Chengdu Shuwei Communication Technology Co., Ltd.

Dans le monde complexe de la gestion et de la sécurité des réseaux, il est primordial d'avoir une visibilité claire sur le trafic réseau.Visibilité des données réseauDans ce blog technique, nous allons explorer comment les solutions de NetTAP exceller dans la capture, la réplication et l'agrégation du trafic de données réseau,assurer la mise en œuvre sans heurts des outils appropriés pour une surveillance efficace du réseau, analyse et sécurité.   Comprendre les spécialités de NetTAP L'expertise de NetTAP est centrée sur trois domaines principaux:   1. Visibilité du trafic réseau:NetTAP offre une visibilité inégalée sur le trafic réseau, permettant aux organisations de surveiller et d'analyser les flux de données en temps réel.NetTAP veille à ce qu'aucune information précieuse ne soit manquée. 2. Visibilité des données réseau:NetTAP va au-delà de la surveillance traditionnelle du trafic en offrant des informations approfondies sur les données réseau.NetTAP permet aux organisations d'extraire des informations significatives du trafic réseau, permettant de prendre des décisions éclairées et de résoudre les problèmes. 3. Visibilité des paquets réseau:La visibilité au niveau des paquets de NetTAP garantit que les organisations ont un contrôle total sur leurs données réseau.NetTAP facilite une distribution efficace des données aux outils de surveillance, tels que les systèmes de détection des intrusions (IDS), les systèmes de surveillance des performances des applications (APM) et les systèmes de surveillance des performances du réseau (NPM).   Les solutions de NetTAP à l'œuvre Pour mieux comprendre le fonctionnement des solutions NetTAP, nous allons approfondir leurs fonctionnalités clés: Caractéristique Définition Capacité de capture La technologie de capture avancée de NetTAP assure l'acquisition transparente des données de trafic réseau. Réplication NetTAP réplique le trafic réseau pour distribuer les données à plusieurs outils de surveillance et d'analyse. Agrégation L'agrégation du trafic réseau simplifie le processus de surveillance, en fournissant une vue consolidée des données. Utilisation du réseau NetTAP utilise Network Taps pour accéder au trafic du réseau sans perturber les opérations du réseau. Commercialisation de paquets Les courtiers de paquets de NetTAP acheminent intelligemment les paquets vers leurs destinations prévues, minimisant la latence et la perte de paquets.   Scénarios d'application Les solutions de NetTAP trouvent des applications dans divers scénarios: 1Surveillance du réseau:En fournissant une visibilité complète sur le trafic réseau, NetTAP permet aux organisations de surveiller les performances du réseau en temps réel, facilitant ainsi la résolution proactive des problèmes. 2Analyse des réseaux:Les capacités d'inspection approfondie des paquets de NetTAP permettent aux organisations de mener une analyse granulaire du trafic réseau, découvrant des idées, des tendances et des anomalies. 3Sécurité du réseau:Compte tenu de l'augmentation des cybermenaces, NetTAP améliore la sécurité des réseaux en détectant et en atténuant les activités malveillantes en temps réel, en garantissant l'intégrité et la confidentialité des données.   La spécialisation de NetTAP dans la visibilité du trafic réseau, la visibilité des données réseau et la visibilité des paquets réseau est inégalée dans l'industrie.et l'agrégation du trafic réseau de manière transparente, NetTAP permet aux organisations de prendre des décisions éclairées, d'optimiser les performances du réseau et de renforcer leur posture de sécurité.Les organisations peuvent naviguer dans les complexités de la gestion des réseaux modernes en toute confiance, sachant que leurs données sont entre de bonnes mains.

