第8章　ポートミラーリングでパケットを覗く【モジュールD】

モジュールD ポートミラーリング　｜　前提: 共通(第1〜3章)　｜　所要時間の目安: 約30分　｜　進め方(モジュールの選び方)

この章の目的

基礎編でWiresharkを使ったとき、見えたのは 自分のPCを通る通信 だけでした。他人宛ての通信は、そもそも自分の所へ流れてきません。

このモジュールでは、スイッチに 「あのポートを通る通信のコピーを、こちらにも送って」 と頼みます。これが ポートミラーリング です。第3章で覚えたLAN Monitorの操作を、そのまま一段深く使います。

短時間で完結し、他のモジュールの前提にもなりません。時間が余ったときの選択肢としても使えます。

8-1 今回の目的と構成

目的: スイッチにポートミラーリングを設定し、自分が関わっていない通信をWiresharkで観察する。

現在の構成: 第3章までが済んだ状態。配線もルーターの設定も変えません。変えるのは スイッチの設定1か所 だけです。

役割: 設定係がLAN Monitorを操作し、確認係がPC-Bからpingを打ちます。観察はPC-A(設定係の席)で行います。

8-2 なぜ、ふだんは他人の通信が見えないのか

理由は基礎編第3章で学んだとおりです。スイッチは宛先MACアドレスを見て、宛先の機器がつながっているポートだけ にフレームを届けます。PC-Bとルーターのやり取りは、PC-Aのポートには流れてきません。

つまり「見えない」のはWiresharkの性能不足ではなく、スイッチが正しく仕事をしている証拠 です。

では、PC-Bとルーターの間の通信を調べたいときはどうするか。スイッチに「ポート3を通る通信のコピーを、ポート2にも送って」と頼みます。

ポートミラーリングの構成図。PC-B(ポート3)からルーター(ポート1)へのpingは実線の経路を流れる。ミラーリングを設定すると、ポート3を通る通信のコピーが破線のようにポート2へも送られ、PC-AのWiresharkで観察できる

図8-1 ポートミラーリング — ポート3の通信の「写し」をポート2へ

8-3 操作手順① — ミラーリングを設定する

設定係が Yamaha LAN Monitor で SWX2110-5G にミラーリングを設定します。

メイン画面で対象のスイッチ(SWX2110-5G)を選び、「機器設定」 をクリックする
「スイッチの設定」タブ を開き、設定項目の一覧から 「ポートミラーリング機能」 を見つけて、右側の 「設定」 を押す
開いたダイアログで、次のように設定する

項目	この演習での設定	意味
機能の有効化	使用する(On)	ポートミラーリングを有効にする
モニターポート(ミラーリング先)	ポート2(PC-A)	通信のコピーを受け取る＝観察の窓口
対象ポート(ミラーリング元)	ポート3(PC-B)	この通り道を通る通信をコピーする

「OK」(または「設定」)で確定して、ダイアログを閉じる

これで、図8-1のとおり「ポート3の通信の写しをポート2へ」 送る設定ができました。

8-4 操作手順② — Wiresharkで観察する

PC-AでWiresharkを起動し、キャプチャーを開始する(基礎編第3章の手順)
確認係がPC-Bから ping 192.168.n0.1(ルーター)を打つ
PC-AのWiresharkに、PC-Aが送っても受けてもいないICMP(PC-B⇔ルーターの往復)が現れることを確認する
観察が終わったら、ミラーリングを解除する(「機能の有効化」を「使用しない」に戻す)

見えたパケットの送信元・宛先を確かめてください。どちらも自分(PC-A)ではない — これがミラーリングの証拠です。基礎編で「スイッチのせいで他人の通信は見えない」と学び、ここでは「スイッチに頼めば見える」を体験しました。スイッチの仕組みを、裏と表から理解できたことになります。

8-5 正常時の結果

ミラーリング経由で、PC-B⇔ルーターのICMPをPC-AのWiresharkで観察できた
そのパケットの送信元・宛先が、どちらもPC-Aではないことを確認した
ミラーリングは解除済み

8-6 よくある設定ミス

ミス	症状	直し方
コピー元とコピー先を逆に設定	Wiresharkに何も出てこない	「元=見たい通信の通り道、先=観察PCの席」を確認
観察するPCの席を間違えた	自分の通信しか見えない	モニターポートが、Wiresharkを動かすPCのポートか確認
pingを打つ前にキャプチャーを始めていない	何も記録されない	キャプチャー開始 → ping の順で行う
ミラーリングの解除忘れ	ポート2に余計なコピーが流れ続ける	観察が終わったら解除する習慣

もう一歩深く — 「見える」道具の責任

ミラーリングは強力すぎる道具でもあります。 コピーできるのは ping だけではありません。そのポートを通る通信は原則すべて写せます。だから実務では、ミラーリングやキャプチャーは業務上の必要があるとき、権限とルールにもとづいて行うものです。「見えるからといって、見てよいわけではない」— 道具が強力になるほど、使う側の責任も大きくなります。

基礎編の関連章

第3章 — スイッチが宛先のポートだけに届ける仕組み。「ふだん見えない」理由の原点
第8章 — Wiresharkによる確認。ここでは、その視野をスイッチの設定で広げました

確認問題

問題1(理由の説明)

ミラーリングを設定する前、PC-AのWiresharkには「PC-Bからルーターへのping」が見えませんでした。その理由を、スイッチの動き(基礎編第3章)で説明してください。

問題2(実務の判断)

観察が終わったらミラーリングを解除するよう指示されています。解除せずに放置すると、どんな不都合がありますか。2つ挙げてください。

解答と解説

問題1の解答を表示する

解答例: スイッチは宛先MACアドレスを見て、宛先の機器がつながっているポートだけにフレームを届ける。PC-Bとルーターの通信の宛先はPC-Aではないので、PC-Aのポートにはそもそも流れてこない。だからWiresharkにも現れない。

「見えないのはWiresharkの性能不足ではなく、スイッチが正しく仕事をしている証拠」と言えたら満点です。

問題2の解答を表示する

解答例: ①モニターポートには本来不要なコピーが流れ続けるので、そのポートの帯域を無駄に使い、通信量が多いときは影響が出る。②他人の通信が見え続ける状態が残るので、情報の取り扱い上、望ましくない。

「性能面」と「情報の取り扱い(権限とルール)」の2方向から答えられていれば十分です。

第8章 ポートミラーリングでパケットを覗く【モジュールD】