ハードウェアタップとポートミラーリング-制限はありますか？

主にシスコの環境で働いており、Wiresharkで使用するネットワークタップデバイスの購入を検討しています。

使いやすさ、キットのコストなどの考慮事項を考慮して、ネットワークタップを使用するか、ポートミラーリングを設定する間の経験から長所と短所を提供できますか？2つのアプローチにはそれぞれ制限がありますか？

（10年前からこれに取り組んできました）

ハンズダウン、タップとスパンの最大の機能的な違いは...パッシブタップは、決して今までにどのような状況の下で、フレームをドロップしない-それは、電気的にフレーム、エラーとすべてを複製します。アクティブタップ（再生、または集約）は、フレームをドロップできます。双方向トラフィックがモニターポートのリンク速度を超える場合。（1GリンクはTX + RX 1G（2G）のトラフィックを伝送できません）

スイッチSPANポートはトラフィックをドロップします。SPANは、スイッチにとって最も低い優先順位です。これは、ライブトラフィックを維持するために、SPANトラフィックを犠牲にします。わずかにロードされたスイッチではこれが表示されない場合がありますが、実際にはスイッチSPANがそれを送信しなかったにもかかわらず、トラフィックをドロップしたという不満を世界中から多数寄せてきました。

ただし、SPANは安価で豊富です。ほとんどすべての管理対象スイッチは、モニターセッションのセットアップをサポートしています。通常、セットアップや再構成は簡単です。一方、タップは非常に高価でまれです。タップを使用するには、ネットワークケーブルのプラグを抜く必要があります。そして、彼らは彼らが力を失うとき、ヒットを引き起こします。（「アンプラグド==壊れたリンク」ではなく、瞬間的です。汚れた単純なものでさえ、オフのときにリンクを維持します。）

SPANがTAPを行わない場合にSPANがフレームをドロップする可能性はありますが、Ciscoスイッチ（および他のスイッチ）にはRSPANと呼ばれるクールな機能があります。

リモートSPANをセットアップして、キャプチャしたフレームをネットワーク経由で監視ステーションに転送できます。

私の経験では、物理的なネットワークタップにより、はるかに高い柔軟性が得られます。多くのシスコプラットフォームには、SPANポート/モニタリングセッションの数に制限があります。

物理ネットワークタップを使用することにより、Ciscoデバイス自体のCPUオーバーヘッドを使用せずに、いくつかの異なるポートを直接監視できます。

また、物理的なタップのコストも検討する価値があります。物理的なタップには追加の資本費用がかかりますが、組み込みのスパン機能を使用するための追加の費用はありません。

-

最近、Cisco VoIPの実装のために、通話録音ソフトウェアのインストールを指定する必要がありました。必要なセッションの数がスイッチの能力を超えていたため、いくつかの場所では、物理タップを使用して音声トラフィックを録音サーバーにスパンすることが意味をなしました。

加えて：

タップ：負荷がかかった状態でSPANセッションによって引き起こされるバッファリング/タイミング変更の影響を受けません-ナノ秒が大きく、ハードウェアタイムスタンプが使用されている低遅延環境で重要になる可能性があります。

SPAN：TX側とRX側の2つのポートを宛先ポートとして選択できますが、これはプラットフォームによって異なります。これにより、2対1のオーバーサブスクリプションの問題が解決されます。

基本的には、SPANはタイミングの潜在的な追加の変動と、場合によってはパケットの順序を追加する可能性があり、これは一部のタイプの分析で問題になる可能性があります。