Depuis sa création en 2007, NetTAP® (Chengdu Shuwei Communication Technology Co., Ltd.) a été à l'avant-garde de la recherche et du développement dans le domaine de la technologie de communication réseau.Spécialisée dans les TAP/NPB de réseau (Network Packet Brokers)NetTAP® joue un rôle crucial dans la fourniture de produits et de services de pointe pour un large éventail d'industries, y compris les télécommunications.Diffusion télévisuelle, gouvernement, éducation, informatique, finance, soins de santé, transports, énergie, et plus encore. Avec un engagement ferme en faveur de l'innovation et de l'excellence, NetTAP® a continuellement repoussé les limites de ce qui est possible dans le domaine des équipements de communication réseau.Leurs offres de produits couvrent l'acquisition de Big Data, le stockage des données, la surveillance des données, le traitement des données et l'analyse des données, répondant aux divers besoins des organisations opérant dans divers secteurs.   Le portefeuille de NetTAP® propose une gamme diversifiée de périphériques de haute densité conçus pour répondre aux exigences en constante évolution des réseaux modernes.Agrégation, et les TAP/NPB du réseau de distribution, aux TAP du réseau de trafic hybride intelligent, et même aux solutions hautes performances pour les réseaux 25G, 40G et 100G,NetTAP® a une solution pour chaque exigence d'infrastructure réseau.   Le succès de NetTAP® repose essentiellement sur sa concentration inébranlable sur la qualité et l'innovation.L'entreprise dispose d'une usine de production de matériel de pointe où tous les produits de communication sont soigneusement conçus pour répondre aux normes les plus élevées.En outre, NetTAP® est fière de détenir des droits de propriété intellectuelle indépendants du logiciel et du matériel pour tous ses produits,avec un enregistrement complet du droit d'auteur et une certification de produit garantissant l'intégrité et l'authenticité de leurs offres.   À une époque où la sécurité des données et les performances du réseau revêtent une importance primordiale, les organisations de tous les secteurs s'appuient sur l'expertise et les solutions de NetTAP® pour rester à l'avant-garde.En tirant parti de la technologie de communication réseau avancée de NetTAP®, les entreprises peuvent améliorer leurs capacités d'acquisition, de surveillance, de traitement et d'analyse des données, ce qui favorise l'efficacité, la sécurité et la performance globale.   Alors que la technologie continue de progresser à un rythme rapide, NetTAP® demeure engagée dans l'innovation, en veillant à ce que ses produits et services évoluent en tandem avec les besoins changeants de ses clients.Avec une expérience éprouvée d'excellence et un dévouement à repousser les limites du possible, NetTAP® est un partenaire de confiance pour les organisations qui cherchent à libérer tout le potentiel de leur infrastructure réseau.

Netflow (Protocole de détection des flux de données réseau)Avec la mise à niveau du logiciel et la maturité du système de réparation des vulnérabilités, le mode d'attaque du virus qui envahit directement l'hôte pour causer des dommages est progressivement réduit,et se tourne ensuite vers la consommation malveillante des ressources limitées du réseau, provoquant une congestion du réseau, détruisant ainsi la capacité du système à fournir des services externes.l'industrie a proposé une méthode de détection des données réseau pour juger des anomalies et des attaques du réseauEn détectant en temps réel les informations sur le flux de données du réseau,Les gestionnaires de réseau peuvent vérifier l'état de l'ensemble du réseau en temps réel en faisant correspondre le schéma historique (pour juger s'il est normal) ou le schéma anormal (pour juger s'il est attaqué). Détecter les éventuels goulots d'étranglement dans les performances du réseau, et gérer automatiquement ou afficher l'alarme pour assurer un fonctionnement efficace et fiable du réseau. La technologie Netflow a d'abord été inventée par Darren Kerr et Barry Bruins de Cisco en 1996 et enregistrée comme brevet américain en mai de la même année.La technologie Netflow est d'abord utilisée dans les équipements réseau pour accélérer l'échange de données, et peut réaliser la mesure et les statistiques du flux de données IP redirigées à grande vitesse.la fonction initiale de Netflow pour l'accélération de l'échange de données a été progressivement remplacée par des puces ASIC dédiées dans les appareils réseauIl est devenu la norme la plus reconnue dans l'industrie pour l'analyse du trafic IP/MPLS.statistiques et facturation dans le