TAP және SPAN желілік трафик деректерін жинау әдістерін терең талдау және қолдануды салыстыру

Желіні пайдалану және техникалық қызмет көрсету, ақаулықтарды жою және қауіпсіздікті талдау салаларында желілік деректер ағындарын дәл және тиімді түрде алу әртүрлі тапсырмаларды орындаудың негізі болып табылады. Екі негізгі желілік деректерді алу технологиясы ретінде TAP (Test Access Point) және SPAN (Switched Port Analyzer, сондай-ақ портты айнаға айналдыру деп аталады) әртүрлі техникалық сипаттамаларына байланысты әртүрлі сценарийлерде маңызды рөл атқарады. Олардың ерекшеліктерін, артықшылықтарын, шектеулерін және қолданылатын сценарийлерін терең түсіну желі инженерлері үшін деректерді жинаудың ақылға қонымды жоспарларын құру және желіні басқару тиімділігін арттыру үшін өте маңызды.

TAP: Кешенді және көрінетін «шығынсыз» деректерді жинау шешімі

TAP - физикалық немесе деректер байланысы деңгейінде жұмыс істейтін аппараттық құрылғы. Оның негізгі функциясы - бастапқы желілік трафикке кедергі келтірмей, желілік деректер ағындарын 100% репликациялауға және түсіруге қол жеткізу. Желілік байланыста тізбектей жалғану арқылы (мысалы, коммутатор мен сервер немесе маршрутизатор мен коммутатор арасында), ол «оптикалық бөлу» немесе «трафикті бөлу» әдістерін қолдана отырып, байланыс арқылы мониторинг портына өтетін барлық жоғары және төмен ағынды деректер пакеттерін кейіннен талдау құрылғыларымен (мысалы, желілік анализаторлар және кіруді анықтау жүйелері - IDS) өңдеу үшін көшіреді.

Негізгі ерекшеліктері: «Тұтастық» және «Тұрақтылыққа» негізделген

1. Жоғалту қаупі жоқ 100% деректер пакетін алу

Бұл TAP-тың ең көрнекті артықшылығы. TAP физикалық деңгейде жұмыс істейтіндіктен және байланыстағы электрлік немесе оптикалық сигналдарды тікелей көшіретіндіктен, деректер пакеттерін жіберу немесе репликациялау үшін коммутатордың CPU ресурстарына сүйенбейді. Сондықтан, желілік трафик ең жоғары деңгейде ме немесе үлкен өлшемді деректер пакеттерін (мысалы, үлкен MTU мәні бар Jumbo Frames) қамтитынына қарамастан, барлық деректер пакеттерін коммутатор ресурстарының жеткіліксіздігінен туындаған пакеттердің жоғалуынсыз толығымен түсіруге болады. Бұл «шығынсыз түсіру» мүмкіндігі оны дәл деректерді қолдауды қажет ететін сценарийлер үшін (мысалы, ақаудың түпкі себебін табу және желі өнімділігінің базалық талдауы) артықшылықты шешім етеді.

2. Бастапқы желі өнімділігіне әсер етпейді

TAP жұмыс режимі бастапқы желілік байланысқа ешқандай кедергі келтірмейтініне кепілдік береді. Ол мазмұнды, бастапқы/бағытталған мекенжайларды немесе деректер пакеттерінің уақытын өзгертпейді және коммутатордың порт өткізу қабілеттілігін, кэшін немесе өңдеу ресурстарын пайдаланбайды. TAP құрылғысының өзі істен шықса да (мысалы, электр қуатының үзілуі немесе аппараттық құралдың зақымдануы), бұл тек бақылау портынан деректер шығысын қамтамасыз етпейді, ал бастапқы желілік байланыс қалыпты болып қалады, бұл деректерді жинау құрылғыларының істен шығуынан туындаған желінің үзілу қаупін болдырмайды.

