WOFÜR BRAUCHE ICH NETZWERK-TAPS?

Der Ausdruck TAP ist eine Abkürzung und steht für Test Access Port. Ein Netzwerk-TAP auch Ethernet TAP genannt, stellt einen passiven Zugriffspunkt zu einer Netzwerkverbindung her, womit die über das Kabel übertragenen Datensignale zu Analysezwecken mitgelesen und ausgewertet werden können.

Einmal installiert, kann mithilfe eines TAPs, der gesamte Datenverkehr transparent, schnell, einfach und ohne Beeinträchtigung der aktiven Netzwerkleitung, für verschiedene Monitoring-Anwendungen bereitgestellt werden. Ein Netzwerk-TAP arbeitet auf dem OSI Layer 1 und besitzt keine MAC Adresse. Daher ist es im Netzwerk unsichtbar und kann auch von keinem Angreifer erkannt werden. Dies ist gerade in der Netzwerkforensik und im Sicherheitsbereich unabdingbar, da ansonsten Kriminelle auf das Vorhandensein des TAPs Rücksicht nehmen könnten.

Die Nutzung von TAPs hat einen weiteren Vorteil: Sie bestimmen selbst, wo Sie die Daten abgreifen möchten. Diese Flexibilität ist von großem Nutzen, da Sie so in der Lage sind die Qualität Ihrer Messergebnisse stark beeinflussen und verbessern zu können.

Netzwerk-TAPs sind passive Komponenten und beeinflussen den originären Datenverkehr in keinster Weise. Durch die zusätzliche “Fail-Open” Technologie bei den Ethernet Kupfer-TAPs wird die Datenleitung auch im Falle einer Stromunterbrechung durchgeschaltet, der Netzwerk-TAP arbeitet wie eine Kabelbrücke und schützt dabei Ihr Produktiv-Netz vor einem Ausfall. Somit erhalten Sie akkurate Daten zur fehlerfreien Analyse direkt aus der Leitung.

Durch die Nutzung von SPAN-Ports hingegen kann das Ergebnis verfälscht werden, da diese Technik im Store-and-Forward Modus arbeitet und FCS/CRC Fehler auf OSI Layer 2 Ebene verwirft, statt sie auf dem Spiegel-Port auszugeben. Im Gegensatz dazu leiten Ethernet-Taps diese kritischen CRC Fehler ohne Beeinträchtigung der originalen Daten aus. Ferner arbeitet ein Netzwerk-TAP mit Kupfer- oder SFP-Monitoring-Port wie eine Diode und lässt aus Sicherheitsgründen einen Zugriff über die Monitoring-Ports auf das Netzwerk nicht zu. Eine professionelle Netzwerkanalyse ist daher nur durch den Einsatz von TAPs gewährleistet.

Darüber hinaus bekommen Sie beim Einsatz mehrerer TAPs ein sehr viel genaueres Messergebnis und können so Netzwerk- und Anwendungsfehler noch schneller und präziser identifizieren. So gewinnen Sie wertvolle Zeit beim Beheben von Netzwerkfehlern und -problemen. Statt der aufwändigen Konfiguration von SPAN-Ports, lassen sich Netzwerk-TAPs Plug-n-Play, ohne technische Vorkenntnisse, in kürzester Zeit installieren und in Betrieb nehmen. Aus gutem Grunde rät deshalb Cisco, der weltweit führende Netzwerkausrüster, vom Einsatz solcher SPAN-Ports für die Netzwerk Analyse bewusst ab.

Netzwerk-TAPs haben aufgrund Ihrer Funktionsweise einen weiteren entscheidenden Vorteil: Sie leiten den bi-direktionalen Datenverkehr vollständig aus. Das bedeutet, Sie erhalten die Sende- und Empfangsrichtung einer Voll-Duplex Leitung separat ausgegeben und können somit z.B. eine 1G Leitung auch bei einer maximalen Auslastung von 2Gbps verlustfrei analysieren. Daraus folgt, dass Sie zum Aufzeichnen der Netzwerkdaten jeweils zwei Netzwerkschnittstellen am Analysegerät benötigen.

Anhand dieser Methode lassen sich Sende- und Empfangsrichtung bequem voneinander differenzieren, wodurch Sie eine weitere Fehlerquelle eliminieren. SPAN-Ports hingegen müssen diese Daten, bevor sie an den SPAN-Port weitergegeben werden, im Speicher aggregieren, was aber nicht zu den primären Aufgaben eines Switches gehört und dadurch die Qualität des Analyseergebnisses erheblich negativ beeinflusst.

Ferner wird aufgrund der Nutzung von Spiegel-Ports der Switch Prozessor höher ausgelastet, wodurch Datenverluste auf dem SPAN-Port auftreten können.

