第7章 ポートミラーリングでパケットを覗く【モジュールD】
モジュールD ポートミラーリング ｜ 前提: 共通(第1〜3章) ｜ 所要時間の目安: 約30分 ｜ 進め方(モジュールの選び方)
この章の目的
Section titled “この章の目的”基礎編でWiresharkを使ったとき、見えたのは 自分のPCを通る通信 だけでした。他人宛ての通信は、そもそも自分の所へ流れてきません。
このモジュールでは、スイッチに 「あのポートを通る通信のコピーを、こちらにも送って」 と頼みます。これが ポートミラーリング です。第3章で覚えたLAN Monitorの操作を、そのまま一段深く使います。
短時間で完結し、他のモジュールの前提にもなりません。時間が余ったときの選択肢としても使えます。
7-1 今回の目的と構成
Section titled “7-1 今回の目的と構成”目的: スイッチにポートミラーリングを設定し、自分が関わっていない通信をWiresharkで観察する。
現在の構成: 第3章までが済んだ状態。配線もルーターの設定も変えません。変えるのは スイッチの設定1か所 だけです。
役割: 設定係がLAN Monitorを操作し、確認係がPC-Bからpingを打ちます。観察はPC-A(設定係の席)で行います。
7-2 なぜ、ふだんは他人の通信が見えないのか
Section titled “7-2 なぜ、ふだんは他人の通信が見えないのか”理由は基礎編第3章で学んだとおりです。スイッチは宛先MACアドレスを見て、宛先の機器がつながっているポートだけ にフレームを届けます。PC-Bとルーターのやり取りは、PC-Aのポートには流れてきません。
つまり「見えない」のはWiresharkの性能不足ではなく、スイッチが正しく仕事をしている証拠 です。
では、PC-Bとルーターの間の通信を調べたいときはどうするか。スイッチに「ポート3を通る通信のコピーを、ポート2にも送って」と頼みます。
図7-1 ポートミラーリング — ポート3の通信の「写し」をポート2へ
7-3 操作手順① — ミラーリングを設定する
Section titled “7-3 操作手順① — ミラーリングを設定する”設定係が Yamaha LAN Monitor で SWX2110-5G にミラーリングを設定します。
- メイン画面で対象のスイッチ(SWX2110-5G)を選び、画面左の「機器詳細」の下にある 「機器設定」 ボタンをクリックする(図7-2の①)
- 開いた機器設定ダイアログで 「スイッチの設定」タブ を開き(②)、設定項目の一覧の 「ポートミラーリング機能」 の行で、右側の 「設定」 を押す(③)
図7-2 「機器設定」→「スイッチの設定」タブ→「ポートミラーリング機能」の「設定」
- 開いた「ポートミラーリング機能」の画面で、次のように設定する
| 画面の項目 | この演習での設定 | 意味 |
|---|---|---|
| スニファポート | ポート2(PC-A) | コピー先=観察する側。コピーを受け取り、Wiresharkで見る |
| 監視ポート | ポート3(PC-B)を選ぶ | コピー元=観察される側。この通り道を通る通信をコピーする |
| 監視方向 | 送信, 受信 | ポート3から出ていく通信と、入ってくる通信の両方をコピーする |
図7-3 スニファポート=コピー先(ポート2)、監視ポート=コピー元(ポート3)
呼び方はメーカーによって違います。ヤマハの画面では、コピー先を「スニファポート」(スニファ=通信を嗅ぎ取る道具)、コピー元を「監視ポート」と呼びます。ヤマハのマニュアルでは、コピー元を「モニターポート」(=見張られる側)と書くこともあります。メーカーによっては逆に、観察する側を「モニターポート」と呼ぶので、名前ではなく 「コピー元/コピー先」 で確かめてください。
- 画面右下の 「設定」 ボタンを押す。「設定を以下の通り変更します。実行してもよろしいですか？」という確認画面に、スニファポート:2/監視ポート:3/監視方向:送信, 受信 と表示されるので、内容を確かめて 「OK」 を押す
これで、図7-1のとおり「ポート3の通信の写しをポート2へ」 送る設定ができました。
7-4 操作手順② — Wiresharkで観察する
Section titled “7-4 操作手順② — Wiresharkで観察する”- PC-AでWiresharkを起動し、キャプチャーを開始する(基礎編第3章の手順)
