Mini Protocol Analyzer の機能概要
Mini Protocol Analyzer は SPAN セッションからネットワーク トラフィックをキャプチャし、キャプチャしたパケットをローカル メモリ バッファに保存します。提供されているフィルタリング オプションを使用することで、キャプチャするパケットを次のとおり制限できます。
• 選択した VLAN、ACL、または MAC アドレスからのパケット
• 特定の EtherType のパケット
• 特定のパケット サイズのパケット
即時コマンドを入力してキャプチャを開始、終了したり、キャプチャをスケジューリングして特定の日時にキャプチャを開始できます。
キャプチャしたデータは、コンソールに表示したり、ローカル ファイル システムに保存したり、または標準的なファイル転送プロトコルを使用して外部サーバへエクスポートできます。キャプチャしたファイルの形式は libpcap です。この形式は、多くのパケット分析プログラムおよび sniffer プログラムによってサポートされています。このファイル形式の詳細については、次の URL を参照してください。
http://www.tcpdump.org/
デフォルトでは、各パケットの最初の 68 バイトだけがキャプチャされます。
Mini Protocol Analyzer の設定
Mini Protocol Analyzer を使用してキャプチャ セッションを設定するには、次の作業を行います。
|
|
|
ステップ 1 |
Router# configure terminal |
グローバル コンフィギュレーション モードを開始します。 |
ステップ 2 |
Router(config)# [ no ] monitor session number type capture |
キャプチャ用としてプロセッサに割り当てられているパケットを使用して SPAN セッション番号を設定します。キャプチャ セッションのコンフィギュレーション モードを開始します。セッション番号の範囲は 1 ~ 80 です。 接頭辞に no を使用するとセッションが削除されます。 |
ステップ 3 |
Router(config-mon-capture)# buffer-size buf_size |
(任意)キャプチャ バッファのサイズを KB 単位で設定します。指定できる範囲は 32 ~ 65535 KB です。デフォルトは 2048 KB です。 |
ステップ 4 |
Router(config-mon-capture)# description session_description |
(任意)キャプチャ セッションの説明を入力します。説明には最大 240 文字まで入力できますが、特殊文字は入力できません。説明にスペースを含める場合、引用符("")で囲む必要があります。 |
ステップ 5 |
Router(config-mon-capture)# rate-limit pps |
(任意)1 秒当たりにキャプチャできるパケット数( pps )を制限します。指定できる範囲は 10 ~ 100000 パケットで、デフォルトは 1 秒あたり 10000 パケットです。 |
ステップ 6 |
Router(config-mon-capture)# source {{ interface { single_interface | interface_list | interface_range | mixed_interface_list } | port-channel channel_id }} | { vlan { vlan_ID | vlan_list | vlan_range | mixed_vlan_list }}[ rx | tx | both ] |
キャプチャ セッションと送信元ポートまたは VLAN を対応付けて、モニタするトラフィックの方向を選択します。デフォルトは双方向です。 |
ステップ 7 |
Router(config-mon-capture)# exit |
キャプチャ セッションのコンフィギュレーション モードを終了します。 |
キャプチャ セッションを設定する場合、次の情報に注意してください。
• 一度に設定できるキャプチャ セッションは 1 つだけです。同時キャプチャ セッションを複数設定することはできません。
• source interface コマンド引数は、単一のインターフェイス、2 つのインターフェイス番号(小さい番号が先、ダッシュで区切る)で指定するインターフェイスの範囲、またはインターフェイスと範囲をカンマで区切ったリストのいずれかです。
(注) 送信元インターフェイスのリストを設定する場合、カンマの前後にスペースを入れる必要があります。送信元インターフェイスの範囲を設定する場合、ダッシュの前後にスペースを入れる必要があります。
• source vlan コマンド引数は、1 ~ 4094 の範囲の単一の VLAN 番号(予約済み VLAN を除く)、2 つの VLAN 番号(小さい番号が先、ダッシュで区切る)で指定する VLAN 範囲、または VLAN と範囲のリストのいずれかです。
(注) 送信元の VLAN のリストを設定する場合、カンマの前後にスペースを入れないでください。送信元の VLAN の範囲を設定する場合、ダッシュの前後にスペースを入れないでください。この要件は、送信元インターフェイスのリストと範囲を指定する場合の要件とは異なることに注意してください。
• キャプチャ セッションの設定時は、データのキャプチャは開始されません。「キャプチャの開始および停止」に示すとおり、キャプチャは monitor capture start または monitor capture schedule コマンドによって開始されます。
