Comment capturer le trafic réseau ? (SPAN vs TAP)

Ceci est un extrait du Guide utilisateur de SkyLIGHT PVX qui discute des méthodes pour capturer le trafic réseau. Comme ce sont des informations utiles et pertinentes pour la plupart des utilisateurs, nous avons décidé de les publier sur notre blog.

SkyLIGHT PVX s’appuie sur deux mécanismes pour capturer le trafic réseau : le miroir de port ou port mirroring (communément appelé SPAN) et le TAP (dérivation).

Capturer le trafic réseau: miroir de port

Le miroir de port, également connu sous l’appellation SPAN, est une méthode de surveillance du trafic réseau qui consiste à transmettre une copie de chaque paquet entrant et / ou sortant d’un (ou plusieurs) port(s) (ou VLAN) d’un commutateur vers un autre port sur lequel est connecté l’équipement d’analyse. Le Port mirroring peut être géré localement ou à distance.

Pour configurer le miroir de port, un administrateur sélectionne un ou plusieurs ports à partir desquels tous les paquets seront copiés (port(s) source) et un ou plusieurs autre(s) port(s) où la copie des paquets sera envoyée (port(s) de destination).

L’administrateur peut inclure soit tous les paquets dans le miroir de port ou alors seulement les paquets transmis / reçus. Dans le cas où à la fois les paquets émis et reçus sont inclus, un paquet allant d’un premier port analysé à un autre port analysé sera copiée deux fois sur le port de destination. Cela aura un impact sur les mesures et les performances fournies par l’équipement d’analyse (par exemple les taux de retransmission, les temps de réponse, …). SkyLIGHT PVX capture et évalue les données sans impact sur le trafic d’origine.

Le miroir de port / SPAN est la solution la plus couramment utilisée pour capturer le trafic, car il est peu coûteux, flexible en termes de quantité de trafic qui peut être capturé à la fois et, configurable à distance.

Attention, le miroir de port peut avoir quelques inconvénients, tels que :

• Il peut consommer des ressources CPU importantes quand il est actif
• Il existe un risque de ne pas recevoir certains paquets (comme des erreurs dues au media)
• Dans le cas de la congestion du trafic au niveau du commutateur, le port miroir est susceptible de perdre un peu de trafic (parce que le processus de SPAN n’est pas prioritaire).
• Dans certains cas, une meilleure solution pour la surveillance à long terme peut être un TAP passif ou un répéteur Ethernet ( « hub »).

AVANTAGES Inconvénients du PORT MIRRORING

Avantages

• Faible coût (cette fonctionnalité est intégrée dans la plupart des commutateurs)
• Peut être configuré à distance via IP ou le port Console
• C’est la seule façon de capturer le trafic intra-switch
• Une bonne façon de capturer le trafic sur plusieurs ports à la fois

Inconvénients

• Pas adéquat pour des liens full-duplex entièrement utilisés (vous pouvez perdre des paquets)
• Elimination des erreurs physiques
• Impact sur la CPU du commutateur
• Peut modifier le timing de la trame (avec un impact sur l’analyse des temps de réponse)
• SPAN a une priorité moindre que le transfert des données port à port

Capturer le trafic réseau: TAP

Le TAP réseau est un équipement matériel qui peut passivement capturer le trafic sur le réseau. Il est couramment utilisé pour surveiller le trafic réseau entre deux points du réseau. Si le réseau entre ces deux points se compose d’un câble physique, un TAP réseau peut être le meilleur moyen de capturer le trafic.

Le TAP réseau comporte au moins trois ports – un port A, un port B, et un port de monitoring. Pour placer un TAP entre les points A et B, le câble réseau entre le point A et le point B est remplacé par une paire de câbles, l’un va vers le port A du TAP, le second allant vers le port B du TAP. Le TAP transfert tout le trafic entre les deux points du réseau, de sorte qu’ils sont toujours connectés les uns aux autres. Le TAP copie également le trafic vers son port de monitoring, permettant ainsi l’écoute du trafic par l’équipement d’analyse.

Les TAPs réseau sont couramment utilisés pour des équipements de surveillance et de collecte tel que SkyLIGHT PVX.  Les TAPs peuvent également être utilisés dans des applications de sécurité car ils sont transparent, ne sont pas détectables sur le réseau, peuvent composer avec  les réseaux full-duplex et non partagés, et laisseront généralement passer le trafic même si le tap cesse de fonctionner ou n’est plus alimenté.

Avantages & inconvénients des TAPs

Avantages

• Pas de risque de perte de paquets
• Monitoring de tous les paquets (y compris les erreurs physiques -MAC & media)
• Fournit une visibilité totale y compris en cas de congestions

Inconvénients

• Le dispositif peut nécessiter deux interfaces d’écoute sur l’équipement d’analyse
• Cela a un coût non négligeable
• Pas de visibilité sur le trafic intra-switch
• Ne convient pas pour l’observation d’un trafic ciblé