네트워크 트래픽을 분석하려면 네트워크 패킷을 NTOP/NPROBE 또는 대역 외 네트워크 보안 및 모니터링 도구로 전송해야 합니다. 이 문제에 대한 두 가지 해결책은 다음과 같습니다.
포트 미러링(SPAN이라고도 함)
네트워크 탭(복제 탭, 집계 탭, 액티브 탭, 구리 탭, 이더넷 탭 등으로도 알려짐)
두 솔루션(포트 미러와 네트워크 탭)의 차이점을 설명하기 전에 이더넷의 작동 방식을 이해하는 것이 중요합니다. 100Mbit 이상에서는 호스트가 일반적으로 전이중(full duplex) 방식으로 통신합니다. 즉, 한 호스트가 동시에 송신(Tx)과 수신(Rx)을 할 수 있습니다. 즉, 한 호스트에 연결된 100Mbit 케이블에서 한 호스트가 송수신할 수 있는 총 네트워크 트래픽 양은 2 × 100Mbit = 200Mbit입니다.
포트 미러링은 능동적인 패킷 복제로, 네트워크 장치가 패킷을 미러링된 포트로 물리적으로 복사하는 것을 의미합니다.
즉, 장치는 CPU와 같은 일부 리소스를 사용하여 이 작업을 수행해야 하며, 두 트래픽 방향 모두 동일한 포트로 복제됩니다. 앞서 언급했듯이, 전이중 링크에서는
A -> B 및 B -> A
패킷 손실이 발생하기 전에 A의 합은 네트워크 속도를 초과하지 않습니다. 이는 패킷을 복사할 공간이 물리적으로 없기 때문입니다. 포트 미러링은 많은 스위치(모두는 아님)에서 수행할 수 있기 때문에 훌륭한 기술인 것으로 밝혀졌습니다. 패킷 손실의 단점이 있는 대부분의 스위치는 50% 이상의 부하가 있는 링크를 모니터링하거나 포트를 더 빠른 포트로 미러링하는 경우(예: 100Mbit 포트를 1Gbit 포트로 미러링) 패킷 미러링에는 스위치 리소스 교환이 필요할 수 있으며, 이는 장치에 부하를 가하고 교환 성능을 저하시킬 수 있습니다. 1개의 포트를 1개의 포트에 연결하거나 1개의 VLAN을 1개의 포트에 연결할 수 있지만 일반적으로 여러 포트를 1개에 복사할 수 없습니다. (패킷 미러링이 누락되었으므로)
네트워크 TAP(터미널 액세스 포인트)네트워크 트래픽을 수동으로 캡처할 수 있는 완전 수동 하드웨어 장치입니다. 일반적으로 네트워크의 두 지점 간 트래픽을 모니터링하는 데 사용됩니다. 두 지점 간 네트워크가 물리적 케이블로 구성된 경우, 네트워크 TAP이 트래픽을 캡처하는 가장 좋은 방법일 수 있습니다.
네트워크 TAP에는 A 포트, B 포트, 그리고 모니터 포트, 이렇게 최소 세 개의 포트가 있습니다. A 지점과 B 지점 사이에 탭을 설치하려면 A 지점과 B 지점 사이의 네트워크 케이블을 한 쌍의 케이블로 교체해야 합니다. 케이블 하나는 TAP의 A 포트로, 다른 하나는 TAP의 B 포트로 연결됩니다. TAP은 두 네트워크 지점 사이의 모든 트래픽을 전달하므로 서로 연결된 상태를 유지합니다. 또한 TAP은 트래픽을 모니터 포트로 복사하여 분석 장치가 수신할 수 있도록 합니다.
네트워크 TAP는 APS와 같은 모니터링 및 수집 장치에서 일반적으로 사용됩니다. TAP는 눈에 띄지 않고 네트워크에서 감지되지 않으며, 전이중 및 비공유 네트워크를 처리할 수 있고, 탭이 작동을 멈추거나 전원이 꺼지더라도 일반적으로 트래픽을 통과시키기 때문에 보안 애플리케이션에도 사용될 수 있습니다.
네트워크 탭 포트는 수신하지 않고 전송만 하므로 스위치는 포트 뒤에 누가 있는지 전혀 알 수 없습니다. 결과적으로 모든 포트에 패킷을 브로드캐스트합니다. 따라서 모니터링 장치를 스위치에 연결하면 해당 장치가 모든 패킷을 수신합니다. 이 메커니즘은 모니터링 장치가 스위치에 패킷을 전송하지 않는 경우에만 작동합니다. 그렇지 않으면 스위치는 탭된 패킷이 해당 장치를 위한 것이 아니라고 가정합니다. 이를 위해 TX 와이어를 연결하지 않은 네트워크 케이블을 사용하거나 패킷을 전혀 전송하지 않는 IP 없는(및 DHCP 없는) 네트워크 인터페이스를 사용할 수 있습니다. 마지막으로 패킷 손실을 방지하기 위해 탭을 사용하려면 방향을 병합하지 않거나 탭된 방향이 병합 포트(예: 1Gbit)보다 느린(예: 100Mbit) 스위치를 사용하십시오.
그렇다면 네트워크 트래픽을 캡처하는 방법은 무엇일까요? 네트워크 탭 vs 스위치 포트 미러
1- 간편 설정: 네트워크 탭 > 포트 미러
2- 네트워크 성능 영향: 네트워크 탭 < 포트 미러
3- 캡처, 복제, 집계, 전달 기능: 네트워크 탭 > 포트 미러링
4- 트래픽 전달 지연 시간: 네트워크 탭 < 포트 미러
5- 트래픽 전처리 용량: 네트워크 탭 > 포트 미러
게시 시간: 2022년 3월 30일