3. Толық дуплексті сілтемелер мен күрделі желілік орталарды қолдау

Қазіргі заманғы желілер көбінесе толық дуплексті байланыс режимін қабылдайды (яғни, жоғары және төмен ағынды деректер бір уақытта берілуі мүмкін). TAP толық дуплексті байланыстың екі бағытындағы деректер ағындарын ұстап, оларды тәуелсіз бақылау порттары арқылы шығара алады, бұл талдау құрылғысының екі жақты байланыс процесін толығымен қалпына келтіре алатынын қамтамасыз етеді. Сонымен қатар, TAP әртүрлі желілік жылдамдықтарды (мысалы, 100M, 1G, 10G, 40G және тіпті 100G) және медиа түрлерін (бұралған жұп, бір режимді талшық, көп режимді талшық) қолдайды және деректер орталықтары, негізгі магистральдық желілер және кампус желілері сияқты әртүрлі күрделіліктегі желілік орталарға бейімделуі мүмкін.

Қолдану сценарийлері: «Дәл талдауға» және «Негізгі байланысты бақылауға» назар аудару

1. Желідегі ақаулықтарды жою және түпкі себепті анықтау

Желіде пакеттердің жоғалуы, кідіріс, діріл немесе қолданбаның кешігуі сияқты мәселелер туындаған кезде, ақаулық толық деректер пакеті ағыны арқылы орын алған кездегі сценарийді қалпына келтіру қажет. Мысалы, егер кәсіпорынның негізгі бизнес жүйелерінде (мысалы, ERP және CRM) үзіліссіз кіру уақытша тоқтаулары болса, пайдалану және техникалық қызмет көрсету қызметкерлері барлық екі жақты деректер пакеттерін алу үшін сервер мен негізгі коммутатор арасында TAP орналастыра алады, TCP қайта жіберу, пакеттердің жоғалуы, DNS шешудің кідірісі немесе қолданбалы деңгей хаттамасының қателері сияқты мәселелердің бар-жоғын талдай алады және осылайша ақаулықтың түпкі себебін тез таба алады (мысалы, байланыс сапасының мәселелері, сервердің баяу жауабы немесе аралық бағдарламалық жасақтама конфигурациясының қателері).

2. Желі өнімділігінің базалық деңгейін орнату және аномалияларды бақылау

Желіні пайдалану және техникалық қызмет көрсету кезінде қалыпты бизнес жүктемелері кезінде (мысалы, орташа өткізу қабілеттілігін пайдалану, деректер пакетін бағыттаудың кідірісі және TCP қосылымын орнатудың сәттілік деңгейі) өнімділік базалық деңгейін белгілеу ауытқуларды бақылаудың негізі болып табылады. TAP негізгі байланыстардың (мысалы, негізгі коммутаторлар арасындағы және шығыс маршрутизаторлары мен интернет-провайдерлер арасындағы) толық көлемді деректерін ұзақ уақыт бойы тұрақты түрде жинай алады, бұл пайдалану және техникалық қызмет көрсету персоналына әртүрлі өнімділік көрсеткіштерін санауға және дәл базалық модельді құруға көмектеседі. Кенеттен трафиктің күрт өсуі, қалыптан тыс кідірістер немесе хаттама ауытқулары (мысалы, қалыптан тыс ARP сұраулары және көптеген ICMP пакеттері) сияқты кейінгі ауытқулар орын алған кезде, ауытқуларды базалық деңгеймен салыстыру арқылы тез анықтауға болады және уақтылы араласу жүргізілуі мүмкін.

3. Жоғары қауіпсіздік талаптарымен сәйкестік аудиті және қауіпті анықтау

Қаржы, үкіметтік істер және энергетика сияқты деректер қауіпсіздігі мен сәйкестігіне жоғары талаптар қоятын салалар үшін құпия деректерді беру процесінің толық процесін аудиттеу немесе желілік қауіптерді (мысалы, APT шабуылдары, деректердің ағып кетуі және зиянды кодтың таралуы) дәл анықтау қажет. TAP-тың шығынсыз түсіру мүмкіндігі аудит деректерінің тұтастығы мен дәлдігін қамтамасыз етеді, бұл деректерді сақтау және аудиттеу үшін «Желілік қауіпсіздік туралы заң» және «Деректер қауіпсіздігі туралы заң» сияқты заңдар мен ережелердің талаптарына сай келеді; сонымен бірге, толық көлемді деректер пакеттері қауіптерді анықтау жүйелері (мысалы, IDS/IPS және құм жәшігі құрылғылары) үшін бай талдау үлгілерін ұсынады, бұл қалыпты трафикте жасырылған төмен жиілікті және жасырын қауіптерді (мысалы, шифрланған трафиктегі зиянды код және қалыпты бизнес ретінде жасырылған ену шабуылдары) анықтауға көмектеседі.

