Het belangrijkste verschil tussen het vastleggen van pakketten via Network TAP- en SPAN-poorten.

Poortspiegeling(ook bekend als SPAN)

Netwerktap(ook bekend als Replication Tap, Aggregation Tap, Active Tap, Copper Tap, Ethernet Tap, etc.)TAP (Terminal Access Point)Een volledig passief hardwareapparaat dat passief verkeer op een netwerk kan vastleggen. Het wordt vaak gebruikt om het verkeer tussen twee punten in het netwerk te monitoren. Als het netwerk tussen deze twee punten uit een fysieke kabel bestaat, is een netwerk-TAP mogelijk de beste manier om verkeer vast te leggen.

Voordat we de verschillen tussen de twee oplossingen (Port Mirror en Network Tap) uitleggen, is het belangrijk om te begrijpen hoe Ethernet werkt. Bij 100 Mbit en hoger communiceren hosts meestal in full-duplex, wat betekent dat één host tegelijkertijd kan verzenden (Tx) en ontvangen (Rx). Dit betekent dat over een 100 Mbit-kabel die op één host is aangesloten, de totale hoeveelheid netwerkverkeer die één host kan verzenden/ontvangen (Tx/Rx) 2 × 100 Mbit = 200 Mbit is.

Poortspiegeling is actieve pakketreplicatie, wat betekent dat het netwerkapparaat fysiek verantwoordelijk is voor het kopiëren van het pakket naar de gespiegelde poort.

Verkeer vastleggen: TAP versus SPAN
Als u bij het monitoren van netwerkverkeer de ondersteuning niet direct wilt operationaliseren terwijl een gebruiker een transactie verwerkt, hebt u twee belangrijke opties. In het volgende artikel geven we een overzicht van TAP (Test Access Point) en SPAN (Switch Port Analyzer). Voor een diepgaandere analyse heeft pakketinspectie-expert Timo'Neill verschillende artikelen op lovemytool.com die hier uitgebreid op ingaan, maar hier hanteren we een meer algemene benadering.

SPAN
Port mirroring is een methode om netwerkverkeer te monitoren door een kopie van elk inkomend en/of uitgaand pakket van een of meer poorten (of VLAN's) van een switch door te sturen naar een andere poort die is aangesloten op een netwerkverkeersanalysator. Spans worden vaak gebruikt in eenvoudigere systemen om meerdere locaties tegelijkertijd te monitoren. Het exacte aantal netwerktransmissies dat kan worden gemonitord, hangt af van de locatie van de SPAN ten opzichte van de datacenterapparatuur. U vindt waarschijnlijk wel wat u zoekt, maar het is gemakkelijk om te veel data te hebben. Het is bijvoorbeeld mogelijk om meerdere kopieën van dezelfde data over een volledig VLAN te vinden. Dit bemoeilijkt het oplossen van problemen met LAN's en heeft ook invloed op de snelheid van switch-CPU's of op het Ethernet via plaatsingsdetectie. Kortom, hoe meer spans, hoe groter de kans op pakketverlies. In vergelijking met taps kunnen spans op afstand worden beheerd, wat betekent dat er minder tijd wordt besteed aan het wijzigen van configuraties, maar er zijn nog steeds netwerktechnici nodig.

SPAN-poorten zijn geen passieve technologie, zoals sommigen beweren, omdat ze andere meetbare effecten op het netwerkverkeer kunnen hebben, waaronder:
- Tijd om de frame-interactie te veranderen

- Pakketten laten vallen vanwege overmatig opzoeken

- Corrupte pakketten worden zonder waarschuwing verwijderd, waardoor de analyse wordt belemmerd
SPAN-poorten zijn daarom geschikter voor situaties waarbij het verwijderen van pakketten geen invloed heeft op de analyse, of waarbij de kosten in overweging worden genomen.

KRAAN
Taps daarentegen vereisen vooraf hardware-investeringen, maar vereisen niet veel installatie. Omdat ze passief zijn, kunnen ze worden aangesloten op en losgekoppeld van het netwerk zonder dat dit gevolgen heeft. Taps zijn hardwareapparaten die toegang bieden tot gegevens die via een computernetwerk stromen en worden vaak gebruikt voor netwerkbeveiliging en prestatiebewaking. Het gemonitorde verkeer wordt "pass-through"-verkeer genoemd en de poort die voor de monitoring wordt gebruikt, wordt "monitoringpoort" genoemd. Om het netwerk beter te kunnen analyseren, kunnen taps tussen routers en switches worden geplaatst.
Omdat TAP geen invloed heeft op pakketten, kun je het zien als een echt passieve manier om netwerkverkeer te bekijken.
Er zijn in principe drie soorten TAP-oplossingen:

- Netwerksplitter (1:1)

- Geaggregeerde TAP (multi : 1)

- Regeneratie TAP (1: multi)

TAP repliceert verkeer naar één passieve bewakingstool of naar een pakketdoorgifteapparaat voor netwerken met hoge dichtheid en bedient meerdere (vaak meerdere) QOS-testtools, netwerkbewakingstools en netwerksniffertools zoals Wireshark.
Bovendien variëren de TAP-typen afhankelijk van het type kabel, waaronder glasvezel-TAP en gigabit koper-TAP. Beide werken in wezen op dezelfde manier: een deel van het signaal wordt overgedragen naar de netwerkverkeersanalysator, terwijl het hoofdmodel zonder onderbreking blijft verzenden. Bij glasvezel-TAP wordt de bundel in tweeën gesplitst, terwijl het bij koperkabelsystemen het elektrische signaal wordt gerepliceerd.