Hovedforskjellen mellom å fange pakker ved hjelp av Network TAP- og SPAN-porter.

Portspeiling(også kjent som SPAN)

Nettverkstrykk(også kjent som replikasjonstap, aggregeringstap, aktivt tap, kobbertap, Ethernet-tap, osv.)TAP (Terminaltilgangspunkt)er en fullstendig passiv maskinvareenhet som passivt kan fange trafikk på et nettverk. Den brukes ofte til å overvåke trafikken mellom to punkter i nettverket. Hvis nettverket mellom disse to punktene består av en fysisk kabel, kan en nettverks-TAP være den beste måten å fange trafikk på.

Før vi forklarer forskjellene mellom de to løsningene (Port Mirror og Network Tap), er det viktig å forstå hvordan Ethernet fungerer. Ved 100 Mbit og over snakker verter vanligvis i full dupleks, noe som betyr at én vert kan sende (Tx) og motta (Rx) samtidig. Dette betyr at på en 100 Mbit-kabel koblet til én vert, er den totale mengden nettverkstrafikk som én vert kan sende/motta (Tx/Rx)) 2 × 100 Mbit = 200 Mbit.

Portspeiling er aktiv pakkereplikering, som betyr at nettverksenheten er fysisk ansvarlig for å kopiere pakken til den speilede porten.

Trafikkfangst: TAP vs. SPAN
Når du overvåker nettverkstrafikk, har du to hovedalternativer hvis du ikke vil operasjonalisere støtte direkte mens en bruker behandler en transaksjon. I den følgende artikkelen gir vi en oversikt over TAP (Test Access Point) og SPAN (Switch Port Analyzer). For en dypere analyse har pakkeinspeksjonsekspert Timo'Neill flere artikler på lovemytool.com som går i detalj, men her vil vi ta en mer generell tilnærming.

SPAN
Portspeiling er en metode for å overvåke nettverkstrafikk ved å videresende en kopi av hver innkommende og/eller utgående pakke fra en eller flere porter (eller VLAN-er) på en svitsj til en annen port som er koblet til en nettverkstrafikkanalysator. Span-er brukes ofte i enklere systemer for å overvåke flere steder samtidig. Det nøyaktige antallet nettverksoverføringer den kan overvåke, avhenger av hvor SPAN-en er installert i forhold til datasenterutstyret. Du vil sannsynligvis finne det du leter etter, men det er lett å ende opp med for mye data. For eksempel er det mulig å finne flere kopier av de samme dataene på tvers av et helt VLAN. Dette gjør LAN-feilsøking vanskeligere, og påvirker også hastigheten på svitsj-CPU-er eller påvirker Ethernet-en gjennom plasseringsdeteksjon. I utgangspunktet, jo flere span-er, desto mer sannsynlig er det å miste pakker. Sammenlignet med tappinger kan span-er administreres eksternt, noe som betyr at mindre tid brukes på å endre konfigurasjoner, men nettverksingeniører er fortsatt nødvendige.

SPAN-porter er ikke en passiv teknologi, slik noen hevder, fordi de kan ha andre målbare effekter på nettverkstrafikk, inkludert:
- Tid for å endre rammeinteraksjon

- Mister pakker på grunn av overdreven oppslag

- Korrupte pakker blir slettet uten varsel, noe som hindrer analysen
Derfor er SPAN-porter mer egnet for situasjoner der det å slippe pakker ikke påvirker analysen, eller der kostnader tas i betraktning.

TRYKK
I motsetning til dette må tapper bruke penger på maskinvare på forhånd, men de krever ikke mye oppsett. Siden de er passive, kan de faktisk kobles til og fra nettverket uten å påvirke det. Tapper er maskinvareenheter som gir en måte å få tilgang til data som flyter gjennom et datanettverk, og brukes ofte til nettverkssikkerhet og ytelsesovervåking. Den overvåkede trafikken kalles "gjennomstrømningstrafikk", og porten som brukes til overvåking kalles "overvåkingsport". For å undersøke nettverket tydeligere kan tapper plasseres mellom rutere og svitsjer.
Fordi TAP ikke påvirker pakker, kan det sees på som en virkelig passiv måte å se nettverkstrafikk på.
Det finnes i utgangspunktet tre typer TAP-løsninger:

- Nettverkssplitter (1:1)

- Samlet TAP (multi: 1)

- Regenerering TAP (1: multi)

TAP replikerer trafikk til et enkelt passivt overvåkingsverktøy, eller til en nettverkspakkereléenhet med høy tetthet, og betjener flere (ofte flere) QOS-testverktøy, nettverksovervåkingsverktøy og nettverkssnifferverktøy som Wireshark.
I tillegg varierer TAP-typer avhengig av kabeltypen, inkludert fiber-TAP og gigabit-kobber-TAP, som begge fungerer på i hovedsak samme måte ved å avlaste deler av signalet til nettverkstrafikkanalysatoren, mens hovedmodellen fortsetter å overføre uten avbrudd. For fiber-TAP er det for å dele strålen i to, mens det i kobberkabelsystemet er for å replikere det elektriske signalet.