Het belangrijkste verschil tussen het vastleggen van pakketten via Network TAP- en SPAN-poorten.

Poortspiegeling(ook bekend als SPAN)

Netwerktap(ook bekend als replicatietap, aggregatietap, actieve tap, kopertap, ethernettap, enz.)TAP (Terminal Access Point)Een netwerk-TAP is een volledig passief hardwareapparaat dat passief netwerkverkeer kan vastleggen. Het wordt vaak gebruikt om het verkeer tussen twee punten in het netwerk te monitoren. Als de verbinding tussen deze twee punten via een fysieke kabel loopt, is een netwerk-TAP mogelijk de beste manier om het verkeer vast te leggen.

Voordat we de verschillen tussen de twee oplossingen (Port Mirror en Network Tap) uitleggen, is het belangrijk om te begrijpen hoe Ethernet werkt. Bij snelheden van 100 Mbit/s en hoger communiceren hosts meestal in full-duplex, wat betekent dat één host tegelijkertijd kan verzenden (Tx) en ontvangen (Rx). Dit houdt in dat op een 100 Mbit/s-kabel die op één host is aangesloten, de totale hoeveelheid netwerkverkeer die één host kan verzenden/ontvangen (Tx/Rx) 2 × 100 Mbit/s = 200 Mbit/s bedraagt.

Poortspiegeling is actieve pakketreplicatie, wat betekent dat het netwerkapparaat fysiek verantwoordelijk is voor het kopiëren van het pakket naar de gespiegelde poort.

Verkeer vastleggen: TAP versus SPAN
Als je netwerkverkeer monitort en geen directe ondersteuning wilt bieden terwijl een gebruiker een transactie uitvoert, heb je twee belangrijke opties. In het volgende artikel geven we een overzicht van TAP (Test Access Point) en SPAN (Switch Port Analyzer). Voor een diepere analyse kun je terecht bij Timo'Neill, expert op het gebied van packet inspection, met diverse artikelen op lovemytool.com. Hier houden we het echter bij een meer algemene aanpak.

SPAN
Port mirroring is een methode om netwerkverkeer te monitoren door een kopie van elk inkomend en/of uitgaand pakket van een of meer poorten (of VLAN's) van een switch door te sturen naar een andere poort die is aangesloten op een netwerkverkeersanalysator. Spans worden vaak gebruikt in eenvoudigere systemen om meerdere locaties tegelijk te monitoren. Het exacte aantal netwerktransmissies dat kan worden gemonitord, hangt af van de locatie van de SPAN ten opzichte van de apparatuur in het datacenter. U zult waarschijnlijk vinden wat u zoekt, maar het is gemakkelijk om te veel data te verzamelen. Het is bijvoorbeeld mogelijk om meerdere kopieën van dezelfde data in een volledig VLAN te vinden. Dit maakt het oplossen van problemen met het LAN lastiger en beïnvloedt ook de snelheid van de switch-CPU's of de detectie van de plaatsing van de Ethernet-verbinding. Kortom, hoe meer spans, hoe groter de kans op pakketverlies. In vergelijking met taps kunnen spans op afstand worden beheerd, wat betekent dat er minder tijd nodig is voor het wijzigen van configuraties, maar netwerkengineers blijven nodig.

SPAN-poorten zijn geen passieve technologie, zoals sommigen beweren, omdat ze andere meetbare effecten op het netwerkverkeer kunnen hebben, waaronder:
- Tijd om de frame-interactie te wijzigen

- Pakketten worden gedropt vanwege overmatige zoekopdrachten.

- Beschadigde pakketten worden zonder waarschuwing verwijderd, waardoor de analyse wordt belemmerd.
Daarom zijn SPAN-poorten geschikter voor situaties waarin het verlies van pakketten geen invloed heeft op de analyse, of waar kosten een rol spelen.

KRAAN
In tegenstelling tot routers en switches, vereisen taps wel een initiële investering in hardware, maar de installatie ervan is minimaal. Omdat ze passief zijn, kunnen ze zonder problemen op het netwerk worden aangesloten en ervan worden losgekoppeld. Taps zijn hardwareapparaten die toegang bieden tot data die door een computernetwerk stroomt en worden vaak gebruikt voor netwerkbeveiliging en prestatiebewaking. Het bewaakte verkeer wordt "pass-through" verkeer genoemd en de poort die voor bewaking wordt gebruikt, heet de "monitoringpoort". Om het netwerk beter te kunnen onderzoeken, kunnen taps tussen routers en switches worden geplaatst.
Omdat TAP geen invloed heeft op pakketten, kan het worden beschouwd als een volledig passieve manier om netwerkverkeer te bekijken.
Er zijn in principe drie soorten TAP-oplossingen:

- Netwerksplitter (1:1)

- Geaggregeerde TAP (multi : 1)

- Regeneratiekraan (1 : multi)

TAP dupliceert verkeer naar één passieve monitoringtool of naar een packet relay-apparaat met hoge dichtheid, en bedient meerdere (vaak meerdere) QoS-testtools, netwerkmonitoringtools en netwerksniffertools zoals Wireshark.
Daarnaast variëren TAP-typen afhankelijk van het type kabel, waaronder glasvezel-TAP en gigabit-koper-TAP. Beide werken in principe op dezelfde manier door een deel van het signaal af te leiden naar de netwerkverkeersanalysator, terwijl het hoofdsignaal ononderbroken blijft verzenden. Bij een glasvezel-TAP wordt de signaalbundel in tweeën gesplitst, terwijl bij een koperkabelsysteem het elektrische signaal wordt gedupliceerd.