• キャプチャ バッファは、デフォルトでは linear(直線)ですが、 monitor capture start または monitor capture schedule コマンドのランタイム オプションとして circular(循環)に設定できます。
• 使用可能なハードウェア レート制限レジスタがない場合、キャプチャ セッションはディセーブルになります。
• VLAN フィルタが設定されている場合、送信元 VLAN は変更できません。VLAN フィルタを削除してから、送信元 VLAN を変更してください。
キャプチャ対象となるパケットのフィルタリング
キャプチャ対象となるパケットのフィルタリング用にいくつかのオプションが提供されています。レート制限が適用される前に、ハードウェアでは ACL および VLAN によるフィルタリングが実行され、ソフトウェアではその他すべてのフィルタが実行されます。ソフトウェアのフィルタリングを実行すると、キャプチャ レートが下がる可能性があります。
Mini Protocol Analyzer のキャプチャ対象となるパケットをフィルタリングするには、この作業をキャプチャ セッションのコンフィギュレーション モードで行います。
|
|
|
ステップ 1 |
Router(config-mon-capture)# [ no ] filter access-group { acl_number | acl_name } |
(任意)指定した ACL からのパケットだけをキャプチャします。 |
ステップ 2 |
Router(config-mon-capture)# [ no ] filter vlan { vlan_ID | vlan_list | vlan_range | mixed_vlan_list } |
(任意)指定した送信元 VLAN(1 つまたは複数)からのパケットをキャプチャします。 |
ステップ 3 |
Router(config-mon-capture)# [ no ] filter ethertype type |
(任意)指定した EtherType のパケットだけをキャプチャします。 type は、10 進数、16 進数、または 8 進数で指定できます。 |
ステップ 4 |
Router(config-mon-capture)# [ no ] filter length min_len [ max_len ] |
(任意)サイズが min_len ~ max_len (両方の値を含む)の範囲のパケットだけをキャプチャします。 max_len が指定されていない場合は、サイズが min_len のパケットだけがキャプチャされます。 min_len の範囲は 0 ~ 9216 バイト、 max_len の範囲は 1 ~ 9216 バイトです。 |
ステップ 5 |
Router(config-mon-capture)# [ no ] filter mac-address mac_addr |
(任意)指定された MAC アドレスからのパケットだけをキャプチャします。 |
ステップ 6 |
Router(config-mon-capture)# end |
コンフィギュレーション モードを終了します。 |
キャプチャに関するフィルタリングを設定する場合は、次の点に注意してください。
• filter vlan 引数は、1 ~ 4094 の範囲の単一の VLAN 番号(予約済み VLAN を除く)、2 つの VLAN 番号(小さい番号が先、ダッシュで区切る)で指定する VLAN 範囲、または VLAN と範囲のリストのいずれかです。
(注) フィルタリング用 VLAN のリストを設定する場合、カンマの前後にスペースを入れる必要があります。フィルタリング用 VLAN の範囲を設定する場合、ダッシュの前後にスペースを入れる必要があります。この要件は、前述した送信元の VLAN リストと範囲を指定する場合の要件とは異なることに注意してください。
• EtherType を 10 進数値として入力するには、先頭にゼロの付かない値(1 ~ 65535)を入力します。16 進数値を入力するには、4 文字の 16 進数の前にプレフィックスの 0x を入力します。8 進数値を入力するには、先頭にゼロを付けた数値(0 ~ 7)を入力します。たとえば、802.1Q EtherType を入力する場合、10 進数値では 33024、16 進数値では 0x8100、8 進数値では 0100400 となります。
• MAC アドレスは、ドット付き 16 進表記の 3 つの 2 バイト値で入力します。例:0123.4567.89ab
• no キーワードを使用するとフィルタが削除されます。
(注) no キーワードを使用して VLAN フィルタを削除したあとは、コンフィギュレーション モードを終了して、キャプチャ コンフィギュレーション モードを再び開始し、source vlan コマンドを実行してからその他のキャプチャ設定を変更する必要があります。
• VLAN フィルタの設定時は、キャプチャの送信元または宛先は VLAN であることが必要です。ポート フィルタの設定時は、キャプチャの送信元または宛先はポートであることが必要です。
キャプチャの開始および停止
キャプチャを開始および停止するコマンドは、コンフィギュレーション設定として保存されていません。これらのコマンドは、コンソールから EXEC モードで実行されます。キャプチャをすぐに開始することも、キャプチャを開始する将来の日時を設定することもできます。次のいずれかの状況が発生すると、キャプチャが終了します。
• コンソールから、停止またはクリア コマンドが入力された。
• キャプチャ バッファがいっぱいになった(循環バッファとして設定されていない場合)。
• オプションで指定した秒数が経過した。
• オプションで指定したパケット数がキャプチャされた。
キャプチャが停止すると、SPAN セッションが終了し、キャプチャ セッションのパケットはプロセッサに転送されなくなります。
