Ağ Monitoring için TAP ve SPAN
Port Kablolaması

Ağ monitoring için TAP ve SPAN port kablolaması, izleme ve güvenlik araçlarının ağ trafiğine erişimini sağlayan fiziksel bağlantı mimarisini kapsar. Bu iki yöntem farklı çalışma prensiplerine sahip olduğundan, kablolama planlaması da farklı gereksinimler doğurur; doğru planlanmadığında izleme sistemleri eksik veya hatalı veri toplayabilir.

1. SPAN Port Nedir?

SPAN (Switched Port Analyzer), bazı üreticilerde “port mirroring” olarak da adlandırılan bir switch özelliğidir. Switch üzerinde tanımlanan bir veya birden fazla kaynak portun trafiği, yazılımsal olarak kopyalanarak hedef bir porta yönlendirilir. Bu hedef porta bir izleme cihazı (IDS/IPS, paket analizörü, trafik toplayıcı vb.) bağlanır.

SPAN, ek donanım gerektirmeden mevcut switch üzerinden yapılandırılabildiği için pratik bir çözüm olarak görülür. Ancak trafiğin kopyalanması switch’in işlemci ve anahtarlama kaynaklarını kullandığından, yoğun trafik koşullarında kaynak paylaşımı önemli bir kısıt haline gelir.

2. Network TAP Nedir?

Network TAP (Test Access Point), fiziksel bir donanım olarak ağ hattının üzerine konumlandırılan ve o hattaki trafiğin bir kopyasını izleme cihazına ileten bir bileşendir. TAP, aktif ağ cihazlarının işlem kaynağını kullanmaz; trafiği pasif olarak yakalar veya sinyali elektriksel/optik olarak çoğaltarak iletir.

TAP çözümleri genellikle iki temel kategoriye ayrılır:

• Pasif TAP: Bağlantı hattındaki sinyali doğrudan ayrıştırarak izleme portuna verir, aktif elektronik bileşen içermez (bakır veya fiber ortamda uygulanabilir).
• Aktif/Regeneration TAP: Sinyali yeniden üreterek (regenerate ederek) izleme cihazına iletir, güç kaynağına ihtiyaç duyar.

Tam çift yönlü (full-duplex) bir bağlantıda gönderme ve alma trafiği ayrı fiziksel yollarda taşındığından, tek bir izleme portuyla her iki yönün birden yakalanması mümkün değildir. Bu nedenle çoğu TAP çözümü, iki yönün tek bir izleme portunda birleştirilmesi için bir aggregation (birleştirme) mekanizması sunar veya izleme cihazına iki ayrı port üzerinden bağlantı gerektirir.

3. SPAN ve TAP Arasındaki Farklar

İki yöntem de trafiği bir izleme cihazına ulaştırmayı amaçlasa da, çalışma prensipleri ve fiziksel kablolama etkileri farklıdır.

4. Fiziksel Kablolama Gereksinimleri

SPAN Port için Kablolama

SPAN kullanımında fiziksel kablolama görece basittir: izleme cihazının bağlanacağı hedef port için switch üzerinde uygun bir port ayrılır ve bu porta doğrudan bir patch kablo ile bağlantı yapılır. Kaynak portlar değişse dahi genellikle ek kablolama gerekmez, çünkü kopyalama işlemi switch içinde yazılımsal olarak yapılır.

Buna karşın, izleme trafiğinin sürekli belirli bir noktaya yönlendirilmesi gerektiğinden, hedef port ile izleme cihazı arasındaki bağlantının kalıcı ve düzenli şekilde etiketlenmesi, sonradan yapılacak port değişikliklerinde karışıklığı önler.

TAP için Kablolama

TAP kullanımında izlenecek hat, doğrudan kaynak ve hedef cihaz arasında değil, TAP cihazı üzerinden geçirilir. Bu durum aşağıdaki fiziksel kablolama gereksinimlerini doğurur:

• İzlenecek bağlantının iki ucu da TAP cihazının giriş portlarına yönlendirilmelidir (in-line yerleşim).
• TAP’ın izleme (monitor) portlarından izleme cihazına ayrı kablo çekilmelidir; full-duplex yakalama gerekiyorsa bu genellikle iki ayrı kablo/port anlamına gelir.
• TAP cihazının rack içindeki konumu, hem izlenecek hattın hem de izleme cihazının erişebileceği şekilde planlanmalıdır; gereksiz uzun patch kabloları düzensizliğe yol açar.
• Fiber hatlarda TAP kullanılıyorsa, optik konnektör tipi ve kayıp bütçesi (insertion loss) üretici belgesine göre değerlendirilmelidir.