Шектеулер: Құны мен орналастыру икемділігі арасындағы ымыраға келу

TAP-тың негізгі шектеулері оның жоғары аппараттық құны мен төмен орналастыру икемділігінде. Бір жағынан, TAP - арнайы аппараттық құрылғы, және атап айтқанда, жоғары жылдамдықты (мысалы, 40G және 100G) немесе оптикалық талшықты медианы қолдайтын TAP-тар бағдарламалық жасақтамаға негізделген SPAN функциясына қарағанда әлдеқайда қымбат; екінші жағынан, TAP бастапқы желілік байланыста тізбектей қосылуы керек және орналастыру кезінде байланыс уақытша үзілуі керек (мысалы, желілік кабельдерді немесе оптикалық талшықтарды қосу және ажырату). Үзіліске жол бермейтін кейбір негізгі байланыстар үшін (мысалы, тәулік бойы жұмыс істейтін қаржылық транзакциялық байланыстар) орналастыру қиын, және TAP кіру нүктелерін әдетте желіні жоспарлау кезеңінде алдын ала брондау қажет.

SPAN: Үнемді және икемді «Көп портты» деректерді агрегациялау шешімі

SPAN - коммутаторларға кіріктірілген бағдарламалық жасақтама функциясы (кейбір жоғары деңгейлі маршрутизаторлар да оны қолдайды). Оның принципі - коммутаторды ішкі конфигурациялау, ол үшін талдау құрылғысы қабылдау және өңдеу үшін бір немесе бірнеше бастапқы порттардан (Source Ports) немесе бастапқы VLAN-дардан белгіленген бақылау портына (Destination Port, сонымен қатар айна порты деп аталады) трафикті көшіреді. TAP-тан айырмашылығы, SPAN қосымша аппараттық құрылғыларды қажет етпейді және деректерді жинауды тек коммутатордың бағдарламалық жасақтама конфигурациясына сүйене отырып жүзеге асыра алады.

Негізгі ерекшеліктері: «Шығындардың тиімділігі» және «Икемділікке» негізделген

1. Қосымша жабдық құны жоқ және ыңғайлы орналастыру

SPAN коммутатордың микробағдарламасына кіріктірілген функция болғандықтан, арнайы аппараттық құрылғыларды сатып алудың қажеті жоқ. Деректерді жинауды тек CLI (командалық жол интерфейсі) немесе веб-басқару интерфейсі арқылы конфигурациялау арқылы (мысалы, бастапқы портты, бақылау портын және айна бағытын (кіріс, шығыс немесе екі бағытты) көрсету арқылы) тез қосуға болады. Бұл «нөлдік аппараттық шығын» мүмкіндігі оны шектеулі бюджеттері бар немесе уақытша бақылау қажеттіліктері бар сценарийлер үшін (мысалы, қысқа мерзімді қолданбаны тестілеу және уақытша ақаулықтарды жою) тамаша таңдау етеді.

2. Көп көзді портты/көп VLAN трафигін агрегациялауды қолдау

SPAN-ның басты артықшылығы - ол бірнеше бастапқы порттардан (мысалы, бірнеше қатынау қабатының коммутаторларының пайдаланушы порттары) немесе бірнеше VLAN-дардан бір уақытта бір бақылау портына трафикті көшіре алады. Мысалы, егер кәсіпорынның пайдалану және техникалық қызмет көрсету персоналы Интернетке кіретін бірнеше бөлімдегі (әртүрлі VLAN-дарға сәйкес) қызметкерлер терминалдарының трафигін бақылауы қажет болса, әрбір VLAN-ның шығысында бөлек жинау құрылғыларын орналастырудың қажеті жоқ. Осы VLAN-дардың трафигін SPAN арқылы бір бақылау портына біріктіру арқылы орталықтандырылған талдауды жүзеге асыруға болады, бұл деректерді жинаудың икемділігі мен тиімділігін айтарлықтай жақсартады.