パケットのキャプチャを開始するときに、一部のコンフィギュレーション設定を上書きするかどうかを選択できます。
キャプチャを開始、停止、またはキャンセルするには、次の作業を行います。
|
|
|
ステップ 1 |
Router# monitor capture [ buffer size buf_size ][ length cap_len ][ linear | circular ][ filter acl_number | acl_name ] { start [ for count ( packets | seconds }] | schedule at time date } |
オプションのランタイム設定を変更してキャプチャを開始します。キャプチャはただちに開始することも、指定した日時に開始することもできます。 • buffer size オプションでは、設定済みまたはデフォルトのキャプチャ バッファ サイズを上書きします。 • length オプションでは、各パケットからキャプチャするバイト数を決定します。 cap_len の範囲は 0 ~ 9216 バイトで、デフォルトは 68 バイトです。値に 0 を指定すると、パケット全体がキャプチャされます。 • circular オプションは、キャプチャ バッファがいっぱいになった時点で、先に入力された項目から上書きするよう指定します。 linear オプションは、キャプチャ バッファがいっぱいになった時点でキャプチャを停止するよう指定します。デフォルトは linear です。 • filter オプションにより、指定された ACL が適用されます。 • for オプションでは、指定した時間(単位:秒)が経過するか、または指定した数のパケットがキャプチャされたあと、キャプチャを停止するよう指定します。 |
ステップ 2 |
Router# monitor capture stop |
キャプチャを停止します。 |
ステップ 3 |
Router# monitor capture clear [ filter ] |
ランタイム コンフィギュレーション設定、保留中のスケジュール設定されたキャプチャ、およびキャプチャ バッファをクリアします。 filter オプションを指定すると、ランタイム フィルタ設定だけがクリアされます。 |
上記のコマンドを使用する際は、次の点に注意してください。
• time および date の形式は、hh:mm:ss dd mmm yyyy です。時間は 24 時間表記で指定し、月は 3 文字の略語で指定します。たとえば、キャプチャの開始時刻を 2006 年 10 月 31 日の午後 7 時半に設定するには、19:30:00 31 oct 2006 と表記します。時間帯は、GMT で指定します。
• 開始コマンドでキャプチャ フィルタの ACL を使用する場合、設定済みの ACL が新しい ACL によって上書きされることはありません。新しい ACL はソフトウェアで実行されます。
キャプチャ バッファの表示およびエクスポート
キャプチャされたパケットまたはキャプチャ セッションに関する情報を表示したり、キャプチャされたパケットを分析用にエクスポートするには、次の作業を行います。
|
|
|
ステップ 1 |
Router# show monitor capture |
キャプチャ セッションの設定を表示します。 |
ステップ 2 |
Router# show monitor capture status |
キャプチャ セッションのステート、モード、パケットの統計情報を表示します。 |
ステップ 3 |
Router# show monitor capture buffer [ start [ end ]] [ detail ][ dump [ nowrap [ dump_length ]] [ acl acl_number | acl_name ]] |
キャプチャ バッファの内容を表示します。 • start および end パラメータでは、キャプチャ バッファ内のパケット番号インデックスを指定します。 start インデックスが指定され、 end インデックスが指定されていない場合、 start インデックスの 1 つのパケットだけが表示されます。 start および end インデックスがともに指定されている場合、これらのインデックス間にあるすべてのパケットが表示されます。指定できる範囲は 1 ~ 4294967295 です。 • detail オプションでは、各パケットについて、拡張およびフォーマットされたプロトコルとエンベロープ情報(パケットの到着時刻など)が追加されます。 • dump オプションは、パケットの内容を 16 進数で表示します。 nowrap が dump_length とともに指定されている場合、パケットの内容を示す dump_length 文字の 16 進数が各パケットについて 1 行で表示されます。 dump_length が指定されていない場合、72 文字の行が 1 行表示されます。 dump_length の範囲は 14 ~ 256 です。 • acl オプションにより、指定された ACL に一致するパケットだけが表示されます。 |
ステップ 4 |
Router# show monitor capture buffer [ start [ end ]] brief [ acl acl_number | acl_name ] |
パケットのヘッダー情報だけを表示します。 |
ステップ 5 |
Router# monitor capture export buffer url |
キャプチャ バッファの内容を指定されたファイル システムまたはファイル転送メカニズムにコピーします。 |
Mini Protocol Analyzer の設定、操作、表示例