domaine de l'InternetLa technologie Netflow peut analyser et mesurer le comportement détaillé du trafic réseau IP/MPLS, et fournir des statistiques détaillées de l'exploitation du réseau. Le système Netflow se compose de trois parties principales: l'exportateur, le collecteur et le système de déclaration d'analyse. Exporteur: surveille les données réseauCollecteur: Utilisé pour collecter les données réseau exportées depuis ExporterAnalyse: Utilisé pour analyser les données réseau collectées auprès du collecteur et générer des rapports   En analysant les informations collectées par Netflow, les administrateurs de réseau peuvent connaître la source, la destination, le type de service réseau des paquets et la cause de la congestion du réseau.Il peut ne pas fournir un enregistrement complet du trafic réseau comme le fait tcpdump, mais lorsqu'il est assemblé, il est beaucoup plus facile à gérer et à lire. La sortie de données du réseau NetFlow des routeurs et des commutateurs consiste en des flux de données expirés et en des statistiques détaillées du trafic.Ces flux de données contiennent l'adresse IP associée à la source et à la destination du paquet, ainsi que le protocole et le port utilisés par la session de bout en bout. Les statistiques de trafic comprennent l'horodatage du flux de données, les adresses IP source et destination, les numéros de port source et destination,Numéros d'interface d'entrée et de sortie, les adresses IP du prochain saut, le nombre total d'octets dans le flux, le nombre de paquets dans le flux, et les horodatages du premier et du dernier paquet dans le flux. Netflow V9 est un nouveau format de sortie de données Netflow flexible et extensible avec une sortie de statistiques basée sur des modèles.par exemple: Multicase Netflow, MPLS Aware Netflow, BGP Next Hop V9, Netflow pour IPv6, et ainsi de suite. En 2003, Netflow V9 a également été sélectionné comme norme IPFIX (IP Flow Information Export) par l'IETF parmi cinq candidats.   IPFIX (surveillance du trafic réseau)La technologie basée sur le flux est largement utilisée dans le domaine des réseaux, elle a une grande valeur dans la définition des politiques de QoS, le déploiement des applications et la planification de la capacité.les administrateurs de réseau n'ont pas de format standard pour les flux de données de sortie. IPFIX (IP Flow Information Export, IP data flow information output) est un protocole standard pour mesurer les informations de flux dans les réseaux publié par l'IETF. Le format défini par IPFIX est basé sur le format de sortie de données Cisco Netflow V9, qui standardise les statistiques et les normes de sortie des flux de données IP.Il s'agit d'un protocole permettant d'analyser les caractéristiques du flux de données et de les produire dans un format basé sur un modèle.Si les exigences en matière de surveillance du trafic changent, il est possible d'utiliser un système de surveillance de la circulation.Les administrateurs de réseau peuvent modifier les configurations correspondantes sans mettre à jour le logiciel ou les outils de gestion des périphériques réseauLes administrateurs de réseau peuvent facilement extraire et afficher les statistiques de trafic importantes stockées dans ces périphériques réseau. Pour une sortie plus complète, IPFIX utilise sept domaines clés de périphériques réseau par défaut pour représenter le trafic réseau par action: 1. Adresse IP de la source2. Adresse IP de destination3Port source TCP/UDP4Port de destination TCP/UDP5Type de protocole de couche 36. Le type de service (Type of service) octet7. Entrez une interface logique Si les sept domaines clés des différents paquets IP correspondent, les paquets IP sont considérés comme appartenant au même trafic.comme la durée du trafic et la longueur moyenne des paquets, vous pouvez en apprendre davantage sur l'application réseau actuelle, optimiser le réseau, détecter la sécurité et charger le trafic.   Architecture de réseau IPFIXPour résumer, IPFIX est basé sur le concept de flux. Un flux fait référence aux paquets provenant de la même sous-interface avec la même adresse IP source et destination, type de protocole,numéro du port de départ et de destination, et ToS. Les paquets sont généralement de 5 tuples. IPFIX enregistre des statistiques sur le flux, y compris l'horodatage, le nombre de paquets et le nombre total d'octets. IPFIX se compose de trois appareils:ExporteurLes relations entre les trois appareils sont les suivantes: Export analyse les flux du réseau, extrait des statistiques qualifiées des flux et envoie les statistiques à Collector.Le collecteur analyse les paquets de données Export et recueille des statistiques dans la base de données pour analyse par l'analyseur.L'analyseur extrait des statistiques du collecteur, effectue un traitement ultérieur et affiche les statistiques sous forme d'interface graphique pour divers services.   