Un TAP (punto de acceso de tráfico) óptico pasivo es un dispositivo de hardware en línea sin potencia que divide la luz en un enlace de fibra para enviar una copia de todo el tráfico a una herramienta de monitoreo. No requiere electricidad, configuración ni firmware. Debido a que funciona en la capa física dividiendo fotones, no puede descartar paquetes, agregar latencia o convertirse en un punto de falla como lo puede hacer un conmutador o un dispositivo alimentado.
Cómo funciona un TAP óptico pasivo
Dentro del dispositivo, un divisor óptico divide la luz entrante en dos caminos. En un enlace de fibra dúplex estándar, cada dirección (TX y RX) se divide de forma independiente, lo que produce dos salidas de monitor - una por dirección - para que las herramientas de monitoreo vean la conversación bidireccional completa.
Este es un proceso de capa-física. El TAP no almacena, analiza, modifica ni retransmite ningún dato. Simplemente divide la luz. Los puertos del monitor están aislados ópticamente de los puertos de red, lo que crea una ruta de datos unidireccional. Incluso una herramienta de monitoreo comprometida no puede inyectar tráfico o errores nuevamente en el enlace de producción.
Pérdida de inserción: la compensación principal
La luz dividida reduce la intensidad de la señal en la ruta de producción. Esta reducción se llama pérdida de inserción. En un enlace corto de un centro de datos con mucho margen óptico, una división 50/50 normalmente no causa problemas. En una ejecución más larga en modo único-que ya funciona cerca del umbral de sensibilidad del receptor, incluso una división 70/30 necesita una validación cuidadosa. Calcular el presupuesto óptico antes de la instalación - y no después de - evita que aparezcan errores intermitentes semanas o meses después a medida que los transceptores envejecen.
TAP óptico pasivo versus TAP activo versus puerto SPAN
| Grifo óptico pasivo | Grifo activo | Puerto SPAN | |
|---|---|---|---|
| Energía requerida | No | Sí | No (utiliza energía del interruptor) |
| Modo de falla | La luz pasa; el enlace permanece activo | El enlace puede caer brevemente debido a una pérdida de energía (depende del diseño de derivación) | La sesión reflejada se detiene ante una sobrecarga o reinicio del conmutador |
| Integridad del tráfico | 100%, incluidos los marcos de error | 100% con regeneración de señal | Puede dejar caer paquetes bajo carga; a menudo filtra marcos de error |
| Latencia agregada | Ninguno | Microsegundos (procesamiento) | Ninguno para monitorear, pero puede cargar la CPU del switch |
| Superficie de seguridad | Ninguno - sin IP, sin interfaz de administración | Tiene firmware e interfaz de gestión. | Configurado a través del switch CLI/GUI |
| Mejor ajuste | Monitoreo continuo de fibra donde la confiabilidad y la integridad son prioridades | Presupuestos ópticos ajustados o enlaces que necesitan regeneración de señal | Solución de problemas temporales o enlaces sin acceso físico TAP |
La limitación más importante de SPAN: la duplicación es una función-de prioridad baja en la mayoría de los conmutadores. Bajo una carga pesada, el conmutador descarta silenciosamente los paquetes reflejados, creando puntos ciegos en sus datos de monitoreo exactamente en los momentos en que la captura completa es más importante.
Tipos de TAP ópticos pasivos
Por tipo de fibra
- Modo único-(OS2)- para enlaces de larga-distancia (hasta decenas de kilómetros). Utiliza longitudes de onda de 1310 nm o 1550 nm. Las relaciones de división de 70/30 u 80/20 son comunes para preservar presupuestos ópticos ajustados.
- Multimodo (OM3/OM4/OM5)- para recorridos cortos de centros de datos (hasta ~550 m) a 850 nm. A menudo es posible realizar una división 50/50 debido al generoso margen óptico.
Por tipo de conector
- LC- estándar para enlaces dúplex 1G y 10G. La mayor densidad de puertos en chasis de montaje en rack-.
- MPO/MTPSe requiere - para ópticas paralelas 40G SR4, 100G SR4 y 400G SR8. Admite configuraciones de ruptura para monitorear carriles individuales.
- CAROLINA DEL SUR- formato más antiguo y más grande todavía se encuentra en algunos entornos heredados.
Cómo elegir el TAP óptico pasivo adecuado
1. Haga coincidir el tipo de fibra y el conector
Un TAP monomodo- y un TAP multimodo son dispositivos diferentes - y no son intercambiables. El conector (LC, SC, MPO/MTP) también debe coincidir con su enlace. Los desajustes requieren adaptadores que añaden pérdidas de inserción innecesarias.
2. Seleccione la proporción de división
| Proporción de división | Ruta de producción | Monitorear ruta | Uso típico |
|---|---|---|---|
| 50/50 | 50% | 50% | Enlaces cortos al centro de datos con margen saludable; Enlaces 40G+ donde las herramientas de monitoreo necesitan una señal fuerte |
| 70/30 | 70% | 30% | Enlaces 1G/10G en recorridos-de distancia moderada; proporción de propósito general-más común |
| 80/20 o 90/10 | 80–90% | 10–20% | Enlaces monomodo-largos con presupuestos limitados; La herramienta de monitoreo debe tener un receptor sensible. |
3. Calcule el presupuesto del enlace óptico
Este paso evita la mayoría de los errores de implementación. Antes de comprar:
- Busque la potencia de salida mínima del transmisor y la sensibilidad del receptor en la hoja de datos del transceptor.
