Ketuk perangkat vs pencerminan port - Ada batasan?

Saya terutama bekerja di lingkungan Cisco dan berencana membeli perangkat keran jaringan untuk digunakan dengan Wireshark.

Adakah yang bisa memberikan pro dan kontra dari pengalaman mereka antara menggunakan keran jaringan ATAU mengatur mirror port yang diberikan pertimbangan seperti kemudahan penggunaan, biaya kit dan apakah ada batasan antara 2 pendekatan masing-masing?

(telah bekerja dengan ini selama satu dekade sekarang)

Hands down, perbedaan fungsional terbesar antara keran dan rentang ... keran pasif tidak akan pernah menjatuhkan bingkai, dalam keadaan apa pun - secara elektrik menduplikasi bingkai, kesalahan, dan semuanya. Keran aktif (regeneratif, atau agregat) dapat menjatuhkan bingkai, misalnya. jika lalu lintas dua arah melebihi kecepatan tautan port monitor. (tautan 1G tidak dapat membawa lalu lintas TX + RX 1G (2G))

Beralih port SPAN akan menurunkan lalu lintas. SPAN adalah prioritas terendah untuk sakelar - ini akan mengorbankan lalu lintas SPAN demi mempertahankan lalu lintas langsung. Switch yang sedikit dimuat mungkin tidak pernah menunjukkan ini, tetapi saya memiliki lusinan panggilan pelanggan dari seluruh dunia mengeluh bahwa kami kehilangan lalu lintas, padahal sebenarnya switch mereka SPAN yang tidak mengirimkannya kepada kami.

Namun, SPAN murah dan berlimpah. Hampir setiap sakelar yang dikelola mendukung pengaturan sesi monitor. Dan mereka biasanya sepele untuk pengaturan dan / atau konfigurasi ulang. Tap, di sisi lain, sangat mahal dan langka. Taps membutuhkan kabel jaringan yang dicabut, yang memiliki banyak hambatan dari hampir semua orang. Dan mereka menyebabkan pukulan ketika mereka kehilangan kekuatan. (sesaat, bukan "unplugged == broken link". bahkan yang sederhana sekalipun akan mempertahankan tautan ketika mati.)

Meskipun SPAN dapat (akan) menjatuhkan frame ketika TAP tidak mau, Cisco beralih (dan mungkin yang lain) memiliki fitur keren yang disebut RSPAN .

Ini memungkinkan untuk mengatur SPAN jarak jauh, untuk mengangkut frame yang ditangkap melalui jaringan ke stasiun pemantauan:

Dalam pengalaman saya, keran jaringan fisik memberi Anda lebih banyak fleksibilitas. Banyak platform Cisco memiliki batasan jumlah port SPAN / sesi pemantauan.

Dengan menggunakan keran jaringan fisik Anda dapat secara langsung memonitor beberapa port yang berbeda tanpa menggunakan overhead CPU pada perangkat Cisco itu sendiri.

Juga patut dipertimbangkan adalah biaya untuk keran fisik. Keran fisik dikenakan biaya modal tambahan, sementara tidak ada pengeluaran tambahan untuk menggunakan fungsionalitas rentang bawaan.

-

Baru-baru ini saya harus menentukan instalasi beberapa perangkat lunak panggilan-rekaman untuk implementasi Cisco VoIP kami. Di beberapa lokasi, masuk akal untuk menggunakan ketukan fisik untuk merentang lalu lintas suara ke server rekaman karena jumlah sesi yang dibutuhkan akan melebihi kemampuan sakelar.

Tambahan:

Taps: tidak akan mengalami perubahan buffering / timing yang diinduksi oleh sesi SPAN dalam kondisi dimuat - bisa menjadi penting dalam lingkungan latensi rendah di mana nanodetik signifikan, dan cap waktu perangkat keras sedang digunakan.

SPAN: Anda dapat memilih dua port sebagai port tujuan, satu untuk sisi TX dan satu untuk sisi RX, tetapi ini tergantung pada platform. Ini memecahkan masalah 2 hingga 1 kelebihan langganan.

Pada dasarnya, apa yang terjadi adalah bahwa SPAN dapat memperkenalkan variasi buatan tambahan dalam pengaturan waktu dan berpotensi memesan paket yang dapat menjadi masalah untuk beberapa jenis analisis.