Scénarios d'application de l'IPFIXComptabilité basée sur l'usageLa facturation du trafic dans les opérateurs de réseau est généralement basée sur le trafic de téléchargement et de téléchargement de chaque utilisateur.la future tarification du trafic peut être segmentée en fonction des caractéristiques du service d'applicationBien sûr, le protocole explique également que les statistiques des paquets IPFIX sont "échantillonnées". Dans de nombreuses applications (comme la couche de base), plus les statistiques de flux de données sont détaillées, mieux c'est.En raison des performances des appareils réseau, le taux d'échantillonnage ne peut pas être trop faible, il n'est donc pas nécessaire de fournir une facturation du trafic complètement précise et fiable.l'unité de facturation est généralement supérieure à 100 mégabits, et la précision d'échantillonnage de l'IPFIX peut répondre aux besoins pertinents. Profil du trafic, ingénierie du traficLa sortie de l'enregistrement de l'exportateur IPFIX, IPFIX Collector peut produire des informations très riches de l'enregistrement du trafic sous forme de divers graphiques, c'est le concept de profilage du trafic. Cependant, juste l'enregistrement de l'information, ne peut pas profiter de la fonction puissante de IPFIX, l'IETF a également lancé le concept de Traffic Engineering: dans le fonctionnement réel du réseau,équilibrage de charge souvent planifié et sauvegarde redondante, mais les différents protocoles sont généralement conformes à l'itinéraire prédéterminé de la planification du réseau, ou les principes du protocole sont ajustés.Si IPFIX est utilisé pour surveiller le trafic sur le réseau et qu'une grande quantité de données est trouvée dans une certaine période de temps, l'administrateur de réseau peut être chargé d'ajuster le trafic, de sorte qu'une plus grande bande passante de réseau puisse être allouée à des applications connexes pour réduire la charge inégale.Vous pouvez lier les règles de configuration, tels que l'ajustement des itinéraires, l'allocation de la bande passante et les politiques de sécurité, aux opérations sur le collecteur IPFIX pour ajuster automatiquement le trafic réseau. Détection d'attaque/intrusion Détection d'attaque/intrusionIPFIX peut détecter les attaques réseau en fonction des caractéristiques du trafic.Le protocole IPFIX standard d'échantillonnage peut également utiliser une mise à niveau de "base de données de signature" pour bloquer les dernières attaques réseau, tout comme la protection générale contre les virus du côté hôte. Surveillance de la qualité de service (QoS)Les paramètres de qualité de service typiques sont les suivants: Condition de perte de paquet: perte [RFC2680]Le débit de l'appareil est calculé en fonction de la fréquence de l'appareil.Délai aller-retour: retard aller-retour [RFC2681]Les données de référence sont fournies à l'adresse suivante: [RFC3393]Les technologies antérieures sont difficiles à surveiller les informations ci-dessus en temps réel, mais les différents champs personnalisés et les intervalles de surveillance d'IPFIX peuvent facilement surveiller les valeurs ci-dessus de divers messages.   Voici un tableau élargi qui fournit plus de détails sur les différences entre NetFlow et IPFIX:  

Dans le scénario d'application NPB typique, le problème le plus gênant pour les administrateurs est la perte de paquets causée par la congestion des paquets miroirés et des réseaux NPB.La perte de paquets dans NPB peut provoquer les symptômes typiques suivants dans les outils d'analyse back-end: Une alarme est générée lorsque l'indicateur de surveillance des performances du service APM diminue et que le taux de réussite de la transaction diminue. L'alarme d'exception de l'indicateur de surveillance des performances du réseau NPM est générée Le système de surveillance de la sécurité ne détecte pas les attaques réseau en raison de l' omission d' événement Événements d'audit du comportement du service générés par le système d'audit du service - Je ne sais pas. En tant que système centralisé de capture et de distribution pour la surveillance des bypasses, l'importance du NPB est évidente.la façon dont il traite le trafic de paquets de données est très différente du commutateur de réseau traditionnel en direct, et la technologie de contrôle de la congestion du trafic de nombreux réseaux en direct de service n'est pas applicable à NPB. Comment résoudre la perte de paquets NPB, commençons par l'analyse des causes profondes de la perte de paquets pour le voir!   