目次
はじめに
「Wiresharkを別のスイッチにつないでも通信を確認できるの？」
「ミラーポートのデータは別スイッチを経由して送信できるの？」と疑問に感じていませんか。
ネットワーク監視のためにWiresharkを導入しようとしても、監視用パソコンをミラーポートのあるスイッチの近くに設置できず、別のスイッチ経由で接続したい場面は少なくありません。
この記事では、Wiresharkホストへミラーポートデータを別スイッチ経由で送信できる条件や、監視を成功させるために確認すべきポイント、設定時の注意点まで順を追って説明していきます。
ミラーポートデータは別スイッチ経由でWiresharkホストへ送信できるのか？
ミラーポートで複製した通信を、別のスイッチを経由してWiresharkを実行するホストまで送信できるのか気になる方も多いでしょう。
ここでは、送信が可能かどうかの結論と、実現するために必要な条件を順番に説明します。
送信は可能
結論として、ミラーポートで複製した通信は、別のスイッチを経由してWiresharkを実行しているホストへ送信できます。
送信元スイッチから監視用ポートへ出力した通信は、通常のイーサネットフレームとして別スイッチへ転送され、その先に接続したWiresharkホストで取得できます。
ただし、途中のスイッチで通信を正常に転送できるよう、適切に構成されていることが前提です。
送信できる条件
別スイッチ経由でミラー通信を送信するには、送信元スイッチとWiresharkホストの間に通信経路が確保されている必要があります。
また、途中のスイッチが監視用ポートへの通信を正常に転送できる構成になっていることも重要です。
あわせて、Wiresharkホストをミラー通信が流れるポートへ接続し、正しいネットワークインターフェースを選択してパケットを受信できる状態にしておきましょう。
ミラーポートデータを送信する構成例
ミラーポートを利用した通信監視は、Wiresharkホストをどこに接続するかによって構成が異なります。
ここでは、それぞれの構成方法と特徴を順番に見ていきましょう。
同一スイッチ内で監視する構成
同一スイッチ内で監視する場合は、通信を監視したいポートをミラー元に設定し、Wiresharkホストを接続したポートをミラー先に設定します。
対象ポートを通過した通信がミラー先ポートへ複製されるため、Wiresharkホストは同じスイッチ内でパケットを取得できます。
別のスイッチを経由しないため、構成がシンプルで設定内容も確認しやすい方法です。
別スイッチ経由で監視する構成
別スイッチ経由で監視する場合は、送信元スイッチのミラー先ポートを別スイッチへ接続し、その先にWiresharkホストを接続します。
ミラー先ポートから出力された通信は、途中のスイッチを経由してWiresharkホストまで転送されるため、監視対象の近くに解析用PCを設置する必要はありません。
通信経路が正しく構成されていれば、別スイッチを経由しても問題なくパケットを取得できます。
別スイッチ経由で送信できないケース
ミラーポートデータは条件を満たせば別スイッチ経由で送信できますが、設定やネットワーク構成によっては正常に届かないことがあります。
ここでは、送信できない代表的なケースを順番に解説します。
VLAN設定に問題がある場合
途中のスイッチで監視用通信が通過できないVLAN設定になっていると、Wiresharkホストまでミラーポートデータは届きません。
送信元スイッチとWiresharkホストの間で、VLAN設定やトランク設定が一致していないと通信が途中で転送されなくなるため、設定内容を確認しましょう。
ミラーポート設定に問題がある場合
ミラー元やミラー先ポートの設定に誤りがあると、Wiresharkホストへミラーポートデータは送信されません。
例えば、監視対象ではないポートをミラー元に指定したり、ミラー先を誤って設定したりすると、通信を正しく取得できなくなります。
ミラー元・ミラー先に加え、受信方向や送信方向の設定も監視したい通信に合っているか確認しましょう。
途中のスイッチで通信が通らない場合
送信元スイッチとWiresharkホストの間で通信が正常に転送されない場合も、ミラーポートデータは届きません。
接続ポートのリンクダウンやポートの無効化などが原因で、通信経路が途中で途切れていることがあります。
送信元スイッチからWiresharkホストまでの接続状態を順番に確認し、監視用通信が正常に通る構成になっているか確認しましょう。
ミラーポートデータ送信時の注意点
ミラーポートデータを別スイッチ経由で送信できても、監視環境を安定して運用するためには事前に確認しておきたいポイントがあります。
ここでは、ミラーポートデータを送信する際に押さえておきたい注意点を解説します。
大量トラフィックによるパケット欠落
監視対象の通信量がミラー先ポートやWiresharkホストで処理できる量を超えると、一部のパケットが欠落することがあります。
特に複数のポートやVLANを同時にミラーすると、複製される通信量が増え、取得漏れが発生しやすくなります。
必要な通信だけをミラー対象に設定し、受信側で処理できる範囲に収めることが大切です。
監視用ポートの運用上の注意
監視用ポートは、Wiresharkホストなどのパケット取得専用として運用しましょう。
通常の端末やサーバーと兼用すると、ミラー通信が流れ込むことで正常な通信に影響する可能性があります。
また、監視が終わったら不要なミラーポート設定を削除し、監視用ポートを通常運用へ戻すか未使用の状態で管理することをおすすめします。
まとめ
Wiresharkホストは、通信経路やVLAN、ミラーポートの設定が適切であれば、別スイッチを経由してもミラーポートデータを受信し、通信を監視できます。
ただし、途中のスイッチ設定や接続状態に問題があると、必要なパケットを取得できないことがあるため、構成全体を確認しながら設定を進めることが大切です。
また、通信量が多い環境ではパケットが欠落する場合もあるため、監視対象を必要な範囲に絞り、監視用ポートは専用ポートとして運用すると安心です。
基本的な構成と注意点を理解しておけば、別スイッチ経由でもWiresharkを使った通信監視をスムーズに行えるでしょう。