ここでは、Mini Protocol Analyzer の設定、キャプチャ セッションの開始と停止、およびキャプチャ セッションの結果の表示の例をそれぞれ示します。
一般的な設定例
次に、Mini Protocol Analyzer の最小限の設定を行う例を示します。
Router# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)# monitor session 1 type capture
Router(config-mon-capture)# end
次に、バッファ サイズ、セッションの説明、レート制限を設定する例を示します。
Router# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)# monitor session 1 type capture
Router(config-mon-capture)# buffer-size 4096
Router(config-mon-capture)# description “Capture from ports, no filtering.”
Router(config-mon-capture)# rate-limit 20000
Router(config-mon-capture)# end
Router# show monitor capture
次に、送信元をポートの混合リストとして設定する例を示します。
Router(config-mon-capture)# source interface gig 3/1 - 3 , gig 3/5
次に、送信元を VLAN の混合リストとして設定する例を示します。
Router(config-mon-capture)# source vlan 123,234-245
フィルタリング設定例
次に、次の属性を持つパケットをキャプチャするよう設定する例を示します。
• パケットは 123 または 234 ~ 245 の VLAN に所属
• パケットは 802.1Q EtherType(16 進数値 0x8100、10 進数値 33024)
• パケット サイズは 8192 バイト
• 送信元 MAC アドレスは 01:23:45:67:89:ab
• パケットは ACL 番号 99 に準拠
Router# configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)# monitor session 1 type capture
Router(config-mon-capture)# source vlan 123,234-245
Router(config-mon-capture)# filter ethertype 0x8100
Router(config-mon-capture)# filter length 8192
Router(config-mon-capture)# filter mac-address 0123.4567.89ab
Router(config-mon-capture)# filter access-group 99
Router(config-mon-capture)# end
Router# show monitor capture
Router# show monitor session 1
Description : capture from ports
Capture buffer size : 4096 KB
Egress SPAN Replication State:
Operational mode : Centralized
Configured mode : Distributed (default)
次に、サイズが 128 バイト未満のパケットをキャプチャする例を示します。
Router(config-mon-capture)# filter length 0 128
次に、サイズが 256 バイトを超えるパケットをキャプチャする例を示します。
Router(config-mon-capture)# filter length 256 9216
操作例
次に、キャプチャを開始および停止する例を示します。
Router# monitor capture start
Router# monitor capture stop
次に、キャプチャを開始して 60 秒後に停止する例を示します。
Router# monitor capture start for 60 seconds
次に、キャプチャを今後のある日時に開始する例を示します。
Router# monitor capture schedule at 11:22:33 30 jun 2008
capture will start at : <11:22:33 UTC Mon Jun 30 2008> after 32465825 secs
次に、バッファ サイズを上書きして循環バッファに変更するオプションを指定して、キャプチャを開始する例を示します。
Router# monitor capture buffer size 65535 circular start
次に、キャプチャ バッファを外部サーバとローカル ディスクにエクスポートする例を示します。
Router# monitor capture export buffer tftp://server/user/capture_file.cap
Router# monitor capture export buffer disk1:capture_file.cap
表示例
次に、設定情報、セッションのステータス、およびキャプチャ バッファの内容を表示する例を示します。
コンフィギュレーションの表示
キャプチャ セッションの設定を表示するには、 show monitor capture コマンドを入力します。
Router# show monitor capture
