Klassische Netzwerkanalyse-Appliances sind groß, schwer und komplex in der Bedienung. Doch ist es Best Practice, beim Netzwerk-Troubleshooting dort anzusetzen, wo der Fehler auftritt – und dies ist zumeist der Client. Zwar bieten viele Windows- und Linux-Clients mit pktmon und tcpdump oder mit Open-Source-Tools wie Wireshark oder tshark integrierte Möglichkeiten zur Aufzeichnung, doch diese sind auch von der Performance der Rechner abhängig oder verfälschen die Messergebnisse.

So kann es sein, dass Pakete durch Offloading-Maßnahmen auf der Netzwerkkarte nochmals bearbeitet werden und folglich die Daten bei Mitschnitten auf dem Betriebssystem nicht denen im realen Netzwerk gleichen. Um an diesen dezentralen Stellen möglichst nah am Client die fließenden Daten aufzeichnen zu können, braucht es portable Geräte, die performant, akkurat und ohne Verluste arbeiten. Hierzu kommt Profitap ProfiShark ins Spiel.

Kleiner und portabler Test Access Point
Klassische Test Access Points (TAP) setzen mehrere Netzwerkkarten auf dem Gerät (PC/Notebook) voraus, das den Datenverkehr aufzeichnet. Die meisten Systemadministratoren haben allerdings Notebooks mit einer begrenzten Anzahl an Schnittstellen – insbesondere für Ethernet. Der niederländische Hersteller Profitap möchte diesen Herausforderungen begegnen und bietet hierzu den portablen TAP namens ProfiShark an. Der Name stellt direkt die Integration mit Wireshark dar.

Ein TAP dient klassischerweise dazu, Daten aus einem Netzwerk auszuleiten, um diese für Troubleshootings oder Sicherheitsanalysen auf Paketebene verfügbar zu machen. Hierzu wird er inline in den Datenpfad eingeschliffen, also beispielsweise zwischen zwei Switchen oder Routern, aber auch der Einsatz zwischen Switch und Endgerät ist möglich. Die Daten nimmt dann ein Analyseendgerät entgegen und zeichnet sie auf. Je Kommunikationsrichtung braucht das Analysegerät jedoch klassisch zwei Netzwerkkarten, um sowohl die Sende- als auch die Empfangsrichtung verlustfrei zu empfangen.

Das getestete ProfiShark-Gerät geht hier einen anderen Weg. Es übertrug in unserem Test die aufgezeichneten Daten über eine USB-3.0-Verbindung zum Analyse-PC/Notebook. Diese diente auch gleichzeitig der Spannungsversorgung, was den Einsatz sehr flexibel macht. Zudem bietet sie eine Bandbreite von 5 GBit/s, brachte also keine Einschränkungen mit, wenn beispielsweise zweimal 1 GBit/s zu übertragen sind. Zudem verfügt das Device auch über eine 5V-DC-Option zur unabhängigen Stromversorgung.

Für den aufzuzeichnenden Datenverkehr stehen jeweils zwei Netzwerkports bereit, je nach Modell mit unterschiedlichen Geschwindigkeiten: 1 GBit/s auf Kupferbasis mit RJ45-Buchsen als "ProfiShark 1G" oder 10 GBit/s mit SFP+-Einschüben für Lichtwellenleitermodule als "ProfiShark 10G". Zudem standen noch Varianten zur Zeitsynchronisation mit mehreren Geräten mit einer I/O-Schnittstelle für das "Pulse per Second Time Synchronization Protocol", sowie einem GPS-Modul für Hardware-Zeitstempel bereit. Die Produktbezeichnung endet in diesem Fall mit einem Plus-Zeichen, also 1G+ oder 10G+.

Fazit
ProfiShark überzeugte für den mobilen Einsatz durch die geringen Maße und geringes Gewicht. Zudem reicht durch die Kombination von Stromversorgung und Datenanbindung zur Ausleitung über USB 3.0 eine Schnittstelle aus, was auch die Implementierung vereinfacht. Es ist also ein optimaler Begleiter für die mobile Netzwerkanalyse. Auch die PoE-Passthrough-Funktion sowie der Failover-Modus überzeugten vollends.

Als TAP für den dauerhaften Einsatz taugt das Gerät mangels Ethernet-Ausgangsport jedoch nicht. Somit sollten in RZ-Netzwerken (aufgrund der maximalen Schnittstellengeschwindigkeiten) sowie für permanente Mitschnitte andere Devices zum Einsatz kommen. Hingegen überzeugten die vielfältigen Mitschnittoptionen über Wireshark, die direkte Dateiablage über ProfiShark sowie die Langzeit-Captures.

Den kompletten Test finden Sie in Ausgabe 07/2024 ab Seite 22 oder in unserem Heftarchiv.

ln/jp/Benjamin Pfister