CiscoのミラーポートとWiresharkで通信障害を切り分ける方法

CiscoのSPAN（mirror ポート）は、送信元インターフェース/VLANのトラフィックを宛先ポートへ複製し、Wiresharkでパケットを観測する機能です。キャプチャで原因を追うには、観測点、方向、フィルター、時刻同期を決め、SPAN自体のdropや宛先ポートの帯域も考慮します。

この記事はネットワークエンジニアの仕事内容の各論です。工程の全体像から確認したい場合はそちらへ。

けんと＠設計構築チャンネル

CiscoのミラーポートとWiresharkで通信障害をは操作だけ覚えるより、対象、取得時刻、保存先、ファイル名の規則まで決めて使う方が実務的です。誰の証跡か後から分からなくなる状態を防げます。

ミラーポートとWiresharkで何が分かる？

先に答えると、CiscoのSPAN（mirror ポート）は、送信元インターフェース/VLANのトラフィックを宛先ポートへ複製し、Wiresharkでパケットを観測する機能です。キャプチャで原因を追うには、観測点、方向、フィルター、時刻同期を決め、SPAN自体のdropや宛先ポートの帯域も考慮します。

Cisco SPANをどう設定する？

それぞれの役割と、実務で見るところを次の表に整理します。

Client -- Gi1/0/10 [SW] Gi1/0/48 -- Server
                    | SPAN both
                    +--> Gi1/0/24 --> Wireshark PC

キャプチャフィルターと表示フィルターをどう使う？

実施順は「通信フローと観測したい区間を図にする」から「時刻・フィルター・再現操作と一緒に保存」です。

monitor session 1 source interface Gi1/0/10 both
monitor session 1 destination interface Gi1/0/24
show monitor session 1

# display filter例
ip.addr == 192.0.2.10 && tcp.port == 443

Session 1
---------
Type                   : Local Session
Source Ports           : Both : Gi1/0/10
Destination Ports      : Gi1/0/24

パケットが見えないとき何を確認する？

症状ごとの原因候補と、次に確認することを次の表にまとめます。正常時の出力と並べて差を見ます。

取得データをどう安全に扱う？

pcapには認証情報や個人情報が含まれる可能性があります。取得範囲、保存先、保持期間、閲覧者を作業前に決め、不要なpayload取得を避けます。検証後はmonitor セッションを削除し、通常トラフィックへの影響を確認します。

• 対象機器・インターフェース・VRF/VLAN
• 取得日時・タイムゾーン・ソフトウェアバージョン
• 変更前後の同一コマンド出力
• 期待値・実測値・判定者
• 異常時の停止条件と切り戻し結果

この内容は、設計構築チャンネルの動画でも解説しています。

関連する記事

• Ciscoでリンクアップを確認する方法｜downの原因と切り分け
• show interfacesの見方｜Ciscoの状態・CRC・エラーを確認

まとめ：観測点・方向・帯域・データ管理を決めてキャプチャする

要点は、観測点・方向・帯域・データ管理を決めてキャプチャすることです。キャプチャの開始・終了時刻と対象ポートを、ファイル名か手順書に残します。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳・IT未経験からSIerへ転職。ネットワークエンジニアとして、金融系・オフィス系ネットワークの設計・構築に携わり、PL・PMも経験。自身の未経験転職と現場経験をもとに、仕事内容・技術・キャリア・求人選びをわかりやすく解説しています。

YouTube登録者5,000人 Xフォロワー5,000人

執筆者プロフィール・編集方針