네트워크 트래픽을 분석하려면 네트워크 패킷을 NTOP/NPROBE 또는 대역 외 네트워크 보안 및 모니터링 도구로 보내야 합니다.이 문제에 대한 두 가지 해결책이 있습니다.
포트 미러링(SPAN이라고도 함)
네트워크 탭(복제 탭, 집계 탭, 활성 탭, 구리 탭, 이더넷 탭 등이라고도 함)
두 솔루션(포트 미러 및 네트워크 탭)의 차이점을 설명하기 전에 이더넷의 작동 방식을 이해하는 것이 중요합니다.100Mbit 이상에서 호스트는 일반적으로 전이중으로 말합니다. 즉, 하나의 호스트가 동시에 전송(Tx)하고 수신(Rx)할 수 있습니다.이는 하나의 호스트에 연결된 100Mbit 케이블에서 하나의 호스트가 보내고 받을 수 있는(Tx/Rx) 네트워크 트래픽의 총량이 2 × 100Mbit = 200Mbit임을 의미합니다.
포트 미러링은 활성 패킷 복제입니다. 즉, 네트워크 장치가 미러링된 포트에 패킷을 복사하는 역할을 물리적으로 담당함을 의미합니다.
이는 장치가 일부 리소스(예: CPU)를 사용하여 이 작업을 수행해야 하며 두 트래픽 방향이 모두 동일한 포트에 복제된다는 것을 의미합니다.앞서 언급했듯이 A 전이중 링크에서 이는 다음을 의미합니다.
A -> B 및 B -> A
A의 합은 패킷 손실이 발생하기 전에 네트워크 속도를 초과하지 않습니다.물리적으로 패킷을 복사할 공간이 없기 때문입니다.포트 미러링은 많은 스위치(전부는 아님)에서 수행할 수 있으므로 훌륭한 기술임이 밝혀졌습니다. 왜냐하면 대부분의 스위치는 패킷 손실이라는 단점이 있기 때문입니다. 부하가 50% 이상인 링크를 모니터링하거나 미러링하는 경우 포트를 더 빠른 포트로 전환합니다(예: 100Mbit 포트를 1Gbit 포트로 미러링).패킷 미러링에는 스위치 리소스 교환이 필요할 수 있으며, 이로 인해 장치가 로드되고 교환 성능이 저하될 수 있다는 점은 말할 것도 없습니다.1개의 포트를 1개의 포트에 연결하거나 1개의 VLAN을 1개의 포트에 연결할 수 있지만 일반적으로 1개에 많은 포트를 복사할 수는 없습니다. (따라서 패킷 미러)가 없습니다.
A 네트워크 TAP(터미널 액세스 포인트)네트워크의 트래픽을 수동적으로 캡처할 수 있는 완전 수동형 하드웨어 장치입니다.일반적으로 네트워크의 두 지점 사이의 트래픽을 모니터링하는 데 사용됩니다.이 두 지점 사이의 네트워크가 물리적 케이블로 구성된 경우 네트워크 TAP가 트래픽을 캡처하는 가장 좋은 방법일 수 있습니다.
네트워크 TAP에는 A 포트, B 포트, 모니터 포트 등 최소 3개의 포트가 있습니다.지점 A와 B 사이에 탭을 배치하기 위해 지점 A와 지점 B 사이의 네트워크 케이블은 한 쌍의 케이블로 교체됩니다. 하나는 TAP의 A 포트에 연결되고 다른 하나는 TAP의 B 포트에 연결됩니다.TAP는 두 네트워크 지점 사이의 모든 트래픽을 전달하므로 여전히 서로 연결되어 있습니다.TAP는 또한 트래픽을 모니터 포트에 복사하여 분석 장치가 수신할 수 있도록 합니다.
네트워크 TAP는 APS와 같은 모니터링 및 수집 장치에서 일반적으로 사용됩니다.TAP는 눈에 띄지 않고, 네트워크에서 감지할 수 없으며, 전이중 및 비공유 네트워크를 처리할 수 있고, 탭이 작동을 멈추거나 전원이 꺼지더라도 일반적으로 트래픽을 통과하므로 보안 애플리케이션에도 사용할 수 있습니다. .
Network Taps 포트는 수신하지 않고 전송만 하기 때문에 스위치는 포트 뒤에 누가 앉아 있는지 전혀 알 수 없습니다.결과적으로 패킷을 모든 포트에 브로드캐스트합니다.따라서 모니터링 장치를 스위치에 연결하면 해당 장치는 모든 패킷을 수신하게 됩니다.이 메커니즘은 모니터링 장치가 스위치에 패킷을 보내지 않는 경우 작동합니다.그렇지 않으면 스위치는 탭된 패킷이 해당 장치에 대한 것이 아니라고 가정합니다.이를 달성하려면 TX 선을 연결하지 않은 네트워크 케이블을 사용하거나 패킷을 전혀 전송하지 않는 IP 없는(및 DHCP 없는) 네트워크 인터페이스를 사용할 수 있습니다.마지막으로 패킷 손실을 방지하기 위해 탭을 사용하려면 방향을 병합하지 않거나 탭 방향이 병합 포트(예: 1Gbit)보다 느린(예: 100Mbit) 스위치를 사용하십시오.
그렇다면 네트워크 트래픽을 캡처하는 방법은 무엇입니까?네트워크 탭과 스위치 포트 미러
1- 간편한 구성: 네트워크 탭 > 포트 미러
2- 네트워크 성능 영향: 네트워크 탭 < 포트 미러
3- 캡처, 복제, 집계, 전달 기능: 네트워크 탭 > 포트 미러
4- 트래픽 전달 대기 시간: 네트워크 탭 < 포트 미러
5- 트래픽 전처리 용량: Network Tap > Port Mirror
게시 시간: 2022년 3월 30일