5. Kablolama Planlamasında Dikkat Edilmesi Gerekenler

Etiketleme ve Dokümantasyon

İzleme amaçlı kablolama, üretim trafiğinden farklı bir amaç taşıdığı için patch panel ve port etiketlerinde bu ayrımın açıkça yapılması gerekir. “MON” veya “SPAN” gibi tutarlı bir etiketleme kuralı, ileride yapılacak bakım ve sorun giderme sırasında zaman kazandırır.

Yedeklilik ve Kesinti Riski

Pasif TAP cihazları, hat üzerine seri şekilde eklendiği için TAP’ın fiziksel arızası veya yanlış kablolanması, izlenen hattın kendisini de etkileyebilir. Bu nedenle TAP seçimi ve kablolama işlemi, üretici belgesindeki bypass/fail-safe davranışına göre dikkatle yapılmalıdır.

Kapasite ve Ölçeklenebilirlik

Birden fazla hattın izlenmesi gerektiğinde, her hat için ayrı bir TAP mi yoksa birleştirici (aggregation) özellikli bir çözüm mü kullanılacağı, kablolama sayısını doğrudan etkiler. Planlama aşamasında gelecekteki izleme ihtiyaçları da göz önünde bulundurularak patch panel üzerinde yeterli boş port bırakılması faydalı olur.

6. Doğru Mimari Seçimi

SPAN ve TAP arasında seçim yaparken tek bir doğru cevap yoktur; seçim, izlemenin amacına (performans analizi mi, güvenlik izleme mi), izlenecek trafiğin yoğunluğuna ve mevcut ağ donanımının kapasitesine bağlıdır. Kritik güvenlik izleme senaryolarında, switch kaynağından bağımsız ve paket kaybı riskini azaltan TAP tabanlı çözümler tercih edilebilirken, genel amaçlı ve daha esnek izleme ihtiyaçlarında SPAN yeterli olabilir. Her iki durumda da fiziksel kablolamanın düzenli, etiketli ve dokümante edilmiş olması, izleme sisteminin güvenilirliğini doğrudan etkiler.

7. Sıkça Sorulan Sorular

SPAN port kullanmak ağ performansını etkiler mi?

SPAN, switch’in işlemci ve anahtarlama kaynağını paylaştığından, yoğun trafik koşullarında switch üzerindeki genel performansı ve izleme portundaki veri bütünlüğünü etkileyebilir. Etkinin boyutu switch modeline ve trafik yoğunluğuna göre değişir; bu nedenle kritik ortamlarda üreticinin kapasite bilgisine bakılması önerilir.

TAP cihazı için mutlaka ek güç kaynağı gerekir mi?

Pasif TAP cihazları genellikle harici güce ihtiyaç duymadan çalışabilirken, aktif/regeneration TAP cihazları sinyali yeniden ürettiği için güç kaynağına ihtiyaç duyar. Hangi tipin kullanılacağı ürünün özelliklerine göre belirlenmelidir.

Aynı anda hem SPAN hem TAP kullanılabilir mi?

Evet, farklı izleme ihtiyaçları için aynı ağda hem SPAN hem TAP çözümleri bir arada kullanılabilir. Örneğin bazı hatlarda SPAN ile genel trafik gözlemi yapılırken, kritik hatlarda TAP ile daha güvenilir bir izleme katmanı oluşturulabilir.

Fiber hatlarda TAP kullanımı bakır hatlardan farklı mı?

Fiber ortamda TAP, optik sinyali ayrıştırarak (splitting) veya yeniden üreterek çalışır ve bu durumda hat üzerinde bir miktar optik kayıp oluşabilir. Bu kaybın bağlantı bütçesini aşmadığından emin olmak için üreticinin belirttiği kayıp değerleri kontrol edilmelidir.

İzleme portuna hangi kablolama standardı uygulanmalı?

İzleme portu bağlantıları da diğer yapısal kablolama bağlantıları gibi ilgili güncel standarda ve kullanılan ortamın (bakır/fiber) gereksinimlerine uygun şekilde sonlandırılmalıdır; özel bir farklı standart gerekmez.

İlgili Yazılar

• VLAN Tasarımı ve Fiziksel Kablolama Eşlemesi
• Ağ Kapasite Planlama: Bant Genişliği Öngörüsü
• Redundant Uplink Tasarımı ve Failover