La principale differenza tra l'acquisizione di pacchetti tramite porte Network TAP e SPAN.

Mirroring delle porte(anche noto come SPAN)

Intercettazione di rete(noto anche come Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap, ecc.)TAP (Terminal Access Point)Si tratta di un dispositivo hardware completamente passivo, in grado di acquisire passivamente il traffico di rete. Viene comunemente utilizzato per monitorare il traffico tra due punti della rete. Se la rete tra questi due punti è costituita da un cavo fisico, un TAP di rete può rappresentare la soluzione migliore per acquisire il traffico.

Prima di spiegare le differenze tra le due soluzioni (Port Mirror e Network Tap), è importante capire come funziona Ethernet. A 100 Mbit e oltre, gli host comunicano solitamente in full duplex, il che significa che un host può inviare (Tx) e ricevere (Rx) simultaneamente. Questo significa che su un cavo da 100 Mbit collegato a un host, la quantità totale di traffico di rete che un host può inviare/ricevere (Tx/Rx) è pari a 2 × 100 Mbit = 200 Mbit.

Il mirroring delle porte è una replica attiva dei pacchetti, il che significa che il dispositivo di rete è fisicamente responsabile della copia del pacchetto sulla porta replicata.

Acquisizione del traffico: TAP vs SPAN
Quando si monitora il traffico di rete, se non si desidera fornire supporto operativo direttamente mentre un utente sta elaborando una transazione, si hanno due opzioni principali. Nell'articolo seguente, forniremo una panoramica di TAP (Test Access Point) e SPAN (Switch Port Analyzer). Per un'analisi più approfondita, l'esperto di ispezione dei pacchetti Timo'Neill ha pubblicato diversi articoli su lovemytool.com che trattano l'argomento in dettaglio, ma qui adotteremo un approccio più generale.

SPA
Il port mirroring è un metodo per monitorare il traffico di rete inoltrando una copia di ogni pacchetto in entrata e/o in uscita da una o più porte (o VLAN) di uno switch a un'altra porta collegata a un analizzatore di traffico di rete. Gli SPAN sono spesso utilizzati nei sistemi più semplici per monitorare più siti contemporaneamente. Il numero esatto di trasmissioni di rete che è possibile monitorare dipende dalla posizione dello SPAN rispetto alle apparecchiature del data center. Probabilmente troverete ciò che cercate, ma è facile ritrovarsi con una quantità eccessiva di dati. Ad esempio, è possibile trovare più copie degli stessi dati su un'intera VLAN. Questo rende più difficile la risoluzione dei problemi della LAN e influisce anche sulla velocità delle CPU dello switch o sulla rete Ethernet tramite il rilevamento della posizione. In sostanza, maggiore è il numero di SPAN, maggiore è la probabilità di perdere pacchetti. Rispetto ai TAP, gli SPAN possono essere gestiti da remoto, il che significa che si impiega meno tempo a modificare le configurazioni, ma è comunque necessario l'intervento di ingegneri di rete.

Le porte SPAN non sono una tecnologia passiva, come alcuni sostengono, perché possono avere altri effetti misurabili sul traffico di rete, tra cui:
- È ora di cambiare l'interazione del frame

- Perdita di pacchetti a causa di un numero eccessivo di ricerche

- I pacchetti corrotti vengono scartati senza preavviso, ostacolando l'analisi
Pertanto, le porte SPAN sono più adatte a situazioni in cui la perdita di pacchetti non influisce sull'analisi o in cui il costo è un fattore determinante.

RUBINETTO
Al contrario, i dispositivi di intercettazione (tap) richiedono un investimento iniziale in hardware, ma non necessitano di una configurazione complessa. Infatti, essendo passivi, possono essere collegati e scollegati dalla rete senza influenzarne il funzionamento. I tap sono dispositivi hardware che consentono di accedere ai dati che transitano attraverso una rete informatica e sono comunemente utilizzati per la sicurezza e il monitoraggio delle prestazioni di rete. Il traffico monitorato è chiamato traffico "pass-through" e la porta utilizzata per il monitoraggio è chiamata "porta di monitoraggio". Per analizzare la rete in modo più approfondito, i tap possono essere posizionati tra router e switch.
Poiché TAP non influisce sui pacchetti, può essere considerato un metodo veramente passivo per visualizzare il traffico di rete.
Esistono fondamentalmente tre tipi di soluzioni TAP:

- Divisore di rete (1:1)

- Aggregazione TAP (multi : 1)

- Rigenerazione TAP (1: multi)

TAP replica il traffico verso un singolo strumento di monitoraggio passivo o verso un dispositivo di inoltro pacchetti di rete ad alta densità e supporta diversi (spesso più di uno) strumenti di test QoS, strumenti di monitoraggio di rete e strumenti di analisi del traffico di rete come Wireshark.
Inoltre, i tipi di TAP variano a seconda del tipo di cavo, includendo TAP in fibra e TAP in rame gigabit, entrambi funzionanti essenzialmente allo stesso modo, ovvero trasferendo parte del segnale all'analizzatore di traffico di rete, mentre il modello principale continua a trasmettere senza interruzioni. Nel caso del TAP in fibra, si tratta di dividere il fascio in due, mentre nel sistema con cavo in rame si tratta di replicare il segnale elettrico.