SPAN-Port und Netzwerk-TAP

Um Netzwerkverkehr zu analysieren, ohne ihn zu beeinflussen, braucht man eine Kopie davon. Der SPAN-Port ist wie eine Abzweigung, die der Switch selbst bereitstellt. Der TAP ist ein kleines Gerät, das man in die Leitung einsetzt und das den Verkehr unverändert durchlässt, aber eine Kopie ausleitet. Beide ermöglichen reines Mitlesen.

Ein SPAN-Port ist flexibel und ohne Zusatzhardware nutzbar, kann aber bei hoher Last Pakete verwerfen und belastet den Switch. Ein TAP liefert eine vollständige, unveränderte Kopie auch unter Volllast, erfordert aber ein physisches Gerät in der Leitung. Welcher Weg passt, hängt von Umgebung und Anforderung ab.

SPAN-Port und TAP sind die Voraussetzung für passive Netzwerkanalyse. „Passiv" ist hier entscheidend: Weil nur eine Kopie ausgeleitet wird, entsteht keine Rückwirkung auf den produktiven Betrieb — ein wichtiger Punkt gerade in sensiblen oder OT-Umgebungen, in denen kein Eingriff erlaubt ist.