Hardware Tap-Device für Network-Analyse

 Ich habe ja ein Faible für smarte Gadgets, Devices etc. und hatte mir vor gefühlt vor 15 oder mehr Jahren ein Network-Tap gekauft um den Netzwerktraffic eines anderes Device per Wireshark zu prüfen/protokollieren bzw. mitzuschneiden.

Damals habe ich mir ein günstiges Gadget gekauft das in einem 10/100 Mbit/s den Traffic eines Netzwerk-Ports auf einen anderen Port gespiegelt hat, an dem dann der Wireshark mitlesen konnte.

Gefunden habe ich ein Throwing Star LAN Tap auf https://greatscottgadgets.com/throwingstar/ (die Seite sieht immer noch absolut identisch wie vor 15 Jahren aus).

Die LAN-Geschwindigkeit hat sich in der Zwischenzeit weiterentwicklet und wir haben 1000 Mbit/s (wobei der ein oder andere vielleicht schon  an einem 2,5 Gbit/s 5 oder gar 10 Gbit/s LAN arbeitet). 

Dafür benötigt man ein anderes TAP (Test Access Point) Device. Meist sind die professionellen Devices recht teuer, evtl. findet sich ein "Net Optics 10/100/1000 tap" auf ebay und Co. mal für 150 Euro, aber soviel wollte ich nicht ausgeben und solche hohen Anforderungen habe ich nicht.

Meine Wahl fiel dann einfach auf einen kleinen 5-Port Switch von tp-link der "TP-Link TL-SG105E" für ca. 20 Euro bei Amazon:

Der Switch bekommt im LAN per DHCP eine Adresse und kann per Webinterface administriert werden. Default Login ist admin Passwort auch admin

danach ein neues Passwort vergeben

Config prüfen, bzw. auch gleich die Firmware updaten über 

https://www.tp-link.com/de/support/download/tl-sg105e/v5/

Dann den Mirror-Port auf Port 5 einstellen und und bei mir ist der Port 1 der Port der gespiegelt wird (auf Port 5):

Dann noch Port 5 in ein anderes VLAN setzen, damit der Port wirklich nur der Mirror-Port ist, wenn dort ein LAN-Kabel für die Wireshark-Überwachung angesteckt wird. Zuerst 802.1q aktivieren und dann sind erstmal default alle Ports im VLAN. Dann ein VLAN z.B. 200 erstellen (bei mir mit Namen Mirror) und dort den Port 5 untagged hinzuüfgen, Apply und anschließend wieder ins VLAN 1 Default gehen und den Port 5 als "not Member" kennzeichnen und Apply damit das so wie folgt aussieht:

jetzt noch den Ports das passende VLAN zuordnen. Bei mir haben Port 1-4 VLAN 1 Default und Port 5 das VLAN 200

Das wars noch ein Config-Backup machen und Fertig.

Zukünftig kommt bei mir dann an Port 1 das Gerät das ich überwachen möchte an Port 2 (oder 3 oder 4) kommt der Uplink zu Eurem Router (bei mir eine Fritzbox) und an Port 5 der PC auf dem Wireshark den Traffic monitoren soll den das Gerät an Port 1 verursacht. Fertig.

Ein paar Minuten Konfig im tp-link und Ihr habt ein brauchbares Network-TAP-Device für wenig Geld.

Idealerweise noch die Ports auf den TP-Link beschriften inklusive Admin-Login, damit man das auch gleich griffbereit am TAP-Device hat. Bei mir sieht das wie folgt aus: