SPAN-агрегация и пакетные брокеры. Удаление лишних заголовков, или Protocol Stripping

Зачем нужен этот функционал?

Как известно, у модели OSI 7 уровней, и каждый из них привносит в пакет свой дополнительный объем. В самом простом случае, на который рассчитаны все анализаторы сетевого трафика, пакет содержит MAC-адреса отправителя и получателя, затем идут IP-адреса. В то же время, по зеркалируемым линкам влета в ЦОД и уровня распределения может идти 802.1q-тегированный трафик либо MPLS с метками. Оба этих вида заголовка помещаются между заголовками канального и сетевого уровней. На моей практике случалось, что анализирующие устройства либо просто не понимали их и игнорировали (лучший случай), либо начинали неверно интерпретировать информацию более высокого уровня (худший случай, когда зашитые алгоритмы для увеличения пропускной способности устройства при вычислениях используют побитовое смещение относительно начала пакета). 

То есть, если у нас явным образом не стоит задача определения номера VLAN/VXLAN, метки MPLS, GTP и т.п., можно удалить их с помощью пакетного брокера.

SPAN-агрегация и пакетные брокеры. Дедупликация пакетов

Может возникнуть вопрос: как нужно так неправильно строить систему зеркалирования трафика, чтобы пакеты дублировались? Да запросто. Предположим, при необходимости анализа трафика ЦОД отзеркаливаем линки в ЦОД извне (независимо от того, Интернет это или остальная часть корпоративной сети), чтобы видеть внешние подключения, и линки на уровне распределения либо сервисного уровня ЦОД в зависимости от модели, по которой построена сеть. Пакет, влетающий извне, не продублируется только если в ЦОД есть сегмент, взаимодействующий только с остальными сегментами ЦОД, и недоступный снаружи, подключенный физически через другие линки.

Реалистичность математики производительности пакетных брокеров

Навеяно, опять же, семинаром IXIA. Поскольку на таких мероприятиях часто рассказывают некоторые довольно рекламные вещи, приходится потом искать информацию самостоятельно, чтобы перепроверить и проанализировать.

Я заметил на опыте работы с решениями SPAN-агрегации определенные несовместимости.

Рассмотрим на примере одной из моделей IXIA, но это применимо и к другим производителям, использующих ту же математику.

1. Пропускная способность. 

Возьмем решение, к примеру, IXIA xStream 10. В спецификации говорится, что пропускная способность фабрики - 480 Gbps

при количестве портов 24 по 10 Gbps.

PHDays-2013. Мой доклад: SPAN-агрегация и анализ сетевого трафика на наличие угроз

Был вчера на семинаре IXIA. Вспомнил, что 3 года назад я рассказывал нечто похожее, но не ставил целью рекламу или продажу продукции какого-то вендора.

Видео и презентация моего доклада прилагаются. При необходимости могу ответить на уточняющие вопросы.