Пассивная оптическая TAP (точка доступа к трафику) — это автономное встроенное аппаратное устройство, которое разделяет свет на оптоволоконной линии для отправки копии всего трафика на инструмент мониторинга. Он не требует ни электричества, ни настройки, ни прошивки. Поскольку он работает на физическом уровне, разделяя фотоны, он не может отбрасывать пакеты, увеличивать задержку или становиться точкой отказа, как это может сделать коммутатор или устройство с питанием.
Как работает пассивный оптический TAP
Внутри устройства оптический делитель делит поступающий свет на два пути. В стандартном дуплексном оптоволоконном канале каждое направление (TX и RX) разделяется независимо, создавая два выхода монитора - по одному на каждое направление -, поэтому инструменты мониторинга видят полный двунаправленный разговор.
Это процесс физического-уровня. TAP не буферизует, не анализирует, не изменяет и не передает повторно какие-либо данные. Он просто разделяет свет. Порты монитора оптически изолированы от сетевых портов, создавая односторонний-тракт передачи данных. Даже скомпрометированный инструмент мониторинга не может вернуть трафик или ошибки обратно в производственный канал.
Вносимая потеря: основной компромисс
Расщепление света снижает мощность сигнала на производственном тракте. Это уменьшение называется вносимыми потерями. На коротком канале центра обработки данных с большим оптическим запасом разделение 50/50 обычно не вызывает проблем. В более длительном-режимном режиме, уже работающем вблизи порога чувствительности приемника, даже разделение 70/30 требует тщательной проверки. Расчет оптического бюджета до установки -, а не после - предотвращает появление периодических ошибок через несколько недель или месяцев по мере старения трансиверов.
Пассивный оптический TAP, активный TAP и порт SPAN
| Пассивный оптический TAP | Активный ТАП | SPAN-порт | |
|---|---|---|---|
| Требуемая мощность | Нет | Да | Нет (используется питание от переключателя) |
| Режим отказа | Свет проходит; ссылка остается активной | Соединение может ненадолго прерваться из-за потери питания (зависит от конструкции байпаса) | Сеанс зеркалирования прекращается при перегрузке или перезагрузке коммутатора |
| Полнота трафика | 100%, включая кадры ошибок | 100% с регенерацией сигнала | Может терять пакеты под нагрузкой; часто фильтрует кадры ошибок |
| Добавлена задержка | Никто | Микросекунды (обработка) | Нет мониторинга, но можно загружать процессор коммутатора |
| Поверхность безопасности | Нет - нет IP, нет интерфейса управления. | Имеет прошивку и интерфейс управления | Настраивается через коммутатор CLI/GUI |
| Лучше всего подходит | Непрерывный мониторинг оптоволокна, где надежность и полнота являются приоритетами | Ограниченный оптический бюджет или каналы, требующие регенерации сигнала | Временное устранение неполадок или подключение без физического доступа TAP |
Самое важное ограничение SPAN: зеркалирование – это функция с низким-приоритетом на большинстве коммутаторов. При большой нагрузке коммутатор бесшумно отбрасывает зеркальные пакеты, создавая «слепые зоны» в данных мониторинга именно в те моменты, когда полный захват имеет наибольшее значение.
Типы пассивных оптических ответвителей
По типу волокна
- Однорежимный-режим (OS2)- для соединений на большие-расстояния (до десятков километров). Использует длину волны 1310 нм или 1550 нм. Коэффициент разделения 70/30 или 80/20 обычно используется для сохранения ограниченного оптического бюджета.
- Многомодовый (OM3/OM4/OM5)- для центров обработки данных на короткие расстояния (до ~550 м) на длине волны 850 морских миль. Разделение 50/50 часто возможно из-за большого оптического запаса.
По типу разъема
- ЛК- стандарт для дуплексных каналов 1G и 10G. Самая высокая плотность портов в шасси, монтируемом в стойку.
- МПО/МТП- требуется для параллельной оптики 40G SR4, 100G SR4 и 400G SR8. Поддерживает конфигурации прорывов для мониторинга отдельных полос.
- СК- старый, более крупный формат, который все еще встречается в некоторых устаревших средах.
Как выбрать правильный пассивный оптический ответвитель
1. Сопоставьте тип волокна и разъем.
Однорежимная-точка доступа и многорежимная точка доступа — это разные устройства, - они не взаимозаменяемы. Разъем (LC, SC, MPO/MTP) также должен соответствовать вашей ссылке. Несоответствия требуют адаптеров, которые добавляют ненужные вносимые потери.
2. Выберите соотношение разделения
| Коэффициент разделения | Путь производства | Путь монитора | Типичное использование |
|---|---|---|---|
| 50/50 | 50% | 50% | Короткие соединения с дата-центрами с хорошей прибылью; 40G+ каналов, где средствам мониторинга нужен сильный сигнал |
| 70/30 | 70% | 30% | Каналы 1G/10G на средних-расстояниях; наиболее распространенное соотношение-целевого назначения |
| 80/20 или 90/10 | 80–90% | 10–20% | Длинные одномодовые ссылки-с ограниченным бюджетом; средство мониторинга должно иметь чувствительный приемник |
3. Рассчитайте бюджет оптической линии.
