ネットワークトラフィックをキャプチャするには？ネットワークタップとポートミラー

これは、デバイスが何らかのリソース（CPUなど）を使用してこのタスクを実行する必要があり、両方の方向のトラフィックが同じポートに複製されることを意味します。前述のように、全二重リンクでは、これは

A -> B と B -> A

A の合計は、パケット損失が発生する前にネットワーク速度を超えることはありません。これは、物理的にパケットをコピーするスペースがないためです。ポートミラーリングは、多くのスイッチ（すべてではない）で実行できるため、優れた手法であることがわかります。ほとんどのスイッチにはパケット損失の欠点があるため、50% を超える負荷でリンクを監視する場合、またはポートをより高速なポートにミラ​​ーリングする場合（たとえば、100 Mbit ポートを 1 Gbit ポートにミラ​​ーリングする）、ポートミラーリングは多くのスイッチ（すべてではない）で実行できるため、優れた手法です。言うまでもなく、パケットミラーリングではスイッチリソースの交換が必要になる場合があり、デバイスに負荷がかかり、交換パフォーマンスが低下する可能性があります。1 つのポートを 1 つのポートに接続したり、1 つの VLAN を 1 つのポートに接続したりすることはできますが、通常、複数のポートを 1 つにコピーすることはできないことに注意してください。（パケットミラーリングのように）がありません。

ネットワークTAP（端末アクセスポイント）完全にパッシブなハードウェアデバイスであり、ネットワーク上のトラフィックをパッシブにキャプチャできます。ネットワーク内の2点間のトラフィックを監視するためによく使用されます。2点間のネットワークが物理ケーブルで構成されている場合、ネットワークTAPはトラフィックをキャプチャする最適な方法となる可能性があります。

ネットワークタップには、少なくともAポート、Bポート、そしてモニターポートの3つのポートがあります。ポイントAとポイントBの間にタップを設置するには、ポイントAとポイントB間のネットワークケーブルを、1本をタップのAポートに接続し、もう1本をタップのBポートに接続する2本のケーブルに置き換えます。タップは2つのネットワークポイント間のすべてのトラフィックを通過させるため、2つのポイントは互いに接続されたままです。また、タップはトラフィックをモニターポートにコピーするため、分析デバイスが監視できるようになります。

ネットワークTAPは、APSなどの監視・収集デバイスでよく使用されます。TAPは目立たず、ネットワーク上で検出されず、全二重および非共有ネットワークに対応し、タップが動作を停止したり電源が失われたりしても通常はトラフィックを通過させるため、セキュリティアプリケーションにも使用できます。