虹科分享|便携式数据包捕获解决方案的发展

有人说，未来就在眼前。如果我们看看过去十年中开发出的物联网技术，我们的确没发反驳他们。21世纪的技术繁荣改变了我们的生活，和彼此之间的交流方式。

比如说我们正在研究的MAREA项目，我们甚至可以说我们正在见证历史。 这是一个从美国到西班牙的，铺设在海底的超高速光纤网络，拥有160Tbit / s的高速传输。

不幸的是，这些创新会为黑客渗透网络开辟新的途径。最新的勒索软件或DDoS攻击揭示了过去几年中没有的安全漏洞。

为了跟上瞬息万变的发展并让用户感到安心，许多公司已经创建了一些监视和安全工具。其中，数据包捕获解决方案是高度安全的IT基础架构的基础。

网络危机会在你最不经意的时候发生，这就是为什么网络监控的世界也必须进化。我们可以选择一种网络分析仪，它可以快速部署、快速捕获您的数据包，并且即使在现场使用，也足以应对突发状况。

诸如Profitap之类的公司创建了功能强大的便携式TAP（例如ProfiShark系列），它们是现场数据包捕获中最好、最快的工具之一。它们能帮助您深入网络、分析流量并识别造成故障的数据包的理想设备。

但是我们是如何做到的呢？便携式TAP如何强大到足以承受100％的流量，并且同时又易于在现场部署？

让我们来看看便携式网络TAP是如何发展的。

便携式全双工TAP

最初，我们是有铜缆和光纤TAP，它们被设计为仅在数据中心环境中使用。了解有关所有类型的网络监视工具的更多信息。

不久之后，制造商就了解现场工具的需求，所以他们创建了全双工TAP的基本版本，并将其作为便携式模型出售。但是，它们也只是机架安装型号的较小版本，并且仍包含机架安装螺钉固定器。

这种全双工TAP（也称为Breaking TAP）从两个网络端口捕获流量，并将其复制到两个输出或监视端口。除了全双工TAP本身之外，您还需要有一台包含双网络接口卡（NIC）的盒式PC。除此之外，托管监视应用程序的PC还必须执行接口绑定或链接聚合，才能将两个接口视为一个单一的流量。

设备以全线速捕获了流量，并且没有任何数据包丢失或定时延迟。因此，性能是值得肯定的，但是IT工程师仍然很难在现场采用这种“便携式” TAP，因为他们仍然需要额外的硬件。

总而言之，便携式TAP的第一种方法并不是真正的便携式，因为您无法在现场携带随身桌面，并且笔记本电脑上也没有双网卡。

便携式聚合TAP

TAP制造商尝试解决可移植性问题的另一种方法是引入Aggregator TAP，也称为Aggregation TAP。这种类型的TAP设备将两个传入通信流合并为一个传出通信流。这意味着只有一个监视端口也可以接收两个网络端口的聚合流量。

因此，这解决了用于分析的PC对双NIC的需求。实际上，它完全删除了盒式PC，从而使笔记本电脑可以轻松连接到TAP。虽然这实现了真正的可移植性，但是没有实现性能。

我们都知道，网络干线至少可以达到千兆速率（1 Gbps）。因此，无论对任何网络干线进行故障排除，都必须将TAP与千兆位网络端口一起放置。但是，当输出（或监视端口）也是千兆位端口时，则不可能在1Gbps输出上完全传输2Gbps的聚合流量。

因此，这会导致流量捕获不一致。一旦网络接口的利用率猛增到50％以上，如果此时缓冲区也饱和了，那么您的数据包将会从网桥上掉下来。如果两个输入网络端口均以最大容量限制流量，则可能会丢失多达50％的总流量。

克服这个瓶颈的最佳方法是，将聚合流量传输到更高的数据速率输出。对于TAP制造商来说，将10GE NIC用作便携式TAP的输出是不可行的。此外，笔记本电脑不具有10GE NIC，并且可能在很长一段时间不会使用。重点还是将便携性和性能打包到一个小工具中。

先进的现场数据包捕获工具

后来我们发布了专门开发的便携式网络TAP。大小袖珍且功能强大，该设备可以处理各种类型的故障排除——对于想要确保网络稳定、可扩展性和安全性的公司而言，这是一件理想的设备。

这类先进的现场故障排除工具与之前的产品不同，因为它们具有连接能力，并且能在几分钟内开始捕获数据包，无特殊要求。

它们还能够将捕获的数据包直接传输到主机计算机的磁盘。当每个数据包进入TAP时，会在硬件级别实时捕获所有数据包，并且具有纳秒级的时间戳。该时间戳允许以纳秒分辨率对捕获的流量进行实时协议分析。

我们的便携式网络TAP 正是为了做到这一点而设计的，它没有使用千兆网卡作为监视端口。相反，它使用了USB 3.0，该功能可以以高达5 Gbps的速度传输数据。因此，它可以通过USB 3.0链路轻松传输2 Gbps的聚合流量（端口A和B各传输1G）。

这意味着缓冲存储器不需要丢弃任何数据包，也不必存储足够长的数据包来影响其时序。此外，它还可以连接到笔记本电脑的USB端口，并具有独特的即插即用功能，而无需依赖外部电源。

如今，便携式捕获设备的发展甚至比便携式数据包中的网络线路还远。如今，它们可以用作长期捕获解决方案，并且可以远程访问。例如，如果您将ProfiShark 1G与NAS结合使用，它的长期捕获功能将帮助您捕获行为中的间歇性问题。 

此外，ProfiShark可以与我们自己的基于Web的网络流量分析器ProfiSight结合使用，使您可以通过提取捕获的数据包流中的元数据来快速查看流数据。换句话说，此数据包捕获和分析设置提供了对重要流量的快速、完整的访问和可视化，以便您可以解决间歇性的网络性能问题，并确保网络的服务质量（QoS）。

先进的便携式TAP工具已经可以在许多情况下使用，并有望提供良好的结果。当当评估临时的、间歇性的问题时，比如意外的协议交互（传统的监控工具无法评估这些问题），它们可能是理想的选择。

这些便携式设备对于防范网络攻击（例如网络钓鱼或其他类型的安全威胁）非常有用。借助此类工具，网络管理员可以按时间顺序重建Web会话、电子邮件和“chat line”对话，以便调查安全事件并进行准确的取证分析。

最后，关于便携式网络TAP的最令人兴奋的事实也许就是我们才刚刚上路。现场网络监控的无限可能正在等待着我们！