3. Бастапқы желілік байланысты үзудің қажеті жоқ

TAP тізбекті орналастырудан айырмашылығы, SPAN бастапқы порты да, бақылау порты да коммутатордың қарапайым порттары болып табылады. Конфигурациялау процесінде бастапқы байланыстың желілік кабельдерін қосу және ажырату қажет емес және бастапқы трафиктің берілуіне ешқандай әсер етпейді. Бастапқы портты реттеу немесе SPAN функциясын кейінірек өшіру қажет болса да, мұны тек басқаруға ыңғайлы және желілік қызметтерге кедергі келтірмейтін пәрмен жолы арқылы конфигурацияны өзгерту арқылы жасауға болады.

Қолдану сценарийлері: «Арзан бағамен мониторинг» және «Орталықтандырылған талдауға» назар аудару

1. Кампус желілерінде/кәсіпорын желілерінде пайдаланушылардың мінез-құлқын бақылау

Кампус желілерінде немесе кәсіпорын желілерінде әкімшілер көбінесе қызметкер терминалдарының заңсыз кіру мүмкіндігі бар-жоғын (мысалы, заңсыз веб-сайттарға кіру және қарақшылық бағдарламалық жасақтаманы жүктеу) және өткізу қабілеттілігін алып жатқан P2P жүктеулерінің немесе бейне ағындарының көптігін бақылауы керек. SPAN арқылы бақылау портына кіру деңгейіндегі коммутаторлардың пайдаланушы порттарының трафигін трафикті талдау бағдарламалық жасақтамасымен (мысалы, Wireshark және NetFlow Analyzer) біріктіру арқылы пайдаланушының мінез-құлқын және өткізу қабілеттілігін алып жатқан статистиканы нақты уақыт режимінде бақылауды қосымша аппараттық инвестицияларсыз жүзеге асыруға болады.

2. Уақытша ақаулықтарды жою және қысқа мерзімді қолданбаны тестілеу

Желіде уақытша және кездейсоқ ақаулар орын алған кезде немесе жаңадан орналастырылған қолданбада (мысалы, ішкі OA жүйесі және бейнеконференция жүйесі) трафикті тестілеуді жүргізу қажет болған кезде, SPAN деректерді жинау ортасын тез құру үшін пайдаланылуы мүмкін. Мысалы, егер бөлім бейнеконференцияларда жиі қатып қалулар туралы хабарласа, пайдалану және техникалық қызмет көрсету қызметкерлері бейнеконференция сервері орналасқан порттың трафигін бақылау портына шағылыстыру үшін SPAN-ды уақытша конфигурациялай алады. Деректер пакетінің кідірісін, пакеттердің жоғалу жылдамдығын және өткізу қабілеттілігін талдау арқылы ақаулықтың желі өткізу қабілеттілігінің жеткіліксіздігінен немесе деректер пакетінің жоғалуынан туындағанын анықтауға болады. Ақаулықтарды жою аяқталғаннан кейін, SPAN конфигурациясын кейінгі желілік операцияларға әсер етпестен өшіруге болады.

3. Шағын және орта желілердегі трафик статистикасы және қарапайым аудит

Шағын және орта желілер үшін (мысалы, шағын кәсіпорындар мен кампус зертханалары), егер деректерді жинау тұтастығына қойылатын талап жоғары болмаса және тек қарапайым трафик статистикасы (мысалы, әрбір порттың өткізу қабілеттілігін пайдалануы және Top N қосымшаларының трафик үлесі) немесе негізгі сәйкестік аудиті (мысалы, пайдаланушылар кіретін веб-сайт домен атауларын жазу) қажет болса, SPAN қажеттіліктерді толығымен қанағаттандыра алады. Оның арзан және оңай орналастырылатын мүмкіндіктері оны мұндай сценарийлер үшін тиімді таңдау етеді.

