パッシブ光 TAP: 概要、選び方、いつ使用するか

パッシブ光 TAP (トラフィック アクセス ポイント) は、ファイバー リンク上の光を分割してすべてのトラフィックのコピーを監視ツールに送信する、電力を必要としないインライン ハードウェア デバイスです。電力、設定、ファームウェアは必要ありません。フォトンを分割することによって物理層で動作するため、スイッチや受電デバイスのようにパケットをドロップしたり、遅延を追加したり、障害点になったりすることはありません。

パッシブ光TAPの仕組み

デバイス内部では、光スプリッターが入射光を 2 つの経路に分割します。標準の二重ファイバー リンクでは、各方向 (TX と RX) が独立して分割され、2 つのモニター出力 - 方向ごとに 1 つずつ - が生成されるため、モニタリング ツールは完全な双方向会話を確認できます。

これは物理層のプロセスです。- TAP は、データのバッファリング、分析、変更、再送信を行いません。単純に光を分割するだけです。モニター ポートはネットワーク ポートから光学的に分離されており、一方向のデータ パスを作成します。-侵害された監視ツールであっても、運用リンクにトラフィックやエラーを注入することはできません。

挿入損失: 主要なトレードオフ

光を分割すると、生産パス上の信号強度が低下します。この減少は挿入損失と呼ばれます。光マージンが十分にある短いデータセンター リンクでは、通常、50/50 分割でも問題は発生しません。すでに受信機の感度しきい値近くで動作している長いシングルモード実行では、70/30 分割でも慎重な検証が必要です。 - の後ではなく、設置 - 前に光バジェットを計算すると、トランシーバーの老朽化に伴って数週間または数か月後に断続的なエラーが発生するのを防ぐことができます。
 

パッシブ光 TAP 対アクティブ TAP 対 SPAN ポート

最も重要な SPAN 制限: ミラーリングは、ほとんどのスイッチでは優先度の低い機能です。{0}負荷が重い場合、スイッチはミラーリングされたパケットをサイレントにドロップし、完全なキャプチャが最も重要な瞬間にモニタリング データに盲点を作ります。
 

パッシブ光TAPの種類

ファイバーの種類別

• シングル-モード（OS2）- 長距離リンク（最大数十キロメートル）-。 1310 nm または 1550 nm の波長を使用します。厳しい光学予算を維持するには、70/30 または 80/20 の分割比が一般的です。
• マルチモード (OM3/OM4/OM5)- は、850 nm での短いデータセンター運用 (最大 ~550 m) の場合です。多くの場合、光学的マージンが十分にあるため、50/50 の分割が実現可能です。

コネクタの種類別

• LC- は 1G および 10G 二重リンクの標準です。ラックマウント シャーシで最高のポート密度。{4}}
• MPO/MTP- は 40G SR4、100G SR4、および 400G SR8 並列光ファイバーに必要です。個々のレーンを監視するブレークアウト構成をサポートします。
• SC- 個の古い、より大きな形式が、一部のレガシー環境で依然として使用されています。

適切なパッシブ光 TAP を選択する方法

1. ファイバの種類とコネクタを一致させる

シングルモード TAP とマルチモード TAP は別のデバイスです -。互換性はありません。コネクタ (LC、SC、MPO/MTP) もリンクと一致する必要があります。不一致がある場合は、不必要な挿入損失を追加するアダプターが必要になります。

2. 分割比率を選択します

3. 光リンクバジェットの計算

この手順により、ほとんどの展開の失敗を防ぐことができます。購入する前に:

1. トランシーバーのデータシートからトランスミッターの最小出力電力とレシーバーの感度を調べます。
2. ファイバーの総減衰量 (距離 × km あたりの損失) を計算します。参考値: 850 nm での OM4 マルチモードの場合は ~3.5 dB/km。 1310 nm でのシングルモードでは ~0.4 dB/km。-
3. コネクタ損失を追加します (高品質コネクタの場合、嵌合ペアあたり約 0.2 ～ 0.5 dB)。
4. 選択した分割比に TAP の挿入損失を加算します。
5. 経年劣化、修理、温度変動に対するシステム マージンを少なくとも 3 dB 含めてください。
6. 総損失がトランシーバーの電力バジェット内に収まっていることを確認します。

