Wikipedia · einfach zusammengefasst · Stand
Network-TAP
Ein Network-TAP oder Netzwerk-TAP ist ein Netzwerkgerät, das den Abgriff von Datenverkehr in einem Rechnernetz wie beispielsweise Ethernet ermöglicht und einem …
Inhalt3 Abschnitte
Aufgabe und Einsatz
Ein Network-TAP (Netzwerk-TAP) ist ein Gerät zum Abgreifen von Datenverkehr in einem Rechnernetz, etwa Ethernet. Es leitet die abgegriffenen Daten an einen Sniffer weiter, also an ein Programm oder Gerät zur Analyse des Netzwerkverkehrs.
TAPs werden zur Fehlersuche und Netzwerkverkehrsanalyse eingesetzt. Weitere Anwendungen sind die Angriffserkennung durch ein Intrusion Detection System, die IT-Forensik und die Telekommunikationsüberwachung.
Anschlüsse und Datenabgriff
Ein Network-TAP besitzt je nach Netzwerkschnittstelle verschiedene Bauformen, hat aber immer mindestens drei Netzwerkanschlüsse (Ports). Über Port-A und Port-B wird der zu untersuchende Datenstrom transparent weitergeleitet. Der Monitor-Port ist ausschließlich ein Ausgang: Er gibt die abgegriffenen Daten zur Analyse aus.
Der Abgriff soll möglichst rückwirkungsfrei erfolgen. Daten dürfen nicht verändert werden; beispielsweise dürfen Pakete mit fehlerhafter Prüfsumme weder unterdrückt noch korrigiert werden. Außerdem soll die zusätzliche Latenz möglichst gering, idealerweise nicht vorhanden sein. Vom Monitor-Port dürfen keine Daten zu Port-A oder Port-B übertragen werden.
Bei Vollduplexbetrieb können Port-A und Port-B gleichzeitig in beide Richtungen Daten übertragen. Damit bei voller Auslastung kein Datenverlust entsteht, muss ein einzelner Monitor-Port die doppelte Datenrate unterstützen. Stattdessen können zwei Monitor-Ports verwendet werden, von denen jeder nur die Daten einer Übertragungsrichtung ausgibt.
Bauformen und Ausfallsicherheit
TAPs lassen sich nach dem PHY unterscheiden, also nach dem physischen Übertragungsmedium. Beispiele sind Lichtwellenleiter und drahtgebundene Twisted-Pair-Kabel. Außerdem gibt es aktive und passive TAPs.
Passive TAPs sind die einfachste Bauform: Sie greifen Signale nur physisch ab und führen weder Signalverstärkung noch Datenverarbeitung aus. Bei Lichtwellenleitern wird dazu ein bestimmter Anteil der optischen Leistung auf den Monitor-Port ausgekoppelt. Aktive TAPs können abgegriffene Signale bei Bedarf verstärken oder Daten mit bestimmter Struktur am Monitor-Port zusammenführen. Solche Geräte heißen Aggregation TAPs.
Bleibt ein TAP über längere Zeit in einer Hauptdatenleitung eingebaut, etwa zur dauerhaften Überwachung in zentralen Vermittlungsstellen, ist seine Ausfallsicherheit wichtig. Zusätzliche passive Brückenschaltungen können bei Stromausfall Port-A und Port-B direkt verbinden. Die Monitorfunktion fällt dann aus, die Datenübertragung zwischen den beiden Ports wird jedoch nicht unterbrochen.
Teilweise können Switches mit umfangreichen Managementfunktionen aktive TAPs ersetzen. Dazu werden portbasierte VLANs zur Isolierung des Monitor-Ports und Port-Mirroring zur Ausgabe der Daten auf diesen Port kombiniert. Switches sind jedoch nicht speziell für das Spiegeln von Daten ausgelegt; bei hohen Datenraten kann es am Monitor-Anschluss zu Datenverlust kommen.