Шектеулер: Деректер тұтастығы мен өнімділікке әсер етудегі кемшіліктер

1. Деректер пакетінің жоғалу және толық алынбау қаупі

SPAN арқылы деректер пакеттерін репликациялау коммутатордың процессоры мен кэш ресурстарына байланысты. Бастапқы порттың трафигі ең жоғары деңгейде болғанда (мысалы, коммутатордың кэш сыйымдылығынан асып кеткенде) немесе коммутатор бір уақытта көптеген бағыттау тапсырмаларын өңдеп жатқанда, процессор бастапқы трафикті бағыттауды қамтамасыз етуге басымдық береді және SPAN трафигінің репликациясын азайтады немесе тоқтата тұрады, бұл бақылау портында пакеттердің жоғалуына әкеледі. Сонымен қатар, кейбір коммутаторларда SPAN шағылыстыру коэффициентіне шектеулер бар (мысалы, трафиктің тек 80%-ын репликациялауды қолдау) немесе үлкен өлшемді деректер пакеттерінің (мысалы, Jumbo Frames) толық репликациясын қолдамайды. Мұның бәрі жиналған деректердің толық болмауына әкеледі және кейінгі талдау нәтижелерінің дәлдігіне әсер етеді.

2. Коммутатор ресурстарын пайдалану және желінің өнімділігіне ықтимал әсер ету

SPAN бастапқы байланысты тікелей үзбесе де, бастапқы порттардың саны көп болғанда немесе трафик көп болғанда, деректер пакетін репликациялау процесі CPU ресурстарын және коммутатордың ішкі өткізу қабілеттілігін алады. Мысалы, егер бірнеше 10G порттарының трафигі 10G бақылау портына шағылысса, бастапқы порттардың жалпы трафигі 10G-ден асқанда, бақылау порты өткізу қабілеттілігінің жеткіліксіздігіне байланысты пакеттердің жоғалуына ғана емес, сонымен қатар коммутатордың CPU пайдалануы да айтарлықтай артуы мүмкін, бұл басқа порттардың деректер пакетін жіберу тиімділігіне әсер етеді және тіпті коммутатордың жалпы өнімділігінің төмендеуіне әкеледі.

3. Коммутатор моделіне функция тәуелділігі және шектеулі үйлесімділік

SPAN функциясын қолдау деңгейі әртүрлі өндірушілер мен модельдердің коммутаторлары арасында айтарлықтай өзгереді. Мысалы, төменгі деңгейлі коммутаторлар тек бір бақылау портын ғана қолдауы мүмкін және VLAN айнасын немесе толық дуплексті трафик айнасын қолдамайды; кейбір коммутаторлардың SPAN функциясы «бір жақты айна» шектеуіне ие (яғни, тек кіріс немесе шығыс трафикті айнаға айналдырады және бір уақытта екі бағытты трафикті айнаға айналдыра алмайды); сонымен қатар, айқас коммутатор SPAN (мысалы, А коммутаторының порт трафигін B коммутаторының бақылау портына айнаға айналдыру) күрделі конфигурациясы мен төмен үйлесімділігі бар және бірнеше өндірушілердің аралас желісі ортасына бейімделуі қиын арнайы хаттамаларға (мысалы, Cisco RSPAN және Huawei ERSPAN) сүйенуі керек.

TAP және SPAN арасындағы негізгі айырмашылықтарды салыстыру және таңдау бойынша ұсыныстар

Негізгі айырмашылықты салыстыру

Екеуінің арасындағы айырмашылықтарды айқынырақ көрсету үшін біз оларды техникалық сипаттамалары, өнімділікке әсері, құны және қолданылатын сценарийлері бойынша салыстырамыз:

Таңдау бойынша ұсыныстар: Сценарий талаптарына негізделген «Дәл сәйкестендіру»

1. TAP артықшылықты болатын сценарийлер

○Деректерді жинаудың тұтастығын қамтамасыз етуді талап ететін негізгі бизнес байланыстарын (мысалы, деректер орталығының негізгі коммутаторлары және шығыс маршрутизатор байланыстары) бақылау;

○Желі ақауларының түпкі себебінің орналасқан жері (мысалы, TCP қайта жіберу және қолданбаның кешігуі), толық көлемді деректер пакеттеріне негізделген дәл талдауды қажет етеді;

○Қауіпсіздік және сәйкестік талаптары жоғары салалар (қаржы, мемлекеттік істер, энергетика), аудит деректерінің тұтастығын және бұрмаланбауын сақтауды талап етеді;

○Жоғары жылдамдықты желілік орталар (10G және одан жоғары) немесе SPAN ішінде пакеттердің жоғалуын болдырмауды талап ететін үлкен өлшемді деректер пакеттері бар сценарийлер.

