ネットワークトラフィックをキャプチャする方法とは？ネットワークタップとポートミラーリングの違い

これは、デバイスが何らかのリソース（CPUなど）を使用してこのタスクを実行する必要があり、トラフィックの双方向が同じポートに複製されることを意味します。前述のように、全二重リンクでは、

A → B および B → A

パケット損失が発生する前に、A の合計がネットワーク速度を超えることはありません。これは、物理的にパケットをコピーするスペースがないためです。ポートミラーリングは多くのスイッチで実行できるため優れた技術であることがわかります (ただし、すべてではありません)。ほとんどのスイッチはパケット損失の欠点があるため、50% を超える負荷でリンクを監視したり、ポートをより高速なポートにミラ​​ーリングしたり (たとえば、100 Mbit ポートを 1 Gbit ポートにミラ​​ーリング) します。パケットミラーリングではスイッチのリソースを交換する必要がある場合があり、デバイスに負荷がかかり、交換パフォーマンスが低下する可能性があることは言うまでもありません。1 つのポートを 1 つのポートに接続したり、1 つの VLAN を 1 つのポートに接続したりすることはできますが、一般的には多くのポートを 1 つのポートにコピーすることはできません。(パケットミラーリングのように) が欠落しています。

ネットワークTAP（端末アクセスポイント）ネットワークTAPは、ネットワーク上のトラフィックをパッシブにキャプチャできる、完全にパッシブなハードウェアデバイスです。ネットワーク内の2点間のトラフィックを監視するためによく使用されます。2点間のネットワークが物理的なケーブルで構成されている場合、ネットワークTAPはトラフィックをキャプチャする最良の方法となる可能性があります。

ネットワークTAPには、Aポート、Bポート、モニターポートの少なくとも3つのポートがあります。ポイントAとポイントBの間にTAPを設置するには、ポイントAとポイントB間のネットワークケーブルを、TAPのAポートとBポートに接続するケーブルのペアに置き換えます。TAPは2つのネットワークポイント間のすべてのトラフィックを転送するため、2つのポイントは接続されたままになります。また、TAPはトラフィックをモニターポートにもコピーするため、分析デバイスがトラフィックを傍受できるようになります。

ネットワークTAPは、APSなどの監視・収集装置で一般的に使用されています。TAPは、目立たず、ネットワーク上で検出されず、全二重通信や非共有ネットワークに対応でき、タップが動作を停止したり電源が切れたりしても通常はトラフィックを通過させるため、セキュリティアプリケーションにも使用できます。