TAP quang thụ động (điểm truy cập lưu lượng) là một thiết bị phần cứng nội tuyến, không có nguồn điện, có chức năng phân chia ánh sáng trên liên kết sợi quang để gửi bản sao của tất cả lưu lượng truy cập đến công cụ giám sát. Nó không cần điện, không cần cấu hình và không cần phần sụn. Bởi vì nó hoạt động ở lớp vật lý bằng cách phân chia các photon nên nó không thể làm mất gói tin, tăng thêm độ trễ hoặc trở thành điểm lỗi như cách mà một công tắc hoặc thiết bị cấp nguồn có thể làm.
TAP quang thụ động hoạt động như thế nào
Bên trong thiết bị, bộ chia quang chia ánh sáng tới thành hai đường. Trên liên kết sợi song công tiêu chuẩn, mỗi hướng (TX và RX) được phân chia độc lập, tạo ra hai đầu ra màn hình - một đầu ra mỗi hướng - để các công cụ giám sát có thể nhìn thấy toàn bộ cuộc hội thoại hai chiều.
Đây là một quá trình-lớp vật lý. TAP không đệm, phân tích, sửa đổi hoặc truyền lại bất kỳ dữ liệu nào. Nó chỉ đơn giản là phân chia ánh sáng. Các cổng màn hình được cách ly về mặt quang học với các cổng mạng, tạo ra đường dẫn dữ liệu một chiều. Ngay cả một công cụ giám sát bị xâm nhập cũng không thể đưa lưu lượng truy cập hoặc lỗi trở lại liên kết sản xuất.
Mất chèn: Sự đánh đổi cốt lõi
Việc tách ánh sáng làm giảm cường độ tín hiệu trên đường sản xuất. Sự giảm này được gọi là mất chèn. Trên một liên kết trung tâm dữ liệu ngắn có nhiều biên độ quang, việc chia 50/50 thường không gây ra vấn đề gì. Khi chạy một chế độ dài hơn-đã hoạt động gần ngưỡng độ nhạy của máy thu, ngay cả mức phân chia 70/30 cũng cần xác thực cẩn thận. Việc tính toán lượng quang trước khi cài đặt - chứ không phải sau - sẽ ngăn các lỗi gián đoạn xuất hiện hàng tuần hoặc hàng tháng sau khi bộ thu phát cũ đi.
TAP quang thụ động so với TAP hoạt động so với cổng SPAN
| TAP quang thụ động | TAP đang hoạt động | Cổng SPAN | |
|---|---|---|---|
| Nguồn điện cần thiết | KHÔNG | Đúng | Không (sử dụng nguồn chuyển đổi) |
| Chế độ lỗi | Ánh sáng xuyên qua; liên kết vẫn tồn tại | Liên kết có thể bị rớt trong thời gian ngắn do mất điện (tùy thuộc vào thiết kế bỏ qua) | Phiên nhân bản dừng khi quá tải hoặc khởi động lại |
| Giao thông đầy đủ | 100%, bao gồm cả khung lỗi | 100% với khả năng tái tạo tín hiệu | Có thể thả các gói đang tải; thường lọc các khung lỗi |
| Đã thêm độ trễ | Không có | Micro giây (xử lý) | Không có giám sát, nhưng có thể tải CPU chuyển đổi |
| Bề mặt an ninh | Không có - không có IP, không có giao diện quản lý | Có firmware và giao diện quản lý | Được cấu hình thông qua switch CLI/GUI |
| Phù hợp nhất | Giám sát sợi liên tục trong đó độ tin cậy và tính đầy đủ là ưu tiên hàng đầu | Ngân sách quang hoặc liên kết chặt chẽ cần tái tạo tín hiệu | Khắc phục sự cố hoặc liên kết tạm thời mà không có quyền truy cập TAP vật lý |
Hạn chế SPAN quan trọng nhất: phản chiếu là chức năng-có mức độ ưu tiên thấp trên hầu hết các thiết bị chuyển mạch. Khi chịu tải nặng, bộ chuyển mạch sẽ loại bỏ các gói được phản chiếu một cách im lặng, tạo ra các điểm mù trong dữ liệu giám sát của bạn vào đúng những thời điểm mà việc chụp toàn bộ quan trọng nhất.