- Calcule la atenuación total de la fibra (distancia × pérdida por km). Valores de referencia: ~3,5 dB/km para OM4 multimodo a 850 nm; ~0,4 dB/km para modo único-a 1310 nm.
- Agregue pérdidas de conector (~0,2–0,5 dB por par acoplado para conectores de calidad).
- Agregue la pérdida de inserción del TAP para la relación de división elegida.
- Incluya al menos 3 dB de margen del sistema por envejecimiento, reparaciones y variación de temperatura.
- Confirme que la pérdida total se mantenga dentro del presupuesto de energía del transceptor.
También verifique que el receptor de la herramienta de monitoreo sea lo suficientemente sensible como para funcionar con la potencia reducida en el puerto del monitor del TAP.
4. Evite estos errores comunes
- Saltarse el cálculo del presupuesto- un TAP que pasa las pruebas de banco aún puede causar errores de CRC en un enlace de producción con un margen reducido.
- Elegir la relación de división solo para el lado del monitor- una división 50/50 proporciona una señal de monitoreo más fuerte, pero si el margen del enlace de producción es estrecho, puede empujar la ruta en vivo por debajo de su umbral confiable.
- Olvidar las pérdidas de conectores y paneles de conexión- cada par acoplado suma pérdidas. En un entorno muy parcheado, estos se acumulan.
- Suponiendo que todos los TAP pasivos son equivalentes- dos TAP con la misma relación de división pueden tener diferentes especificaciones de pérdida de inserción. Consulta la hoja de datos.
Cuándo utilizar un TAP óptico pasivo
- Necesita una supervisión continua y siempre{0}}activa en un enlace de fibra con un margen óptico adecuado.
- La integridad del tráfico es importante - IDS, captura forense y registro de cumplimiento.
- Quiere que la supervisión esté desacoplada de la configuración del conmutador y de los recursos del conmutador.
- Necesita cero dependencia energética y ninguna superficie de gestión atacable.
- Los marcos de cumplimiento (NERC CIP, PCI DSS, IEC 62443, HIPAA) requieren una separación entre la infraestructura de monitoreo y producción.
Cuando un TAP óptico pasivo no es el adecuado
- Presupuesto óptico ajustado- si el enlace ya está cerca de la sensibilidad del receptor, la división adicional puede provocar errores. Utilice en su lugar un TAP activo con regeneración de señal.
- Enlaces de cobreLos - TAP ópticos pasivos funcionan solo con fibra. El monitoreo de cobre necesita un puerto TAP o SPAN de cobre.
- Se necesita manipulación del tráfico- el filtrado, la agregación, la deduplicación o la conversión de protocolos requieren un intermediario de paquetes o un TAP activo en sentido descendente.
- Solución de problemas temporales- una sesión SPAN es más rápida de configurar cuando solo necesitas echar un vistazo rápido a un enlace de baja-criticidad.
Preguntas frecuentes
¿Un TAP óptico pasivo requiere energía?
No. Funciona completamente mediante división óptica sin electrónica activa.
¿Admite tráfico bidireccional?
Sí. Cada dirección en un enlace dúplex se divide de forma independiente, produciendo dos salidas de monitor.
¿Puede afectar el tráfico de producción?
Introduce pérdida de inserción (intensidad de señal reducida), pero no puede inyectar tráfico ni errores. Una planificación adecuada del presupuesto óptico garantiza que el enlace de producción se mantenga en buen estado.
¿Es mejor un TAP pasivo que un puerto SPAN?
Para una supervisión continua donde la integridad del tráfico es importante - sí. Un TAP pasivo captura el 100 % del tráfico, incluidas las tramas de error, y nunca descarta paquetes bajo carga. Un puerto SPAN es más fácil de configurar sin cambios de cableado físico, pero descarta silenciosamente paquetes reflejados cuando el conmutador está ocupado.
¿Cómo elijo entre 50/50 y 70/30?
Partir del presupuesto óptico del enlace de producción. Los enlaces cortos de centros de datos con transceptores de alta-potencia normalmente pueden manejar 50/50. Tiradas más largas o presupuestos más ajustados requieren 70/30 o más. Siempre verifique que tanto el receptor de producción como el receptor de la herramienta de monitoreo tengan suficiente señal.
¿Pueden los atacantes detectar un TAP pasivo?
No. No tiene dirección IP, dirección MAC ni interfaz de administración. Es invisible para cualquier análisis basado en red-.
¿Cuánto duran los TAP pasivos?
No contienen componentes que se degraden con el uso. Las implementaciones suelen durar entre 10 y 20 años. El único mantenimiento es la limpieza ocasional del conector de fibra.
