Un TAP ottico passivo (punto di accesso al traffico) è un dispositivo hardware in linea senza alimentazione che divide la luce su un collegamento in fibra per inviare una copia di tutto il traffico a uno strumento di monitoraggio. Non richiede elettricità, configurazione e firmware. Poiché funziona a livello fisico dividendo i fotoni, non può eliminare pacchetti, aggiungere latenza o diventare un punto di guasto come può fare uno switch o un dispositivo alimentato.
Come funziona un TAP ottico passivo
All'interno del dispositivo, uno splitter ottico divide la luce in entrata in due percorsi. Su un collegamento in fibra duplex standard, ciascuna direzione (TX e RX) è divisa in modo indipendente, producendo due uscite monitor - una per direzione - in modo che gli strumenti di monitoraggio vedano l'intera conversazione bidirezionale.
Questo è un processo a livello-fisico. Il TAP non memorizza nel buffer, analizza, modifica o ritrasmette alcun dato. Divide semplicemente la luce. Le porte del monitor sono isolate otticamente dalle porte di rete, creando un percorso dati un-direzionale. Anche uno strumento di monitoraggio compromesso non può reimmettere traffico o errori nel collegamento di produzione.
Perdita di inserzione: il compromesso principale
La luce divisa riduce la potenza del segnale sul percorso di produzione. Questa riduzione è chiamata perdita di inserzione. Su un collegamento data center corto con ampio margine ottico, una suddivisione 50/50 in genere non causa problemi. Su un funzionamento in modalità singola-più lungo che già opera vicino alla soglia di sensibilità del ricevitore, anche una suddivisione 70/30 necessita di un'attenta convalida. Il calcolo del budget ottico prima dell'installazione - e non dopo - impedisce la comparsa di errori intermittenti settimane o mesi dopo man mano che i ricetrasmettitori invecchiano.
TAP ottico passivo rispetto a TAP attivo rispetto a porta SPAN
| TAP ottico passivo | TAP attivo | Porto SPAN | |
|---|---|---|---|
| Potenza richiesta | NO | SÌ | No (utilizza l'alimentazione dell'interruttore) |
| Modalità di fallimento | La luce passa attraverso; il collegamento rimane attivo | Il collegamento potrebbe interrompersi brevemente in caso di perdita di potenza (dipende dal design del bypass) | La sessione mirror si interrompe in caso di sovraccarico o riavvio dello switch |
| Completezza del traffico | 100%, compresi i frame di errore | 100% con rigenerazione del segnale | Potrebbe far cadere i pacchetti sotto carico; spesso filtra i frame di errore |
| Aggiunta latenza | Nessuno | Microsecondi (elaborazione) | Nessuno per il monitoraggio, ma può caricare la CPU dello switch |
| Superficie di sicurezza | Nessuno - nessun IP, nessuna interfaccia di gestione | Dispone di firmware e interfaccia di gestione | Configurato tramite switch CLI/GUI |
| La migliore vestibilità | Monitoraggio continuo della fibra dove affidabilità e completezza sono priorità | Budget ottici limitati o collegamenti che necessitano di rigenerazione del segnale | Risoluzione temporanea dei problemi o collegamenti senza accesso TAP fisico |
La limitazione SPAN più importante: il mirroring è una funzione a bassa-priorità sulla maggior parte degli switch. Sotto carico pesante, lo switch rilascia silenziosamente i pacchetti in mirroring, creando punti ciechi nei dati di monitoraggio esattamente nei momenti in cui l'acquisizione completa è più importante.
Tipi di TAP ottici passivi
Per tipo di fibra
- Modalità-singola (OS2)- per collegamenti a lunga-distanza (fino a decine di chilometri). Utilizza lunghezze d'onda di 1310 nm o 1550 nm. Rapporti di suddivisione di 70/30 o 80/20 sono comuni per preservare budget ottici limitati.
- Multimodale (OM3/OM4/OM5)- per brevi percorsi del data center (fino a ~550 m) a 850 nm. Una divisione 50/50 è spesso fattibile grazie al generoso margine ottico.
Per tipo di connettore
- LC- standard per collegamenti duplex 1G e 10G. Massima densità di porte nello chassis con montaggio su rack-.
- MPO/MTP- richiesto per ottica parallela 40G SR4, 100G SR4 e 400G SR8. Supporta configurazioni di breakout per monitorare le singole corsie.
- SC- formato più vecchio e più grande ancora presente in alcuni ambienti legacy.
Come scegliere il giusto TAP ottico passivo
1. Abbinare il tipo di fibra e il connettore
Un TAP mono-modalità e un TAP multimodale sono dispositivi diversi - non sono intercambiabili. Anche il connettore (LC, SC, MPO/MTP) deve corrispondere al collegamento. Le discrepanze richiedono adattatori che aggiungano inutili perdite di inserzione.
2. Selezionare il rapporto di divisione
| Rapporto di divisione | Percorso di produzione | Monitorare il percorso | Uso tipico |
|---|---|---|---|
| 50/50 | 50% | 50% | Collegamenti brevi tra data center con margine salutare; Collegamenti 40G+ in cui gli strumenti di monitoraggio necessitano di un segnale forte |
| 70/30 | 70% | 30% | Collegamenti 1G/10G su corse a distanza-moderata; rapporto di scopo generale-più comune |
| 80/20 o 90/10 | 80–90% | 10–20% | Collegamenti lunghi-in modalità singola con budget limitati; lo strumento di monitoraggio deve avere un ricevitore sensibile |
3. Calcolare il budget del collegamento ottico
Questo passaggio impedisce la maggior parte degli errori di distribuzione. Prima dell'acquisto:
- Cercare la potenza di uscita minima del trasmettitore e la sensibilità del ricevitore dalla scheda tecnica del ricetrasmettitore.