Analyse des causes profondes de la congestion des paquets NPB/TAP Tout d'abord, nous analysons le parcours réel du trafic et la relation de cartographie entre le système et les flux entrants et sortants du réseau de niveau 1 ou de niveau NPB.Quel que soit le type de topologie réseau que NPB forme, en tant que système de collecte, il existe une relation entre l'entrée et la sortie de trafic de plusieurs à plusieurs entre "accès" et "sortie" de l'ensemble du système.   Ensuite, nous examinons le modèle commercial de NPB du point de vue des puces ASIC sur un seul appareil:   Caractéristique 1: Le "trafic" et le "débit d'interface physique" des interfaces d'entrée et de sortie sont asymétriques, ce qui entraîne un grand nombre de micro-explosions.Dans les scénarios typiques d'agrégation de trafic de plusieurs à un ou de plusieurs à plusieurs, la vitesse physique de l'interface de sortie est généralement inférieure à la vitesse physique totale de l'interface d'entrée. Par exemple, 10 canaux de collecte 10G et 1 canal de sortie 10G;Dans un scénario de déploiement à plusieurs niveaux, tous les NPBBS peuvent être considérés dans leur ensemble. Caractéristique 2: Les ressources de cache des puces ASIC sont très limitées. En ce qui concerne la puce ASIC couramment utilisée actuellement, la puce avec une capacité d'échange de 640 Gbps a un cache de 3-10 Mbytes; A 3.La puce de capacité de 2 Tbps a un cache de 20 à 50 MB. y compris BroadCom, Barefoot, CTC, Marvell et autres fabricants de puces ASIC. Caractéristique 3: le mécanisme classique de contrôle du débit de PFC de bout en bout n'est pas applicable aux services de PNB. Le noyau du mécanisme de contrôle du débit de PFC est d'obtenir une rétroaction de suppression du trafic de bout en bout,et finalement réduire l'envoi de paquets à la pile de protocole du point final de communication pour atténuer la congestionCependant, la source de paquets des services NPB sont des paquets miroirés, de sorte que la stratégie de traitement de la congestion ne peut être rejetée ou mis en cache.   Voici l'apparence d'une micro-éclatement typique sur la courbe de débit:                                                                                                 En prenant l'interface 10G à titre d'exemple, dans le diagramme d'analyse de tendance du trafic de deuxième niveau, le taux de trafic est maintenu à environ 3 Gbps pendant une longue période.le pic de trafic (MicroBurst) a largement dépassé le taux physique de l'interface 10G.   Les techniques clés pour atténuer les microburts de PNB Réduire l'impact de l'asymétrie des interfaces physiques- lors de la conception d'un réseau, réduire autant que possible les vitesses d'entrée et de sortie asymétriques des interfaces physiques.et éviter les taux d'interface physique asymétrique (par exemple, copiant le trafic de 1 Gbit/s et de 10 Gbit/s en même temps). Optimiser la politique de gestion du cache du service NPB- La politique commune de gestion du cache applicable au service de commutation ne s'applique pas au service d'envoi du service NPB.La politique de gestion du cache de garantie statique + partage dynamique devrait être mise en œuvre en fonction des caractéristiques du service NPBPour minimiser l'impact de la microburst NPB dans le cadre de la limitation actuelle de l'environnement matériel de la puce. Mettre en œuvre une gestion de la géographie du trafic classifiée- Mettre en œuvre une gestion prioritaire de la classification des services d'ingénierie du trafic basée sur la classification du trafic.et assurer que les paquets de trafic de service sensibles à l'utilisateur peuvent être transférés sans perte de paquets. Une solution système raisonnable améliore la capacité de mise en cache des paquets et la capacité de configuration du trafic- intègre la solution par divers moyens techniques pour étendre la capacité de mise en cache de paquets de la puce ASIC.le micro-éclat devient une courbe d'écoulement micro-uniforme après la mise en forme.   Solution de gestion du trafic par micro-explosion NetTAP Schéma 1 - Stratégie de gestion de la mémoire cache optimisée pour le réseau + gestion prioritaire de la qualité des services classifiés à l'échelle du réseau Stratégie de gestion du cache optimisée pour l'ensemble du réseau Sur la base d'une compréhension approfondie des caractéristiques des services du NPB et des scénarios commerciaux pratiques d'un grand nombre de clients,Les produits de collecte de trafic NetTAP mettent en œuvre un ensemble de stratégies de gestion du cache NPB "assurance statique + partage dynamique" pour l'ensemble du réseau, ce qui a un bon effet sur la gestion du cache de trafic dans le cas d'un grand nombre d'interfaces d'entrée et de sortie asymétriques.La tolérance de microburst est réalisée dans la mesure maximale lorsque le cache actuel de la puce ASIC est fixé.   