы трафигі 10G-ден асатын болса, бақылау порты өткізу қабілеттілігінің жеткіліксіздігінен пакеттік жоғалтудан зардап шегеді, сонымен қатар коммутатордың CPU пайдалануы да айтарлықтай артуы мүмкін, осылайша басқа порттардың деректер пакетін қайта жіберу тиімділігіне және тіпті коммутатордың жалпы өнімділігіне әсер етеді.

3. Функцияның коммутатор үлгісіне тәуелділігі және шектеулі үйлесімділік

SPAN функциясын қолдау деңгейі әртүрлі өндірушілер мен модельдердің коммутаторлары арасында айтарлықтай өзгереді. Мысалы, төменгі деңгейлі коммутаторлар тек бір бақылау портын ғана қолдауы мүмкін және VLAN айнасын немесе толық дуплексті трафик айнасын қолдамайды; кейбір коммутаторлардың SPAN функциясы «бір жақты айна» шектеуіне ие (яғни, тек кіріс немесе шығыс трафикті айнаға айналдырады және бір уақытта екі бағытты трафикті айнаға айналдыра алмайды); сонымен қатар, айқас коммутатор SPAN (мысалы, А коммутаторының порт трафигін B коммутаторының бақылау портына айнаға айналдыру) күрделі конфигурациясы мен төмен үйлесімділігі бар және бірнеше өндірушілердің аралас желісі ортасына бейімделуі қиын арнайы хаттамаларға (мысалы, Cisco RSPAN және Huawei ERSPAN) сүйенуі керек.

TAP және SPAN арасындағы негізгі айырмашылықтарды салыстыру және таңдау ұсыныстары

Негізгі айырмашылықты салыстыру

Екеуінің арасындағы айырмашылықтарды нақтырақ көрсету үшін біз оларды техникалық сипаттамалар, өнімділікке әсер ету, құны және қолданылатын сценарийлер өлшемдерінен салыстырамыз:

Таңдау бойынша ұсыныстар: Сценарий талаптары негізінде «дәл сәйкестік».

1. TAP қолайлы сценарийлер

○Деректерді түсірудің тұтастығын қамтамасыз етуді талап ететін негізгі іскерлік байланыстарды (мысалы, деректер орталығының негізгі қосқыштары және шығыс маршрутизаторының сілтемелері) бақылау;

○Желі ақауларының түпкі себебінің орналасқан жері (мысалы, TCP қайта жіберу және қолданбаның кешігуі), толық көлемді деректер пакеттеріне негізделген дәл талдауды қажет етеді;

○Қауіпсіздік пен сәйкестік талаптары жоғары салалар (қаржы, мемлекеттік істер, энергетика), аудит деректерінің тұтастығын сақтауды және бұрмаланбауды талап етеді;

○Жоғары жылдамдықты желілік орталар (10G және одан жоғары) немесе SPAN ішінде пакеттердің жоғалуын болдырмауды қажет ететін үлкен өлшемді деректер пакеттері бар сценарийлер.

2. SPAN артықшылық беретін сценарийлер

○Шектеулі бюджеттері бар шағын және орта өлшемді желілер немесе қарапайым трафик статистикасын қажет ететін сценарийлер (мысалы, өткізу қабілеттілігі мен ең танымал қолданбалар);

○Уақытша ақаулықтарды жою немесе қолданбаны қысқа мерзімді тестілеу (жаңа жүйені іске қосу сынағы сияқты) ұзақ мерзімді ресурстарды пайдаланусыз жылдам орналастыруды қажет етеді;

○икемді трафикті біріктіруді талап ететін көп көзді порттардың/көп VLAN желілерінің орталықтандырылған мониторингі (мысалы, кампус желісінің пайдаланушы әрекетін бақылау);

○Деректерді түсіру тұтастығына төмен талаптары бар негізгі емес сілтемелерді (мысалы, рұқсат деңгейі қосқыштарының пайдаланушы порттары) бақылау.

3. Гибридті пайдалану сценарийлері

Кейбір күрделі желілік орталарда «TAP + SPAN» гибридті орналастыру әдісі де қабылдануы мүмкін. Мысалы, ақауларды жою және қауіпсіздік аудиті үшін деректердің толық көлемін алуды қамтамасыз ету үшін деректер орталығының негізгі сілтемелерінде TAP орнатыңыз; мінез-құлықты талдау және өткізу қабілеттілігі статистикасы үшін шашыраңқы пайдаланушы трафигін біріктіру үшін қатынас деңгейінде немесе біріктіру қабатында SPAN параметрін конфигурациялаңыз. Бұл негізгі сілтемелерді дәл бақылау қажеттіліктерін қанағаттандырып қана қоймайды, сонымен қатар жалпы орналастыру құнын азайтады.

Сонымен, желілік деректерді жинаудың екі негізгі технологиясы ретінде TAP және SPAN абсолютті «артықшылықтары немесе кемшіліктері» жоқ, тек «сценарийлерге бейімделудегі айырмашылықтар» бар. TAP «шығынсыз түсіру» және «тұрақты сенімділікке» негізделген және деректер тұтастығы мен желінің тұрақтылығына жоғары талаптар қойылатын негізгі сценарийлерге жарамды, бірақ жоғары құны және төмен орналастыру икемділігі бар; SPAN «нөлдік құны» және «икемділігі мен ыңғайлылығы» артықшылықтарына ие және арзан, уақытша немесе негізгі емес сценарийлерге жарамды, бірақ деректердің жоғалуы мен өнімділікке әсер ету қаупі бар.

Нақты желіні пайдалану және техникалық қызмет көрсету кезінде желі инженерлері өздерінің бизнес қажеттіліктеріне (мысалы, бұл негізгі сілтеме болып табыла ма және нақты талдау қажет пе), бюджеттік шығындарға, желі масштабына және сәйкестік талаптарына негізделген ең қолайлы техникалық шешімді таңдауы керек. Сонымен қатар, желі жылдамдығының жақсаруымен (мысалы, 25G, 100G және 400G) және желілік қауіпсіздік талаптарының жаңартылуымен TAP технологиясы да үнемі дамып келеді (мысалы, трафикті интеллектуалды бөлуді және көп портты біріктіруді қолдау) және коммутатор өндірушілері сонымен қатар SPAN функциясын (мысалы, сыйымдылықты жоғалту және импульссыз жоғалтуды қолдау) оңтайландыруда. Болашақта екі технология өз салаларында өз рөлдерін одан әрі ойнайды және желіні басқару үшін тиімдірек және дәл деректерді қолдауды қамтамасыз етеді.