- 確認係がPC-Bから
ping 192.168.n0.1(ルーター)を打つ - PC-AのWiresharkに、PC-Aが送っても受けてもいないICMP(PC-B⇔ルーターの往復)が現れることを確認する
- 観察が終わったら、ミラーリングを解除する。同じ「ポートミラーリング機能」の画面で スニファポートを「使用しない」 にして、7-3の手順4と同じように確定する(確認画面で「OK」)
見えたパケットの送信元・宛先を確かめてください。どちらも自分(PC-A)ではない — これがミラーリングの証拠です。基礎編で「スイッチのせいで他人の通信は見えない」と学び、ここでは「スイッチに頼めば見える」を体験しました。スイッチの仕組みを、裏と表から理解できたことになります。
7-5 正常時の結果
Section titled “7-5 正常時の結果”- ミラーリング経由で、PC-B⇔ルーターのICMPをPC-AのWiresharkで観察できた
- そのパケットの送信元・宛先が、どちらもPC-Aではないことを確認した
- ミラーリングは解除済み
7-6 よくある設定ミス
Section titled “7-6 よくある設定ミス”| ミス | 症状 | 直し方 |
|---|---|---|
| コピー元とコピー先を逆に設定 | Wiresharkに何も出てこない | 「監視ポート=コピー元=見たい通信の通り道、スニファポート=コピー先=観察するPCの席」を確認 |
| 観察するPCの席を間違えた | 自分の通信しか見えない | スニファポートが、Wiresharkを動かすPCのポートか確認 |
| pingを打つ前にキャプチャーを始めていない | 何も記録されない | キャプチャー開始 → ping の順で行う |
| ミラーリングの解除忘れ | ポート2に余計なコピーが流れ続ける | 観察が終わったら解除する習慣 |
もう一歩深く — 「見える」道具の責任
Section titled “もう一歩深く — 「見える」道具の責任”ミラーリングは強力すぎる道具でもあります。 コピーできるのは ping だけではありません。そのポートを通る通信は原則すべて写せます。だから実務では、ミラーリングやキャプチャーは業務上の必要があるとき、権限とルールにもとづいて行うものです。「見えるからといって、見てよいわけではない」— 道具が強力になるほど、使う側の責任も大きくなります。
基礎編の関連章
Section titled “基礎編の関連章”- 第3章 — スイッチが宛先のポートだけに届ける仕組み。「ふだん見えない」理由の原点
- 第8章 — Wiresharkによる確認。ここでは、その視野をスイッチの設定で広げました
問題1(理由の説明)
Section titled “問題1(理由の説明)”ミラーリングを設定する前、PC-AのWiresharkには「PC-Bからルーターへのping」が見えませんでした。その理由を、スイッチの動き(基礎編第3章)で説明してください。
問題2(実務の判断)
Section titled “問題2(実務の判断)”観察が終わったらミラーリングを解除するよう指示されています。解除せずに放置すると、どんな不都合がありますか。2つ挙げてください。
問題1の解答を表示する
解答例: スイッチは宛先MACアドレスを見て、宛先の機器がつながっているポートだけにフレームを届ける。PC-Bとルーターの通信の宛先はPC-Aではないので、PC-Aのポートにはそもそも流れてこない。だからWiresharkにも現れない。
「見えないのはWiresharkの性能不足ではなく、スイッチが正しく仕事をしている証拠」と言えたら満点です。
問題2の解答を表示する
解答例: ①スニファポート(コピー先)には本来不要なコピーが流れ続けるので、そのポートの帯域を無駄に使い、通信量が多いときは影響が出る。②他人の通信が見え続ける状態が残るので、情報の取り扱い上、望ましくない。
「性能面」と「情報の取り扱い(権限とルール)」の2方向から答えられていれば十分です。
- 第3章 SWX2110とYamaha LAN Monitor — このモジュールの前提。LAN Monitorの基本操作はこちらです
- 第8章 総合演習と障害切り分け — 「本当に流れているのか」を確かめたい場面で、この道具が効きます