当前位置:首页最新动态官方新闻

网络分流器进化史发布时间:2021-10-25 15:27

大家好,我是小月月,我又来给大家介绍网络分流器(TAP)啦!

为什么说“又”呢?去年年初,小月月其实已经做了一次TAP的科普,还记得这篇文章么?
 
从头到脚科普一下网络分流器

这一年多过去了,相信大家也和小月月一样,又学到了不少新东西。知识需要不断迭代,小月月的文章也会持续更新,今天我们就再来重新认识一下TAP分流器吧~


01 TAP都有哪几种

TAP分流器是什么,想必大家已经有所了解了。从本质上来说,TAP是一种为各类网络监控设备提供流量副本的产品。我们可以将TAP分为以下不同类型。


A.“原始型”TAP    

下图里的就是一款“原始型”的TAP分流器,它的全名叫做Throwing Star LAN TAP。

这种设备十分小巧,共有4个RJ45接口,使用也非常简单:把J1和J2(黑色网口)串接到需要抓包的网络中,J3和J4(蓝色网口)分别复制流入和流出两个方向的数据,连接抓包的设备即可。这种TAP甚至不需要通电就能工作。
这类TAP直接从物理层对数据进行了复制,操作简单又便宜。但它就是太简单了,没有什么其他可以操作的空间。另外,像分光器也可以归为这个类别。



B.“标准型”TAP    

“标准型”TAP就是市面上常见的通用型TAP分流器,如下图:

这类TAP要比上面的“原始型”TAP智能得多,工作在L2-L4层,可以根据自定义的策略做数据分流、数据镜像、流量过滤等。



镜像复制(多份输出)   1对1、1对多


数据分流  (多条链路输出)



汇聚输出  (多条链路汇合)  多对1、多对多


筛选过滤  (特定流量输出)  IP、Port

通用型TAP可以部署在分析设备集群前,单台设备一般最高可以支持400G的大流量场景。


C.“智慧型”TAP    

“智慧型”TAP指的是Panabit网络分流器,为什么说它是“智慧型”的呢?

Panabit应用分流器 

Panabit作为国内优秀的DPI厂商,在网络流量采集、流量过滤、流量分流等方面具备着先天的优势。
与通用型TAP不同,Panabit工作L7层,也就是说,Panabit能比一般的TAP看得更细更深。因此在通用型TAP的基础上,Panabit还能基于应用做流量的按需分流或复制。

体现Panabit“智慧型”的另一方面,是Panabit可以实现流量的跨三层远程镜像,即遥测(Telemetery)
这时候有人可能会说了,有些路由器或者交换机上也能做远程镜像啊,例如ERSPAN。


ERSPAN 是一种端口报文镜像技术,它能够将端口上的报文镜像后,封装为协议号为 0x88BE的 GRE 报文,并将其发送到远端监控设备。用户可以根据实际需求定义待镜像的报文,例如镜像 TCP 三次握手报文以便监控 TCP 连接建立情况、镜像 RDMA 信令报文以便监控 RDMA 会话状态。

确实,跨三层远程镜像本身不是一门新技术,不过不同于ERSPAN使用的GRE,Panabit则是通过自研的隧道协议iWAN来实现的。iWAN具备线路开销小、重连速度快等特点,更适合作为远程镜像的隧道协议。
当然这不还是最主要的,刚才我们说过,Panabit工作在L7层,可以基于多种条件,特别是应用做灵活的流量复制。这一点同样适用于遥测,即Panabit实现的是应用级的遥测

另一方面,对于交换机&路由器来说,开启ERSPAN很可能会造成设备性能不足,它们很多都是产品手册有该功能,但现网设备却不敢轻易开启。
而Panabit则不存在这样的问题。Panabit的性能小月月就不用多说了吧?如果对Panabit的性能有疑问的话,我们随时欢迎大家进行测试。
如果对遥测还想了解更多的话,大家可以参考下面这篇文章。

网络全量数据包抓取,是时候有第二种选择


02 几种TAP怎么用

关于TAP的使用,我想先请大家思考一个问题:我们为什么需要TAP这种设备呢?
这就要回到TAP的本质上来了,开头我们说过,TAP的本质是一种为各类网络监控设备提供流量副本的产品。也就是说,TAP是为网络监控设备服务的,那么网络监控设备又为什么需要TAP呢?
随着网络攻防双方道高一尺魔高一丈的角逐,我们明显发现需要部署的网络安全设备变得越来越多了,再随着近年来带宽的指数级增长,如果在没有TAP的情况下,我们的网络很可能就会变成下面这样:


有人会说,我用交换机端口镜像可以解决的事,还需要TAP作甚?
那如果网络监控设备再增加,交换机口子还够用么?交换机的性能还扛得住么?专业的人做专业的事,TAP设备的必要性即是如此。
既然TAP是必要的,那我们又该如何使用呢?我们可以看下面这个例子。


• “原始型”TAP——分光器将原始流量忠实地复制给传统TAP分流器集群
• “标准型”TAP——通用型TAP组成集群,将流量按端口重新组合发送给Panabit
• “智慧型”TAP——Panabit将流量按需向各类分析设备进行输出


三种TAP各司其职、各尽其责,分光器、通用型TAP、Panabit分别做不同层面的流量复制。还是那句话,专业的人做专业的事,具体用哪种TAP,需要考虑做哪一层的流量复制:L1层用分光器等TAP;L2-L4层用通用型TAP;L7层则使用Panabit。当然这种层级的划分并不是绝对的,高层的TAP可以向下兼容,例如Panabit其实也能够胜任L2-L4层的场景,因此还是需要根据实际的情况来进行选择。

从接口数量上来说,一般通用型TAP的接口较多,24、48口的都比较常见,而相对来说Panabit就没有那么多的接口了。因此在4层以下,接口需求较多的情况下,通用型TAP会比较适合。

另外,从设备性能上来说,Panabit支持100G以内的场景,而通用型TAP最高可以支持400G的场景,因此流量的大小也是选择TAP的一个关键因素。
最后,从使用场景上来说,在本地的二层流量复制中,我们可以选择通用型TAP。但如果涉及到了跨三层的流量复制,这时候就需要选择Panabit了。比如下面几个场景:

#场景一:大型网络多分支数据采集+分析


#场景二:大型网络内部汇聚节点数据采集+分析


#场景三:大型网络云端数据采集+分析


对于诸如此类的场景,部署应用级遥测设备的意义如下图:




03 总结

说了这么多,您是否对TAP分流器又有了新的认识呢?我们再来简单总结一下今天的内容。

小月月语录:
1. TAP的本质是一种为各类网络监控设备提供流量副本的产品
 
2. TAP可以分为三类:工作在L1层的“原始型”TAP、L2-L4层的“标准型”TAP和L7层的“智慧型”TAP
 
3. 接口需求多、超过100G的场景,适合用“标准型”TAP
 
4. 七层按需复制以及遥测的场景,需要使用Panabit

彩蛋
除了应用级TAP外,Panabit如今也推出了自己的"标准型"TAP分流器。



欢迎大家联系选购!

更多精彩:
有没有一种负载均衡,买了还能省钱?