Этот шаг предотвращает большинство ошибок развертывания. Перед покупкой:
- Найдите минимальную выходную мощность передатчика и чувствительность приемника в таблице данных трансивера.
- Рассчитайте общее затухание в волокне (расстояние × потери на км). Эталонные значения: ~3,5 дБ/км для многомодового OM4 на длине волны 850 нм; ~0,4 дБ/км для одномодового-мода на длине волны 1310 нм.
- Добавьте потери в разъемах (~0,2–0,5 дБ на сопряженную пару для качественных разъемов).
- Добавьте вносимые потери TAP для выбранного коэффициента разделения.
- Учитывайте запас системы не менее 3 дБ на старение, ремонт и изменение температуры.
- Убедитесь, что общие потери не выходят за рамки бюджета мощности трансивера.
Также убедитесь, что приемник средства мониторинга достаточно чувствителен, чтобы работать с пониженной мощностью порта монитора TAP.
4. Избегайте этих распространенных ошибок
- Пропуск расчета бюджета- TAP, прошедший стендовые испытания, все равно может вызывать ошибки CRC на рабочем канале с небольшим запасом.
- Выбор соотношения разделения только для стороны монитора- Разделение 50/50 дает более сильный сигнал мониторинга, но если запас производственного канала ограничен, это может привести к тому, что прямой путь окажется ниже надежного порога.
- Забывая о потерях в разъемах и патч-панелях- каждая спаренная пара добавляет потери. В сильно исправленной среде они накапливаются.
- Предполагая, что все пассивные TAP эквивалентны- два TAP с одинаковым коэффициентом разделения могут иметь разные характеристики вносимых потерь. Проверьте таблицу данных.
Когда использовать пассивный оптический TAP
- Вам необходим постоянный-непрерывный мониторинг оптоволоконной линии с достаточным оптическим запасом.
- Полнота трафика имеет значение - IDS, судебно-медицинская экспертиза, ведение журнала соответствия.
- Вы хотите, чтобы мониторинг был отделен от конфигурации коммутатора и ресурсов коммутатора.
- Вам нужна нулевая зависимость от электропитания и отсутствие уязвимой поверхности управления.
- Системы соответствия (NERC CIP, PCI DSS, IEC 62443, HIPAA) требуют разделения между инфраструктурой мониторинга и производственной инфраструктурой.
Когда пассивный оптический TAP не подходит
- Ограниченный оптический бюджет- если линия уже находится на уровне чувствительности приемника, дополнительное разделение может привести к ошибкам. Вместо этого используйте активный TAP с регенерацией сигнала.
- Медные ссылки- пассивные оптические TAP работают только по оптоволокну. Для мониторинга медного кабеля требуется медный порт TAP или SPAN.
- Необходимы манипуляции с трафикомДля фильтрации, агрегации, дедупликации или преобразования протоколов - требуется брокер пакетов или активный нисходящий TAP.
- Временное устранение неполадок- Сеанс SPAN можно настроить быстрее, если вам просто нужно быстро просмотреть ссылку с низкой-критичностью.
Часто задаваемые вопросы
Требуется ли пассивному оптическому TAP питание?
Нет. Он работает полностью за счет оптического разделения без активной электроники.
Поддерживает ли он двунаправленный трафик?
Да. Каждое направление дуплексного канала разделяется независимо, создавая два мониторных выхода.
Может ли это повлиять на производственный трафик?
Он вносит вносимые потери (снижает уровень сигнала), но не может вводить трафик или ошибки. Правильное планирование оптического бюджета гарантирует работоспособность производственного звена.
Пассивный TAP лучше, чем порт SPAN?
Для непрерывного мониторинга, когда важна полнота трафика, - да. Пассивный TAP захватывает 100% трафика, включая кадры ошибок, и никогда не теряет пакеты под нагрузкой. Порт SPAN проще настроить без изменения физических кабелей, но он автоматически отбрасывает зеркальные пакеты, когда коммутатор занят.
Как выбрать между 50/50 и 70/30?
Начните с оптического бюджета производственного звена. Короткие каналы центров обработки данных с-мощными трансиверами обычно обеспечивают 50/50. Для более длительных периодов или более ограниченных бюджетов требуется соотношение 70/30 или выше. Всегда проверяйте, чтобы и производственный приемник, и приемник инструмента мониторинга имели достаточный сигнал.
Могут ли злоумышленники обнаружить пассивный TAP?
Нет. У него нет ни IP-адреса, ни MAC-адреса, ни интерфейса управления. Он невидим для любого сетевого-сканирования.
Как долго служат пассивные TAP?
Они не содержат компонентов, которые портятся при использовании. Срок внедрения обычно составляет 10–20 лет. Единственное техническое обслуживание — периодическая очистка оптоволоконного разъема.