Experten empfehlen deshalb für einen verlustfreien und zuverlässigen Mitschnitt von Netzwerkdaten ausschließlich den Einsatz von Netzwerk-/Ethernet-TAPs!

Ausführlichere Information zum Thema „Netzwerk-TAP gegen SPAN-/Mirror-Port“ finden Sie in unserem Whitepaper.

Aggregation-TAPs besitzen die Fähigkeit, mehrere Datenströme zu bündeln oder, wie der Name schon sagt, zu aggregieren. Daraus ergibt sich ein wesentlicher Vorteil: Sie können mit dieser Technik anhand einer einzigen Netzwerkschnittstelle an Ihrem Analysegerät die Daten mehrerer Leitungen gleichzeitig auswerten.

Bei der Aggregation einer einzelnen Netzwerkverbindung spricht man von einem Port-Aggregation-TAP. Wird die Aggregation auf mehreren Leitungen ausgeübt, so nennt man diese Technik Link-Aggregation.

Das Schaubild unten zeigt u.a. das Schema eines Port-Aggregators. Wie man auf diesem Bild sehen kann, wird hier die TX & RX Leitung einer Netzwerkverbindung jeweils auf Monitoring-Port A & B aggregiert, womit man in der Lage ist die Daten einer Vollduplex Strecke mit nur einem einzigen Netzwerkanschluss gebündelt zu erfassen.

Somit erhalten Monitoring-Port A und B jeweils den gesamten Datenverkehr einer Strecke und man könnte mithilfe dieses Aggregation-TAPs die Netzwerkdaten zu Analysezwecken an einen Analyzer wie OmniPeek oder Wireshark schicken und zeitgleich den Netzwerkverkehr von einem Security-Gerät wie, z.B. einem IDS, überwachen lassen.

Ferner lassen sich unsere Aggregation-TAPs auch im TAP Mode, auch Breakout-Mode genannt, betreiben und wahlweise per DIP Schalter bequem zwischen diesen Funktionen hin und herschalten. Dies ist ein wesentlicher Vorteil und erlaubt es Ihnen, bei Bedarf zu Analysezwecken das Aggregation-TAP wie einen herkömmlichen TAP zu benutzen.

Zudem läßt sich ein Port-Aggregation-TAP auch als Regeneration-TAP einsetzen. In diesem Fall wird das anliegende Signal auf Netzwerk-Port A nach Netzwerk-Port B, Monitoring-Port A und Monitoring-Port B kopiert. Dies ist eine komfortable Methode, um ein einfaches Signal ohne komplexe Konfiguration auf bis zu 3 Ports zu vervielfältigen, die es Ihnen erlaubt, die anliegenden Daten mit 3 unterschiedlichen Monitoring-Werkzeugen gleichzeitig zu analysieren.

Da Netzwerk-TAPs meist in kritische Netzwerkleitungen installiert werden, ist sicherzustellen, dass TAPs die Leitung in keinster Weise beeinflussen.

Mittels Fail-Safe verhält der TAP sich bei einem Ausfall oder bei einer willkürlichen Deaktivierung wie eine Kabelbrücke und sorgt dafür, dass die aktive Netzwerkverbindung nicht unterbrochen wird oder zumindest ohne TAP-Funktion weiter funktioniert und somit die aktive Leitung nicht negativ beeinflusst.

Bei einem Ausfall der Stromversorgung wird die aktive Netzwerkverbindung nicht unterbrochen! Lediglich die am Monitoring-Port angeschlossenen Geräte werden nicht mehr mit Daten versorgt.

Um Daten aus einer optischen Netzwerkverbindung abzugreifen ist es notwendig einen Teil des zur Verfügung stehenden Lichtsignals auszukoppeln bzw. abzusplitten.

Die Split Ratio ist das Verhältnis der Menge des Lichts die weiterhin für die Glasfaser-Netzwerkverbindung zur Verfügung steht in Relation zur Lichtmenge die an die Monitoring-Ports des (passiven) Glasfaser Netzwerk-TAPs umgeleitet bzw. abgesplittet wird.

Eine Split Ratio von bspw. 70/30 bedeutet, dass 70% des Lichts weiterhin für die Netzwerkverbindung zur Verfügung steht, und 30% für die Monitoring-Ports abgesplittet wird.

Da diese TAPs aber einen Kupfer- oder SFP-basierten Monitoring-Ausgang besitzen stehen im Gegensatz zu Glasfaser-basierten Monitoring-Ports mittels OEO-Umwandlung – also einer Umwandlung des optischen in ein elektrisches Signal – 100% Signalstärke zur Verfügung.