집에서 Passive 네트워크 탭(Tapping) 장비 만들기

네트워크 트래픽 데이터를 덤프할때 기업에서 많이 사용하는 방법중의 하나가 Tapping 하는 것입니다. Tapping 전용 장비를 이용해 흐르는 트래픽 데이터를 Transparent 하게 중간에서 엿 볼수가 있는 것이죠. 트래픽 양이 큰 경우에는 더 큰 대역폭이 필요해 지므로 가격은 계속 비싸지겠죠. 전용장비 이외는 시스템에서 여러개의 네트워크 인터페이스를 설치해 사용할 수 있는 방법도 있습니다. 즉, 자기가 게이트웨이인양 모든 트래픽이 자기를 거쳐서 나가게 되므로 해당 인터페이스에서 덤프를 뜨게 되면 모두 관찰할 수 있습니다. 여러 작업을 거쳐야 하므로 조금 귀챦은 일이 되겠죠.


이보다 더 쉬운 방법은 과거에 사용하던 더미허브를 이용하는 것이죠. 더미허브 어디다 꼽아도 해당 허브의 모든 트래픽을 관찰할 수 있습니다. 요새는 더미허브 자체도 잘 나오지도 않아서 오히려 구하기도 힘듭니다 :-)

집에서 한번 시도해 볼 수 있는 Tapping 을 만들어 놓은게 있더군요. 스노트 팀에서 비슷한 다이아그램을 그려서 공개해 놓은게 있었는데, 막상 누가 만들어 찍어 놓은 사진을 보니 그럴싸합니다. 아래는 전체적인 그림 입니다.

4개의 RJ-45 잭을 이용해 2개의 포트는 트래픽 입력, 출력으로 이용되고 나머지는 2개는 입력데이터가 다른 포트로 나가고 출력 데이터는 다시 다른 포트를 지나 흐르는 것입니다. 아래 그림이 실제로 만들어 놓은 것입니다.

혹시, 아래 그림과 같은 잭을 어디서 살 수 있나요? 아시는 분은 댓글좀 ^^ (우리가 흔히 쓰는 RJ-45 잭 하고는 형태가 조금 다르네요)

이렇게 해서 인바운드나 아웃바운드를 따로 모니터링을 할 수도 있습니다. TAP 1, 2 에 연결된 포트가 컴퓨터에 연결되고 각 인터페이스에 덤프를 뜨면 따로 볼 수 있게 됩니다. 함께 같이 본다면 다음과 같이

shell> ifconfig bridge create
shell> ifconfig bridge0 addm ed0 addm ed1 monitor up
shell> tcpdump -i bridge0

브릿지를 만들어 하면 됩니다. 조금 더 세부적인 내용은 아래 URL 을 참고하세요.
저도 시간되면 집에서 한번 만들어 봐야 겠네요 :-)
그러나 요새는 글 한번 쓰기도 쉽지 않아지네요. ㅋㅋㅋ

[참고]
1. http://thnetos.wordpress.com/2008/02/22/create-a-passive-network-tap-for-your-home-network/

2. 직접 만들어 본 Tapping 장비와 라즈베리파이 연결
라즈베리파이(Raspberry PI)가 네트워크 탭(Tapping) 장비로 변신한 이유