- Calcolare l'attenuazione totale della fibra (distanza × perdita per km). Valori di riferimento: ~3,5 dB/km per multimodale OM4 a 850 nm; ~0,4 dB/km per modalità singola-a 1310 nm.
- Aggiungere le perdite del connettore (~0,2–0,5 dB per coppia accoppiata per connettori di qualità).
- Aggiungere la perdita di inserzione del TAP per il rapporto di suddivisione scelto.
- Includere almeno 3 dB di margine del sistema per invecchiamento, riparazioni e variazioni di temperatura.
- Verificare che la perdita totale rientri nel budget di potenza del ricetrasmettitore.
Verificare inoltre che il ricevitore dello strumento di monitoraggio sia sufficientemente sensibile da funzionare con la potenza ridotta sulla porta del monitor del TAP.
4. Evita questi errori comuni
- Saltando il calcolo del budget- un TAP che supera i test di prova può comunque causare errori CRC su un collegamento di produzione con margine ridotto.
- Scelta del rapporto di suddivisione solo per il lato monitor- una suddivisione 50/50 fornisce un segnale di monitoraggio più forte, ma se il margine del collegamento di produzione è limitato, può spingere il percorso live al di sotto della sua soglia affidabile.
- Dimenticando le perdite di connettori e pannelli di connessione- ogni coppia accoppiata aggiunge perdite. In un ambiente fortemente patchato, questi si accumulano.
- Supponendo che tutti i TAP passivi siano equivalenti- due TAP con lo stesso rapporto di suddivisione possono avere specifiche di perdita di inserzione diverse. Controlla la scheda tecnica.
Quando utilizzare un TAP ottico passivo
- Hai bisogno di un monitoraggio continuo e sempre-attivo su un collegamento in fibra con un margine ottico adeguato.
- La completezza del traffico conta - IDS, acquisizione forense, registrazione della conformità.
- Si desidera che il monitoraggio sia disaccoppiato dalla configurazione dello switch e dalle risorse dello switch.
- Non è necessaria alcuna dipendenza energetica e nessuna superficie di gestione attaccabile.
- I quadri di conformità (NERC CIP, PCI DSS, IEC 62443, HIPAA) richiedono la separazione tra l'infrastruttura di monitoraggio e quella di produzione.
Quando un TAP ottico passivo non è la soluzione giusta
- Budget ottico limitato- se il collegamento è già vicino alla sensibilità del ricevitore, un'ulteriore suddivisione potrebbe causare errori. Utilizza invece un TAP attivo con rigenerazione del segnale.
- Collegamenti in rame- TAP ottici passivi funzionano solo su fibra. Il monitoraggio in rame necessita di una porta TAP o SPAN in rame.
- Necessaria la manipolazione del traffico- il filtraggio, l'aggregazione, la deduplicazione o la conversione del protocollo richiedono un broker di pacchetti o un TAP attivo a valle.
- Risoluzione dei problemi temporanei- una sessione SPAN è più veloce da configurare quando ti basta dare una rapida occhiata a un collegamento a bassa-criticità.
Domande frequenti
Un TAP ottico passivo richiede alimentazione?
No. Funziona interamente tramite la suddivisione ottica senza elettronica attiva.
Supporta il traffico bidirezionale?
SÌ. Ciascuna direzione su un collegamento duplex viene suddivisa in modo indipendente, producendo due uscite monitor.
Può influenzare il traffico di produzione?
Introduce perdita di inserzione (ridotta potenza del segnale), ma non può iniettare traffico o errori. Una corretta pianificazione del budget ottico garantisce che il collegamento di produzione rimanga integro.
Un TAP passivo è migliore di una porta SPAN?
Per il monitoraggio continuo laddove la completezza del traffico è importante - sì. Un TAP passivo cattura il 100% del traffico, inclusi i frame di errore, e non rilascia mai pacchetti sotto carico. Una porta SPAN è più semplice da configurare senza modifiche al cablaggio fisico, ma rilascia silenziosamente i pacchetti con mirroring quando lo switch è occupato.
Come faccio a scegliere tra 50/50 e 70/30?
Inizia dal budget ottico del collegamento di produzione. I collegamenti brevi del data center con ricetrasmettitori ad alta-potenza in genere possono gestire 50/50. Tirature più lunghe o budget più ristretti richiedono 70/30 o superiore. Verificare sempre che sia il ricevitore di produzione che quello dello strumento di monitoraggio abbiano un segnale sufficiente.
Gli aggressori possono rilevare un TAP passivo?
No. Non ha indirizzo IP, indirizzo MAC e interfaccia di gestione. È invisibile a qualsiasi scansione basata sulla rete-.
Quanto durano i TAP passivi?
Non contengono componenti che si degradano con l'uso. Le implementazioni durano comunemente 10-20 anni. L'unica manutenzione è la pulizia occasionale del connettore in fibra.
