NetTAP®, wie man Netzwerkverkehr gefangennimmt? Portspiegel gegen Netz-Hahn

Wie man Netzwerkverkehr gefangennimmt? Portspiegel gegen Netz-Hahn

Um den Netzwerkverkehr zu analysieren, ist es notwendig das Netzpaket zu NTOP/NPROBE.There zu schicken ist zwei Lösungen zu diesem Problem:

Portspiegelung (alias SPANNE)

Netz-Hahn (alias Reproduktions-Hahn, Anhäufungs-Hahn, aktiver Hahn, kupferner Hahn, Ethernet-Hahn, etc.)

Bevor man die Unterschiede zwischen den zwei Lösungen (Portspiegel und Netz-Hahn) erklärt, ist es wichtig, zu verstehen, wie das Ethernet arbeitet. An 100Mbit und oben, sprechen Wirte normalerweise im Vollduplex und bedeuten, dass ein Wirt senden (Tx) und gleichzeitig empfangen kann (Rx). Dies heißt das auf einem 100 Mbit Kabel, das an einen Wirt, die Gesamtmenge des Netzwerkverkehrs angeschlossen wird, den ein Wirt/empfangen kann zu senden (Tx/Rx)) ist 2 × 100 Mbit = 200 Mbit.

Die Portspiegelung ist aktive Paketreproduktion, also bedeutet es, dass das Netzgerät für die Kopie des Pakets zum widergespiegelten Hafen physikalisch verantwortlich ist.

Dies heißt, dass das Gerät diese Aufgabe durchführen muss, indem es irgendeine Ressource (wie die CPU) verwendet, und beide Verkehrsrichtungen werden zum gleichen Hafen wiederholt. AS erwähnte früher, in einer voll- Duplexverbindung, dieses bedeutet das

A- >; B und B - > A;

Die Summe von A übersteigt nicht die Netzgeschwindigkeit, bevor Paketverlust auftritt. Dieses ist, weil es physikalisch keinen Raum gibt, zum von Paketen zu kopieren. Es fällt aus, dass die Portspiegelung eine große Technik ist, da es durch viele Schalter durchgeführt werden kann (aber nicht ganz), weil spiegeln die meisten Schalter mit dem Nachteil des Paketverlustes, wenn Sie eine Verbindung mit vorbei 50% Last überwachen, oder die Häfen auf einen schnelleren Hafen wider (z.B. spiegeln Sie 100 Mbit-Häfen auf einen 1 Gbit-Hafen wider). Ganz zu schweigen von diesem Paket erfordert die Spiegelung möglicherweise den Austausch von Schalterbetriebsmitteln, die möglicherweise das Gerät und die Ursachenaustauschleistung laden, um zu vermindern. Merken Sie, dass Sie 1 Hafen an einen Hafen anschließen können, oder 1 VLAN bis ein Hafen, aber Sie können viele Häfen nicht bis 1. im Allgemeinen kopieren (damit der Paketspiegel) verfehlen.

Ein Netz HAHN (Terminalzugangspunkt) ist eine völlig passive Hardwareeinheit, die Verkehr in einem Netz passiv gefangennehmen kann. Er ist allgemein verwendet, den Verkehr zwischen zwei Punkten im Netz zu überwachen. Wenn das Netz zwischen diesen zwei Punkten aus einem körperlichen Kabel besteht, ist möglicherweise ein Netz HAHN die beste Weise, Verkehr gefangenzunehmen.

Der Netz HAHN hat mindestens drei Häfen: ein a-Hafen, ein b-Hafen und ein Monitorhafen. Um einen Hahn zwischen Punkte A und B, wird das Netzkabel zwischen Punkt A und Punkt B zu setzen durch ein Paar Kabel, eins ersetzt, das zum das a-Hafen des HAHNS geht, der andere gehend zum das b-Hafen des HAHNS. Der HAHN führt allen Verkehr zwischen die zwei Netzpunkte, also werden sie noch miteinander angeschlossen. Der HAHN kopiert auch den Verkehr zu seinem Monitorhafen und so ermöglicht einem Analysegerät zu hören.

Netz-Hähne sind durch Überwachungs- und Sammlungsgeräte wie APS allgemein verwendet. Hähne können in den Sicherheitsanwendungen auch benutzt werden, weil sie nicht-aufdringlich sind, sind nicht nachweisbar im Netz, können Vollduplex und nicht-geteilte Netze beschäftigen und werden normalerweise Durchgangverkehr, selbst wenn der Hahn aufhört zu arbeiten oder Energie verliert.

Da Netz-Hahnhäfen nicht empfangen, aber nur übertragen, der Schalter hat keine Ahnung, wem hinter den Häfen sitzt. Die Konsequenz ist, dass sie die Pakete zu allen Häfen übertrug. So, wenn Sie Ihr Überwachungsgerät an den Schalter anschließen, empfängt solches Gerät alle Pakete. Merken Sie, dass dieser Mechanismus arbeitet, wenn das Überwachungsgerät kein Paket zum Schalter schickt, andernfalls nimmt der Schalter an, dass die geklopften Pakete nicht für solches Gerät sind. Um das zu erzielen, können Sie entweder ein Netzkabel benutzen auf dem Sie nicht die TX-Drähte angeschlossen haben, oder benutzen eine IP-lose (und DHCP-lose) Netzwerkschnittstelle die nicht Pakete überhaupt überträgt. Schlussbemerkung dass, wenn Sie einen Hahn für das Lösen von Paketen nicht benutzen möchten, dann entweder verschmelzen Sie nicht Richtungen oder benutzen Sie einen Schalter, in dem geklopfte Richtungen (z.B. 100 Mbit) die der Mischenhafen langsamer sind (z.B. 1 Gbit).