ネットワークの常識・非常識 第3回

パケットキャプチャを学ぼう

ネットワークに流れるデータは見えますか？

Q. ネットワークに流れるデータを見ることはできますか？

A. できます。LANアナライザという装置を使います。。

LANアナライザでデータは見られる

　LANアナライザというツールをご存じだろうか？　これはネットワークのトラフィックを可視化するツールである。トラブルシューティングやデバッグなどでよく用いられる。

　LANアナライザは、ネットワークからフレームを収集するためにLANカードを持っている。基本的な機能は、このLANカードから入ってくるフレームを蓄積し、その内容を人にわかるように翻訳して表示するというものである。「フレームを蓄積」することを、特にキャプチャといっている。

　LANアナライザは、PCにインストールして使用するソフトウェアとして提供されるものもあれば、ハードウェア一体型の専用機もある。特にギガビットEthernet以上の高速LANで使用する場合には、専用の筐体が用いられることが多いようだ。

パケットをキャプチャできる条件

　PCなどは多くの場合、無線LANを使用しなければ、LANケーブルによりハブやスイッチと呼ばれる集線装置に接続し、通信を行なう。しかし、スイッチ全盛期の今日ではそのようにはならない。何の準備もなくスイッチの開いているポートにLANアナライザを接続しても、キャプチャできるのは全ポートに流されるブロードキャスト／マルチキャストフレームだけである。LANアナライザによって必要なフレームをキャプチャするためには、どのような準備がされていればよいのだろうか？　大きく2つの方法がある。

ポートミラーリング

　LANアナライザ等を使用するために、ポートミラーリングが行なえるスイッチがある。ほとんどの機種では、特定のポートで送受信されるフレームを、LANアナライザ等の接続されている「ミラーポート」から出力するように設定可能だ。これにより、LANアナライザで目的の通信をモニタ／キャプチャすることができる（図1）。

図1　LANアナライザによるフレームのキャプチャ。現在のネットワーク環境ではスイッチが使用されるので、フレームをキャプチャするためには準備が必要だ

TAP

　ケーブル上で送受信されるフレームを、LANアナライザなどの装置にコピーして送信する専用の装置がある。これらはTAPと呼ばれる。開いているポートがないなど、ポートミラーリングができないときにこのTAPを利用することになる。

　TAPは、物理的にケーブルに挿入し、通過するフレームのコピーをLANアナライザに供給する（図1）。そのため一時的にリンクを切断する必要があり、運用中のネットワークでは、TAPを挿入する作業に深夜などの時間帯を指定されることも少なくない。

　TAPを使用するメリットは、キャプチャしたデータの信頼性が高くなることである。スイッチの仕様に縛られるポートミラーリングと異なり、原則すべてのフレームをTAPは出力するので、キャプチャするLANアナライザの能力が十分高ければ、取りこぼすフレームは限りなくゼロに近くなる。

（次ページ、「キャプチャされたフレームの様子」に続く）