次に、 show monitor session n コマンドを使用して詳細を表示する例を示します。
Router# show monitor session 1
Capture buffer size : 32 KB
Egress SPAN Replication State:
Operational mode : Centralized
Configured mode : Distributed (default)
次に、 show monitor session n detail コマンドを使用して、全詳細を表示する例を示します。
Router# show monitor session 1 detail
Destination IP Address : None
Destination IP VRF : None
Destination ERSPAN ID : None
Capture buffer size : 32 KB
Egress SPAN Replication State:
Operational mode : Centralized
Configured mode : Distributed (default)
キャプチャ セッション ステータスの表示
キャプチャ セッション ステータスを表示するには、 show monitor capture status コマンドを入力します。
Router# show monitor capture status
キャプチャ バッファの内容の表示
キャプチャ セッションの内容を表示するには、 show monitor capture buffer コマンドを入力します。次に、このコマンドのいくつかのオプションを使用した場合の表示例を示します。
Router# show monitor capture buffer
1 IP: s=10.12.0.5 , d=224.0.0.10, len 60
2 346 0180.c200.000e 0012.44d8.5000 88CC 020707526F7
3 60 0180.c200.0000 0004.c099.06c5 0026 42420300000
4 60 ffff.ffff.ffff 0012.44d8.5000 0806 00010800060
5 IP: s=7.0.84.23 , d=224.0.0.5, len 116
6 IP: s=10.12.0.1 , d=224.0.0.10, len 60
Router# show monitor capture buffer detail
1 Arrival time : 09:44:30 UTC Fri Nov 17 2006
Packet Length : 74 , Capture Length : 68
Ethernet II : 0100.5e00.000a 0008.a4c8.c038 0800
IP: s=10.12.0.5 , d=224.0.0.10, len 60, proto=88
2 Arrival time : 09:44:31 UTC Fri Nov 17 2006
Packet Length : 346 , Capture Length : 68
346 0180.c200.000e 0012.44d8.5000 88CC 020707526F757463031
Router# show monitor capture buffer dump
1 IP: s=10.12.0.5 , d=224.0.0.10, len 60
08063810: 0100 5E00000A ..^...
08063820: 0008A4C8 C0380800 45C0003C 00000000 ..$H@8..E@.<....
08063830: 0258CD8F 0A0C0005 E000000A 0205EE6A .XM.....`.....nj
08063840: 00000000 00000000 00000000 00000064 ...............d
08063850: 0001000C 01000100 0000000F 0004 ..............
2 346 0180.c200.000e 0012.44d8.5000 88CC 020707526F757465720415
3 60 0180.c200.0000 0004.c099.06c5 0026 4242030000000000800000
4 60 ffff.ffff.ffff 0012.44d8.5000 0806 0001080006040001001244
5 IP: s=7.0.84.23 , d=224.0.0.5, len 116
0806FCB0: 0100 5E000005 ..^...
0806FCC0: 0015C7D7 AC000800 45C00074 00000000 ..GW,...E@.t....
0806FCD0: 01597D55 07005417 E0000005 0201002C .Y}U..T.`......,
0806FCE0: 04040404 00000000 00000002 00000010 ................
0806FCF0: 455D8A10 FFFF0000 000A1201 0000 E]............
Router# show monitor capture buffer dump nowrap
1 74 0100.5e00.000a 0008.a4c8.c038 0800 45C0003C000000
2 346 0180.c200.000e 0012.44d8.5000 88CC 020707526F7574
3 60 0180.c200.0000 0004.c099.06c5 0026 42420300000000
4 60 ffff.ffff.ffff 0012.44d8.5000 0806 00010800060400