Các loại TAP quang thụ động
Theo loại sợi
- Chế độ đơn{0}}(OS2)- dành cho các liên kết đường dài-(lên tới hàng chục km). Sử dụng bước sóng 1310 nm hoặc 1550 nm. Tỷ lệ phân chia 70/30 hoặc 80/20 là phổ biến để duy trì ngân sách quang học eo hẹp.
- Đa chế độ (OM3/OM4/OM5)- đối với các hoạt động trung tâm dữ liệu ngắn (lên tới ~550 m) ở 850 nm. Việc chia 50/50 thường khả thi do biên quang rộng.
Theo loại trình kết nối
- LC- tiêu chuẩn cho liên kết song công 1G và 10G. Mật độ cổng cao nhất trong khung-gắn trên giá.
- MPO/MTP- cần thiết cho quang học song song 40G SR4, 100G SR4 và 400G SR8. Hỗ trợ cấu hình đột phá để giám sát từng làn đường.
- SC- định dạng cũ hơn, lớn hơn vẫn được tìm thấy trong một số môi trường cũ.
Cách chọn TAP quang thụ động phù hợp
1. Phù hợp với loại sợi và đầu nối
TAP-chế độ đơn và TAP đa chế độ là các thiết bị khác nhau - chúng không thể thay thế cho nhau. Đầu nối (LC, SC, MPO/MTP) cũng phải khớp với liên kết của bạn. Sự không khớp yêu cầu các bộ điều hợp làm tăng thêm tổn thất chèn không cần thiết.
2. Chọn Tỷ Lệ Chia
| Tỷ lệ chia | Đường dẫn sản xuất | Đường dẫn giám sát | Sử dụng điển hình |
|---|---|---|---|
| 50/50 | 50% | 50% | Liên kết trung tâm dữ liệu ngắn với lợi nhuận tốt; Liên kết 40G+ nơi các công cụ giám sát cần tín hiệu mạnh |
| 70/30 | 70% | 30% | Liên kết 1G/10G khi chạy quãng đường-vừa phải; tỷ lệ mục đích chung-phổ biến nhất |
| 80/20 hoặc 90/10 | 80–90% | 10–20% | Liên kết chế độ đơn{0}}dài với ngân sách hạn chế; công cụ giám sát phải có đầu thu nhạy |
3. Tính toán ngân sách liên kết quang
Bước này ngăn ngừa hầu hết các lỗi triển khai. Trước khi mua:
- Tra cứu công suất đầu ra tối thiểu của máy phát và độ nhạy của máy thu từ bảng dữ liệu của máy thu phát.
- Tính tổng độ suy giảm của sợi quang (khoảng cách × tổn thất trên mỗi km). Giá trị tham chiếu: ~3,5 dB/km đối với đa chế độ OM4 ở 850 nm; ~0,4 dB/km đối với chế độ-đơn ở 1310 nm.
- Thêm tổn thất đầu nối (~0,2–0,5 dB trên mỗi cặp kết hợp đối với đầu nối chất lượng).
- Thêm tổn thất chèn của TAP cho tỷ lệ phân chia đã chọn.
- Bao gồm ít nhất 3 dB biên độ hệ thống để lão hóa, sửa chữa và thay đổi nhiệt độ.
- Xác nhận tổng tổn thất vẫn nằm trong ngân sách năng lượng của bộ thu phát.
Đồng thời xác minh rằng bộ thu của công cụ giám sát đủ nhạy để hoạt động với mức điện năng giảm trên cổng màn hình của TAP.
4. Tránh những sai lầm phổ biến này
- Bỏ qua tính toán ngân sách- một TAP vượt qua thử nghiệm chuẩn vẫn có thể gây ra lỗi CRC trên liên kết sản xuất có biên độ mỏng.
- Chỉ chọn tỷ lệ phân chia cho phía màn hình- tỷ lệ phân chia 50/50 mang lại tín hiệu giám sát mạnh hơn nhưng nếu biên độ liên kết sản xuất quá chặt, nó có thể đẩy đường dẫn trực tiếp xuống dưới ngưỡng đáng tin cậy.
- Quên mất đầu nối và bảng vá lỗi- mỗi cặp giao phối sẽ gây thêm tổn thất. Trong một môi trường được vá nhiều, những thứ này tích tụ.
