¿Cómo capturar tráfico de red? Espejo portuario contra golpecito de la red
Para analizar el tráfico de red, es necesario enviar el paquete de la red a NTOP/NPROBE.There es dos soluciones a este problema:
El duplicar del puerto (también conocido como PALMO)
Golpecito de la red (también conocido como golpecito de la réplica, golpecito de la agregación, golpecito activo, el golpecito de cobre, el golpecito de Ethernet, etc.)
Antes de explicar las diferencias entre las dos soluciones (el espejo y el golpecito portuarios de la red), es importante entender cómo Ethernet trabaja. En 100Mbit y arriba, los anfitriones hablan generalmente en el duplex lleno, significando que un anfitrión puede enviar (Tx) y recibir (Rx) simultáneamente. Esto significa eso en un cable conectado con un anfitrión, la cantidad total de 100 Mbit del tráfico de red que un anfitrión puede enviar/recibir (Tx/Rx)) es 2 el × 100 Mbit = 200 Mbit.
El duplicar portuario es réplica activa del paquete, así que significa que el dispositivo de la red es físicamente responsable de copiar el paquete al puerto duplicado.
Esto significa que el dispositivo debe realizar esta tarea usando un cierto recurso (tal como la CPU), y ambas direcciones de tráfico serán replicadas al mismo puerto. Tan mencionó anterior, en un lleno - el vínculo a dos caras, éste significa eso
A- >; B y B - > A;
La suma de A no excederá la velocidad de la red antes de que ocurra la pérdida del paquete. Esto es porque no hay físicamente espacio para copiar los paquetes. Resulta que el duplicar portuario es una gran técnica pues puede ser realizado por muchos interruptores (pero no no todo), porque la mayor parte de los interruptores con la desventaja de la pérdida del paquete, si usted supervisa un vínculo con encima la carga del 50%, o duplican los puertos sobre un puerto más rápido (e.g duplique 100 puertos de Mbit sobre un 1 puerto de Gbit). Sin mencionar ese paquete el duplicar puede requerir intercambiar los recursos de los interruptores, que pueden cargar el dispositivo y el funcionamiento del intercambio de la causa para degradar. Observe que usted puede conectar 1 puerto con un puerto, o 1 VLAN a un puerto, pero usted no puede copiar generalmente muchos puertos a 1. (para el espejo del paquete) está faltando.
Un GOLPECITO de la red (punto de acceso terminal) es un dispositivo de hardware completamente pasivo que puede capturar pasivo tráfico en una red. Es de uso general supervisar el tráfico entre dos puntos en la red. Si la red entre estos dos puntos consiste en un cable físico, un GOLPECITO de la red puede ser la mejor manera de capturar tráfico.
El GOLPECITO de la red tiene por lo menos tres puertos: un puerto de A, un puerto de B, y un puerto del monitor. Para colocar un golpecito entre los puntos A y B, el cable de la red entre el punto A y el punto B se substituye por un par de cables, uno que va al puerto de la A del GOLPECITO, el otro que va al puerto del B del GOLPECITO. El GOLPECITO pasa todo el tráfico entre los dos puntos de la red, así que todavía están conectados el uno al otro. El GOLPECITO también copia el tráfico a su puerto del monitor, así permitiendo a un dispositivo del análisis escuchar.
Los golpecitos de la red son de uso general por los dispositivos de la supervisión y de la colección tales como APS. Los golpecitos se pueden también utilizar en usos de la seguridad porque son no-molestos, no son perceptibles en la red, pueden ocuparse de las redes lleno-a dos caras y no-compartidas, y generalmente tráfico del paso incluso si el golpecito para el trabajar o pierde poder.
Pues los puertos de los golpecitos de la red no reciben sino transmiten solamente, el interruptor no tiene ninguna pista que se esté sentando detrás de los puertos. La consecuencia es que difundió los paquetes a todos los puertos. Tan si usted conecta su dispositivo de supervisión con el interruptor, tal dispositivo recibirá todos los paquetes. Observe que este mecanismo trabaja si el dispositivo de supervisión no envía ningún paquete al interruptor, si no el interruptor asumirá que los paquetes golpeados ligeramente no están para tal dispositivo. Para alcanzar eso, usted puede tampoco utilizar un cable de la red en el cual usted no ha conectado los alambres de TX, o utiliza un interfaz de red IP-menos (y DHCP-menos) que no transmita los paquetes en absoluto. Finalmente observe que si usted quiere utilizar un golpecito para no soltar los paquetes, después no combine las direcciones ni utilice un interruptor donde están más lentas las direcciones golpeadas ligeramente (e.g. 100 Mbit) que el puerto de la fusión (e.g. 1 Gbit).
