Network Tap: Cos’è e dove si inserisce nella visibilità industriale
Un network tap è un dispositivo hardware passivo che copia il traffico di rete per il monitoraggio senza entrare a far parte del percorso del traffico. Nelle reti OT e industriali, questo può rendere più semplice costruire la visibilità senza affidarsi solo ad agent software o al mirroring degli switch.
Che cos’è un network tap
Un network tap si colloca tra due estremi di comunicazione e realizza una copia esatta del traffico che attraversa il collegamento. Le apparecchiature monitorate continuano a comunicare normalmente; il tap fornisce semplicemente un’uscita separata per sensori, strumenti di packet capture o analizzatori. A differenza di un agente software, non deve essere installato sul dispositivo sotto osservazione.
Questo è importante negli ambienti industriali perché molti asset sono datati, fragili o gestiti da un fornitore che non vuole software aggiuntivo caricato su un controller, uno switch o un appliance embedded. Un tap viene spesso usato quando gli operatori desiderano visibilità senza modificare il comportamento del sistema di produzione.
Come funziona
La maggior parte dei tap è progettata per uno specifico mezzo fisico, come Ethernet in rame o fibra. Instradano il collegamento attivo in modo da preservare la normale comunicazione, duplicando allo stesso tempo i frame verso una porta di monitoraggio o una coppia di porte. Gli strumenti di sicurezza collegati a quell’uscita di monitoraggio possono ispezionare il traffico in modo passivo.
In pratica, questo significa che il lato di monitoraggio vede copie dei pacchetti, non un percorso che passa attraverso il tap. Questa distinzione è importante: il tap non è un router, uno switch, un firewall o un packet broker. Non decide quale traffico sia consentito. Il suo compito è solo esporre il traffico in modo che gli strumenti possano osservarlo.
Specifiche che contano
Non tutti i tap sono adatti a ogni collegamento. I dettagli principali da verificare sono il mezzo fisico, la velocità del link e se il tap supporta traffico unidirezionale o full-duplex. Per i collegamenti in fibra, l’insertion loss e il budget ottico sono importanti perché un tap aggiunge attenuazione. Per i collegamenti in rame, impedenza e qualità del cavo influenzano l’integrità del segnale.
- Tipo di mezzo: rame, fibra o talvolta varianti seriali/legacy
- Velocità del link: deve corrispondere alla velocità di rete in uso
- Porte di monitoraggio: una o due uscite a seconda della direzione e della progettazione dello strumento
- Comportamento di alimentazione: i tap passivi non richiedono alimentazione per inoltrare il traffico, ma alcuni modelli avanzati sì
- Caratteristiche di failover: come si comporta il dispositivo se un componente si danneggia o perde alimentazione
Per il lavoro OT, conta anche la robustezza fisica. Il contenitore, il tipo di connettore, l’intervallo di temperatura e lo stile di montaggio dovrebbero essere adatti al quadro o all’ambiente di impianto, non solo al laboratorio.
Limiti ed errori comuni
Un tap offre visibilità, ma non la crea da solo. Serve comunque un sistema di sensori o di packet capture che possa decodificare il traffico, comprendere i protocolli industriali e conservare abbastanza dati per l’analisi. Un tap inoltre non può vedere il traffico che non attraversa il collegamento a cui è connesso, quindi il posizionamento è fondamentale.
Gli errori comuni includono l’uso del tipo di mezzo sbagliato, l’idea che un tap possa risolvere una rete congestionata e il dimenticare che il traffico mirrored può sovraccaricare lo strumento di monitoraggio se il sistema di acquisizione è sottodimensionato. Un altro errore frequente è collocare il tap dove non può osservare i flussi che contano, per esempio tra uno switch e un singolo host quando il rischio reale si trova su un altro segmento.
Installazione e manutenzione
L’installazione dovrebbe essere pianificata durante una finestra di manutenzione, con un’etichettatura chiara del lato live, del lato monitor e della direzione del traffico. Dopo l’installazione, confermare la stabilità del link, controllare eventuali errori e verificare che lo strumento di monitoraggio riceva copie pulite dei pacchetti alle velocità attese.
La manutenzione ordinaria è in genere leggera, ma non va ignorata. Ispezionare i connettori, controllare la contaminazione della fibra e ripetere i test dopo spostamenti del quadro o cambi di cavo. Se la rete viene aggiornata a una nuova velocità o a un nuovo mezzo, il tap potrebbe richiedere la sostituzione anziché una semplice regolazione.
Usato bene, un network tap è un modo semplice per rendere visibile il traffico senza chiedere alla rete di produzione di svolgere lavoro extra. Il suo valore deriva dal fatto di essere passivo, prevedibile e fisicamente vicino al collegamento che si vuole osservare.