Sự khác biệt chính giữa việc bắt gói tin bằng cổng Network TAP và SPAN.

Phản chiếu cổng(còn được gọi là SPAN)

Mạng lưới Tap(còn được gọi là Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap, v.v.)TAP (Điểm truy cập thiết bị đầu cuối)là một thiết bị phần cứng hoàn toàn thụ động, có thể thụ động nắm bắt lưu lượng trên mạng. Nó thường được sử dụng để giám sát lưu lượng giữa hai điểm trong mạng. Nếu mạng giữa hai điểm này bao gồm cáp vật lý, TAP mạng có thể là cách tốt nhất để nắm bắt lưu lượng.

Trước khi giải thích sự khác biệt giữa hai giải pháp (Port Mirror và Network Tap), điều quan trọng là phải hiểu cách Ethernet hoạt động. Ở 100Mbit trở lên, các máy chủ thường nói ở chế độ full duplex, nghĩa là một máy chủ có thể gửi (Tx) và nhận (Rx) cùng lúc. Điều này có nghĩa là trên cáp 100 Mbit được kết nối với một máy chủ, tổng lượng lưu lượng mạng mà một máy chủ có thể gửi/nhận (Tx/Rx)) là 2 × 100 Mbit = 200 Mbit.

Phản chiếu cổng là quá trình sao chép gói tin chủ động, nghĩa là thiết bị mạng có trách nhiệm vật lý trong việc sao chép gói tin vào cổng được phản chiếu.

Thu thập lưu lượng truy cập: TAP so với SPAN
Khi giám sát lưu lượng mạng, nếu bạn không muốn vận hành hỗ trợ trực tiếp trong khi người dùng đang xử lý giao dịch, bạn có hai lựa chọn chính. Trong bài viết sau, chúng tôi sẽ cung cấp tổng quan về TAP (Điểm truy cập thử nghiệm) và SPAN (Bộ phân tích cổng chuyển mạch). Để phân tích sâu hơn, chuyên gia kiểm tra gói tin Timo'Neill có một số bài viết tại lovemytool.com đi sâu vào chi tiết, nhưng ở đây, chúng tôi sẽ áp dụng cách tiếp cận tổng quát hơn.

KHOẢNG CÁCH
Phản chiếu cổng là phương pháp giám sát lưu lượng mạng bằng cách chuyển tiếp một bản sao của mỗi gói tin đến và/hoặc đi từ một hoặc nhiều cổng (hoặc VLans) của một thiết bị chuyển mạch đến một cổng khác được kết nối với một trình phân tích lưu lượng mạng. Các khoảng cách thường được sử dụng trong các hệ thống đơn giản hơn để giám sát nhiều trang web cùng một lúc. Số lượng chính xác các lần truyền mạng mà nó có thể giám sát phụ thuộc vào vị trí SPAN được cài đặt so với thiết bị trung tâm dữ liệu. Bạn có thể sẽ tìm thấy những gì bạn đang tìm kiếm, nhưng rất dễ thấy mình có quá nhiều dữ liệu. Ví dụ: có thể tìm thấy nhiều bản sao của cùng một dữ liệu trên toàn bộ VLAN. Điều này làm cho việc khắc phục sự cố LAN trở nên khó khăn hơn và cũng ảnh hưởng đến tốc độ của CPU chuyển mạch hoặc ảnh hưởng đến Ethernet thông qua phát hiện vị trí. Về cơ bản, càng nhiều khoảng cách thì khả năng mất gói tin càng cao. So với tap, các khoảng cách có thể được quản lý từ xa, nghĩa là ít thời gian hơn dành cho việc thay đổi cấu hình, nhưng vẫn cần đến các kỹ sư mạng.

Cổng SPAN không phải là công nghệ thụ động như một số người khẳng định, vì chúng có thể có những tác động có thể đo lường được khác đến lưu lượng mạng, bao gồm:
- Thời gian thay đổi tương tác khung

- Loại bỏ các gói tin do tra cứu quá nhiều

- Các gói tin bị hỏng bị loại bỏ mà không được thông báo, cản trở việc phân tích
Do đó, cổng SPAN phù hợp hơn với những tình huống mà việc loại bỏ các gói tin không ảnh hưởng đến quá trình phân tích hoặc khi cần cân nhắc đến chi phí.

VỖ NHẸ
Ngược lại, tap cần phải chi tiền cho phần cứng ngay từ đầu, nhưng chúng không yêu cầu nhiều thiết lập. Thật vậy, vì chúng thụ động, chúng có thể được kết nối và ngắt kết nối khỏi mạng mà không ảnh hưởng đến mạng. Tap là thiết bị phần cứng cung cấp một cách để truy cập dữ liệu chảy qua mạng máy tính và thường được sử dụng cho mục đích bảo mật mạng và giám sát hiệu suất. Lưu lượng được giám sát được gọi là lưu lượng "truyền qua" và cổng được sử dụng để giám sát được gọi là "cổng giám sát". Để thăm dò mạng rõ ràng hơn, tap có thể được đặt giữa các bộ định tuyến và bộ chuyển mạch.
Vì TAP không ảnh hưởng đến các gói tin nên có thể xem đây là một cách thực sự thụ động để xem lưu lượng mạng.
Về cơ bản có ba loại giải pháp TAP:

- Bộ chia mạng (1 : 1)

- TAP tổng hợp (nhiều : 1)

- TAP tái sinh (1 : nhiều)

TAP sao chép lưu lượng truy cập đến một công cụ giám sát thụ động duy nhất hoặc đến một thiết bị chuyển tiếp gói tin mạng mật độ cao và phục vụ nhiều (thường là nhiều) công cụ kiểm tra QOS, công cụ giám sát mạng và công cụ đánh hơi mạng như wireshark.
Ngoài ra, các loại TAP khác nhau tùy thuộc vào loại cáp, bao gồm TAP sợi quang và TAP đồng gigabit, cả hai đều hoạt động theo cùng một cách về cơ bản bằng cách chuyển một phần tín hiệu đến bộ phân tích lưu lượng mạng, trong khi mô hình chính vẫn tiếp tục truyền mà không bị gián đoạn. Đối với TAP sợi quang, nó chia chùm tia thành hai, trong khi trong hệ thống cáp đồng, nó sao chép tín hiệu điện.