また、監視ツールの受信機が、TAP の監視ポートの電力が低下しても動作するのに十分な感度があることを確認します。

4. よくある間違いを避ける

• 予算計算をスキップする- ベンチ テストに合格した TAP であっても、マージンが薄い実稼働リンクでは CRC エラーが発生する可能性があります。
• モニター側のみの分割比を選択する- 50/50 分割はより強力なモニタリング信号を提供しますが、本番リンクのマージンが狭い場合、ライブ パスが信頼できるしきい値を下回る可能性があります。
• コネクタとパッチパネルの損失を忘れる- の各嵌合ペアは損失を追加します。パッチが大量に適用された環境では、これらは蓄積されます。
• すべてのパッシブ TAP が同等であると仮定すると、- 同じ分割比を持つ 2 つの TAP は、異なる挿入損失仕様を持つ可能性があります。データシートを確認してください。

  

パッシブ光 TAP を使用する場合

• 適切な光マージンを備えたファイバー リンク上で、継続的かつ常時監視を行う必要があります。{0}
• トラフィックの完全性が重要 - IDS、フォレンジック キャプチャ、コンプライアンス ログ。
• モニタリングをスイッチ構成やスイッチ リソースから切り離したいと考えています。
• 電力依存性がゼロであり、攻撃可能な管理面も必要ありません。
• コンプライアンス フレームワーク (NERC CIP、PCI DSS、IEC 62443、HIPAA) では、監視インフラストラクチャと運用インフラストラクチャを分離する必要があります。

パッシブ光TAPが適切ではない場合

• 光学予算が厳しい- リンクがすでに受信感度に近い場合、追加の分割によりエラーが発生する可能性があります。代わりに信号再生機能を備えたアクティブ TAP を使用してください。
• 銅線リンク- パッシブ光 TAP はファイバー上でのみ動作します。銅線モニタリングには銅線 TAP または SPAN ポートが必要です。
• 交通操作が必要- のフィルタリング、集約、重複排除、またはプロトコル変換には、パケット ブローカーまたはアクティブな TAP ダウンストリームが必要です。
• 一時的なトラブルシューティング- 重要度の低いリンクをざっと確認するだけの場合は、SPAN セッションをセットアップする方が迅速です。-

よくある質問

パッシブ光 TAP には電力が必要ですか?

いいえ。アクティブな電子機器を使用せず、完全に光分割によって動作します。

双方向トラフィックをサポートしていますか?

はい。二重リンク上の各方向は独立して分割され、2 つのモニター出力が生成されます。

本番環境のトラフィックに影響を与える可能性がありますか?

挿入損失 (信号強度の低下) が発生しますが、トラフィックやエラーが注入されることはありません。適切な光予算計画により、実稼働リンクが健全な状態に保たれます。

パッシブ TAP は SPAN ポートよりも優れていますか?

トラフィックの完全性が重要な継続的なモニタリングの場合は、- はい。パッシブ TAP はエラー フレームを含むトラフィックを 100% キャプチャし、負荷がかかってもパケットをドロップしません。 SPAN ポートは、物理的なケーブル接続を変更せずに設定するのが簡単ですが、スイッチがビジー状態の場合は、ミラーリングされたパケットをサイレントにドロップします。

50/50 と 70/30 の間でどのように選択すればよいですか?

実稼働リンクの光バジェットから開始します。高出力トランシーバーを備えた短いデータセンター リンクは、通常、50/50 で処理できます。{1}長期間の実行または予算が厳しい場合は、70/30 以上が必要です。製品の受信機と監視ツールの受信機の両方に十分な信号があることを常に確認してください。

攻撃者はパッシブ TAP を検出できますか?

いいえ、IP アドレス、MAC アドレス、管理インターフェイスはありません。これはネットワークベースのスキャンでは認識されません。-

パッシブ TAP はどれくらい持続しますか?

使用により劣化する成分は含まれていません。導入には通常 10 ～ 20 年間かかります。唯一のメンテナンスは、ファイバ コネクタを時折清掃することです。