Technologie de traitement par microburst - Gestion basée sur les priorités d'entreprise     Lorsque l'unité de capture du trafic est déployée indépendamment, elle peut également être hiérarchisée en fonction de l'importance de l'outil d'analyse back-end ou de l'importance des données du service lui-même.Par exemple, parmi de nombreux outils d'analyse,L'APM/BPC a une priorité plus élevée que les outils d'analyse/surveillance de la sécurité, car elle implique le suivi et l'analyse de divers indicateurs des systèmes commerciaux importantsPar conséquent, pour ce scénario, les données requises par l'APM/BPC peuvent être définies comme ayant une priorité élevée, les données requises par les outils de surveillance/analyse de la sécurité comme ayant une priorité moyenne,et les données requises par d'autres outils d'analyse peuvent être définies comme ayant une faible prioritéLorsque les paquets de données collectés entrent dans le port d'entrée, les priorités sont définies selon l'importance des paquets.Les paquets ayant une priorité plus élevée sont transférés de manière préférentielle après les paquets ayant une priorité plus élevée., et les paquets d'autres priorités sont transférés après les paquets de priorités plus élevées.les paquets de plus haute priorité sont transférés de manière préférentielle. Si les données d'entrée dépassent la capacité de transmission du port de sortie pendant une longue période, les données excédentaires sont stockées dans le cache de l'appareil.l'appareil élimine de préférence les paquets d'ordre inférieurCe mécanisme de gestion prioritaire garantit que les outils d'analyse clés peuvent obtenir efficacement les données de trafic originales requises pour l'analyse en temps réel.   Technologie de traitement par microburst - mécanisme de classification garantissant la qualité du service de l'ensemble du réseau   Comme le montre la figure ci-dessus, la technologie de classification du trafic est utilisée pour distinguer les différents services sur tous les appareils à la couche d'accès, à la couche d'agrégation/noyau et à la couche de sortie,et les priorités des paquets capturés sont remarquéesLe contrôleur SDN fournit la politique de priorité du trafic de manière centralisée et l'applique aux dispositifs de transmission.Tous les périphériques participant au réseau sont mappés à différentes files d'attente de priorité en fonction des priorités des paquets.. De cette façon, les paquets prioritaires avancés de petit trafic peuvent atteindre zéro perte de paquets. Résoudre efficacement le problème de perte de paquets de surveillance APM et d'audit de services spéciaux pour contourner les services de trafic.   Solution 2 - Cache du système d'extension au niveau GB + schéma de configuration du trafic Cache étendu au niveau du système GBQuand le dispositif de notre unité d'acquisition de trafic a des capacités de traitement fonctionnel avancées,il peut ouvrir une certaine quantité d'espace dans la mémoire (RAM) de l'appareil en tant que tampon global de l'appareilPour un seul appareil d'acquisition, au moins GB de capacité peut être fournie comme l'espace de cache de l'appareil d'acquisition.Cette technologie rend la capacité de tampon de notre appareil d'unité d'acquisition de trafic des centaines de fois supérieure à celle du dispositif d'acquisition traditionnelSous le même taux de transfert, la durée maximale de micro-explosion de notre appareil d'acquisition de trafic devient plus longue.Le niveau de millisecondes pris en charge par les équipements d'acquisition traditionnels a été amélioré au deuxième niveau, et le temps de micro-éclatement qui peut résister a été augmenté par milliers de fois.   Capacité de configuration du trafic à plusieurs files d'attente Technologie de traitement microburst - une solution basée sur la mise en cache Buffer + la configuration du trafic Avec une super grande capacité de tampon, les données de trafic générées par micro-explosion sont mises en cache,et la technologie de modélisation du trafic est utilisée dans l'interface sortante pour obtenir une sortie fluide des paquets à l'outil d'analyseGrâce à l'application de cette technologie, le phénomène de perte de paquets causé par micro-explosion est fondamentalement résolu.