2. SPAN артықшылық беретін сценарийлер

○Шектеулі бюджеті бар шағын және орта желілер немесе тек қарапайым трафик статистикасын (мысалы, өткізу қабілеттілігін пайдалану және ең көп таралған қосымшалар) талап ететін сценарийлер;

○Уақытша ақаулықтарды жою немесе қысқа мерзімді қолданбаларды тестілеу (мысалы, жаңа жүйені іске қосуды тестілеу), ұзақ мерзімді ресурстарды пайдаланусыз жылдам орналастыруды талап етеді;

○Көп көзді порттардың/көп VLAN желілерінің (мысалы, кампус желісін пайдаланушылардың мінез-құлқын бақылау) орталықтандырылған мониторингі, икемді трафикті агрегациялауды талап етеді;

○Деректерді түсірудің тұтастығына төмен талаптар қоя отырып, негізгі емес байланыстарды (мысалы, кіру қабатының коммутаторларының пайдаланушы порттарын) бақылау.

3. Гибридті пайдалану сценарийлері

Кейбір күрделі желілік орталарда «TAP + SPAN» гибридті орналастыру әдісі де қолданылуы мүмкін. Мысалы, ақаулықтарды жою және қауіпсіздік аудиті үшін толық көлемді деректерді жинауды қамтамасыз ету үшін деректер орталығының негізгі буындарына TAP орналастырыңыз; мінез-құлықты талдау және өткізу қабілеттілігі статистикасы үшін шашыраңқы пайдаланушы трафигін біріктіру үшін кіру деңгейіндегі немесе агрегация деңгейіндегі коммутаторларда SPAN конфигурациялаңыз. Бұл негізгі буындардың дәл мониторинг қажеттіліктерін қанағаттандырып қана қоймай, сонымен қатар орналастырудың жалпы құнын азайтады.

Сонымен, желілік деректерді жинаудың екі негізгі технологиясы ретінде TAP және SPAN абсолютті «артықшылықтары немесе кемшіліктері» жоқ, тек «сценарийлерге бейімделудегі айырмашылықтар» бар. TAP «шығынсыз түсіру» және «тұрақты сенімділікке» негізделген және деректер тұтастығы мен желінің тұрақтылығына жоғары талаптар қойылатын негізгі сценарийлерге жарамды, бірақ жоғары құны және төмен орналастыру икемділігі бар; SPAN «нөлдік құны» және «икемділігі мен ыңғайлылығы» артықшылықтарына ие және арзан, уақытша немесе негізгі емес сценарийлерге жарамды, бірақ деректердің жоғалуы мен өнімділікке әсер ету қаупі бар.

Желіні нақты пайдалану және техникалық қызмет көрсету кезінде желі инженерлері өздерінің бизнес қажеттіліктеріне (мысалы, оның негізгі буын екендігі және дәл талдау қажет пе), бюджет шығындарына, желі ауқымына және сәйкестік талаптарына негізделген ең қолайлы техникалық шешімді таңдауы керек. Сонымен қатар, желілік жылдамдықтың жақсаруымен (мысалы, 25G, 100G және 400G) және желілік қауіпсіздік талаптарының жаңартылуымен TAP технологиясы да үнемі дамып келеді (мысалы, интеллектуалды трафикті бөлуді және көп портты агрегацияны қолдау), ал коммутатор өндірушілері SPAN функциясын үнемі оңтайландырып отырады (мысалы, кэш сыйымдылығын жақсарту және шығынсыз айнаны қолдау). Болашақта екі технология да өз салаларында өз рөлін атқарады және желіні басқару үшін тиімдірек және дәл деректерді қолдауды қамтамасыз етеді.