TAP vs. SPAN
Womit fange ich Pakete richtig ab?
Die Ausgangsfrage
Wir wollen Traffic mit Wireshark analysieren.
Aber wie kommen die Pakete sauber in den Mitschnitt?
Network TAP oder SPAN / Mirror Port?
Die zwei Wege im Überblick
SPAN / Mirror Port
Switch Port for Analysis
Was ist ein SPAN-Port?
- Funktion im Switch – seit den frühen 90ern Standard
- Kopiert Traffic von Ports auf einen unbenutzten Ziel-Port
- Meist unidirektional – kein Rückfluss ins Netz
- Kostenlos, flexibel, per Konfiguration umschaltbar
Bequem – aber „nicht-intrusiv" ist ein Mythos.
„Passiv"? Nein.
Spiegeln hat eine messbare Wirkung auf die Daten:
- Timing verfälscht – Frame-Abstände & Antwortzeiten stimmen nicht („what you see is not what you get")
- Niedrige Priorität – Spiegeln ist nicht die Hauptaufgabe des Switches
- Überlast → Drops – ist der SPAN-Port voll, fallen Frames weg
- Korrupte & zu kleine Frames werden verworfen
- Keine Meldung – der Verlust bleibt unsichtbar
Was am SPAN-Port fehlt
🚫 Verworfen
- Bad-CRC / FCS-Fehlerframes
- Runts (zu kurz)
- Oversize / Jumbo außerhalb Spec
- Layer-1 & Layer-2 Events
🏷️ Verfälscht
- VLAN-Tags meist entfernt
- → falsche „Probleme", VLAN-Fehler unauffindbar
- Nur eine Richtung (kein echtes FDX)
- Geänderte Reihenfolge & Latenz
Folge: die Analyse zeigt Probleme, die es gar nicht gibt – und übersieht echte.
SPAN skaliert nicht
Full-Duplex verdoppelt die Datenmenge – ein Port reicht nicht:
1 GbE Full-Duplex → bis zu 2 Gbit/s auf 1 SPAN-Port 10 GbE Full-Duplex → bis zu 20 Gbit/s auf 1 SPAN-Port Kein Switch repliziert das UND macht seinen Hauptjob.
Cisco selbst: „the switch treats SPAN data with a lower priority than regular port-to-port data" – im Zweifel SPAN nur bei niedrigem Durchsatz nutzen.
Wann SPAN genügt
- Application-Layer-Statistik bei niedriger Bandbreite
- Conversation Analysis & Application Flows
- VoIP-Reports aus dem Call Manager
- Ad-hoc-Troubleshooting, kein physischer Zugang
Gemeinsam: es wird nicht jedes Frame gebraucht.
Network TAP
100 % der Pakete – garantiert
Was ein TAP besser macht
- Verlustfrei – keine Drops, unabhängig von der Bandbreite
- Vollständig – Bad-CRC, Runts, Oversize, L1/L2 bleiben sichtbar
- Kein Grooming – Timing & Jitter exakt (wichtig für VoIP/Video, FDX)
- VLAN-Tags bleiben erhalten
- Wirklich passiv & fault-tolerant, IPv4/IPv6-agnostisch
- Keine IP – nicht adressierbar, nicht hackbar, keine Config
Compliance & Recht
- DSGVO verlangt 100 % Erfassung & Aufbewahrung
- SPAN ist nicht beweissicher – keine Fidelitätsgarantie
- Gespiegelter Traffic läuft durchs Produktivnetz
- Vor Gericht angreifbar – Lawful Intercept braucht echte Daten
TAP: nicht adressierbar, isoliert, lückenlos.
Direkter Vergleich
| Kriterium | SPAN Port | Network TAP |
|---|---|---|
| Paketverlust | Bei Last | Keiner |
| Fehler-/L1-Frames | Verworfen | Sichtbar |
| VLAN-Tags | Meist weg | Erhalten |
| Timing / Jitter | Verfälscht | Exakt |
| Full-Duplex | Problematisch | Vollständig |
| Kosten | Inklusive | Hardware |
| Beweissicher | Nein | Ja |
Faustregel
Low-Bandwidth-Statistik → SPAN reicht.
Jedes Paket zählt → TAP.
Fragen?
TAP, SPAN & alles dazwischen