- Giả sử tất cả các TAP thụ động đều tương đương- hai TAP có cùng tỷ lệ phân chia có thể có thông số mất chèn khác nhau. Kiểm tra bảng dữ liệu.
Khi nào nên sử dụng TAP quang thụ động
- Bạn cần giám sát liên tục, luôn{0}}trên một liên kết cáp quang có biên độ quang thích hợp.
- Tính đầy đủ của lưu lượng truy cập đóng vai trò quan trọng - IDS, thu thập điều tra, ghi nhật ký tuân thủ.
- Bạn muốn giám sát được tách rời khỏi cấu hình chuyển mạch và tài nguyên chuyển mạch.
- Bạn không cần phụ thuộc vào nguồn điện và không có bề mặt quản lý có thể bị tấn công.
- Các khuôn khổ tuân thủ (NERC CIP, PCI DSS, IEC 62443, HIPAA) yêu cầu tách biệt giữa cơ sở hạ tầng giám sát và sản xuất.
Khi TAP quang thụ động không phù hợp
- Ngân sách quang học chặt chẽ- nếu liên kết đã ở gần độ nhạy của máy thu thì việc phân tách bổ sung có thể gây ra lỗi. Thay vào đó, hãy sử dụng TAP đang hoạt động có chức năng tái tạo tín hiệu.
- Liên kết đồng- TAP quang thụ động chỉ hoạt động trên cáp quang. Giám sát đồng cần có cổng TAP hoặc SPAN đồng.
- Cần thao tác giao thông- việc lọc, tổng hợp, loại bỏ trùng lặp hoặc chuyển đổi giao thức yêu cầu trình môi giới gói hoặc TAP hoạt động xuôi dòng.
- Khắc phục sự cố tạm thời- phiên SPAN được thiết lập nhanh hơn khi bạn chỉ cần xem nhanh một liên kết có mức độ quan trọng-thấp.
Câu hỏi thường gặp
TAP quang thụ động có cần nguồn điện không?
Không. Nó hoạt động hoàn toàn thông qua việc tách quang mà không có thiết bị điện tử hoạt động.
Nó có hỗ trợ lưu lượng hai chiều không?
Đúng. Mỗi hướng trên liên kết song công được phân chia độc lập, tạo ra hai đầu ra màn hình.
Nó có thể ảnh hưởng đến lưu lượng sản xuất?
Nó gây ra hiện tượng mất chèn (cường độ tín hiệu giảm), nhưng nó không thể gây ra lưu lượng truy cập hoặc lỗi. Lập kế hoạch ngân sách quang học phù hợp đảm bảo liên kết sản xuất luôn hoạt động tốt.
TAP thụ động có tốt hơn cổng SPAN không?
Để giám sát liên tục trong đó mức độ hoàn chỉnh của lưu lượng truy cập đóng vai trò quan trọng - có. TAP thụ động nắm bắt 100% lưu lượng truy cập bao gồm các khung lỗi và không bao giờ làm rơi các gói khi đang tải. Cổng SPAN dễ dàng thiết lập hơn mà không cần thay đổi cáp vật lý, nhưng nó sẽ âm thầm loại bỏ các gói được phản chiếu khi bộ chuyển mạch bận.
Làm cách nào để chọn giữa 50/50 và 70/30?
Bắt đầu từ quỹ quang của liên kết sản xuất. Các liên kết trung tâm dữ liệu ngắn với bộ thu phát công suất-cao thường có thể xử lý 50/50. Các hoạt động dài hơn hoặc ngân sách eo hẹp hơn đòi hỏi 70/30 hoặc cao hơn. Luôn đảm bảo rằng cả bộ thu sản xuất và bộ thu của công cụ giám sát đều có đủ tín hiệu.
Kẻ tấn công có thể phát hiện TAP thụ động không?
Không. Nó không có địa chỉ IP, không có địa chỉ MAC và không có giao diện quản lý. Nó vô hình đối với mọi hoạt động quét dựa trên mạng-.
TAP thụ động kéo dài bao lâu?
Chúng không chứa các thành phần bị suy giảm khi sử dụng. Quá trình triển khai thường kéo dài 10–20 năm. Việc bảo trì duy nhất là thỉnh thoảng vệ sinh đầu nối cáp quang.
