boot2docker 上で動く mosquitto との通信を wireshark で覗く #mqtt

バージョン

Mac OS X: 10.10.2
WireShark(Qt): 1.12.3
VirtualBox: 4.3.20

目的

Mac (boot2docker) の docker コンテナ上で動く mosquitto (MQTT ブローカー) との通信を wireshark (tcpdump) したい。

意外と手間取ったので、メモとして残す。

そもそもパケットが見えない

ネットワークは

Mac(VirtualBox Host) ------- boot2docker(Virtualbox Guest)
                vboxnet0

のようになっている。vboxnet0 はホストオンリーアダプタ。
Mac で vboxnet0 を wireshark すると、例えば ping だと ECHO Reply だけ見える。

Mac -> boot2docker 方向は見えない
Mac <- boot2docker 方向は見える

アダプタータイプをいじってみても改善しなかった。

仮想ドライバをいじるのはつらいので、NAT しているインターフェースで port forward することにした。こうすると lo0 で両方向、ちゃんと見える。
port forward はいちいち設定を入れる必要があってめんどくさいから、なるべくホストオンリーアダプタでやりたかったけど、しかたない。

MQTT plugin を有効化する

wireshark 標準では MQTT パケットをデコードしてくれない。MQTT はバイナリプロトコルなので、そのままだとちょっとつらい。

https://raw.githubusercontent.com/menudoproblema/Wireshark-MQTT/master/mqtt.lua を wget とかする。そのままだと動かなかったので、次のように変更した。

--- mqtt.lua    2015-02-05 02:02:54.000000000 +0900
+++ /usr/local/lib/wireshark/plugins/1.12.3/mqtt.lua    2015-02-05 01:15:01.000000000 +0900
@@ -18,14 +18,13 @@

 do
    -- Create a new dissector
-   MQTTPROTO = Proto("MQTT", "MQ Telemetry Transport")
-   local bitw = require("bit")
+   MQTTPROTO = Proto("MQTT3", "MQ Telemetry Transport")
    local f = MQTTPROTO.fields
    -- Fix header: byte 1
    f.message_type = ProtoField.uint8("mqtt.message_type", "Message Type", base.HEX, nil, 0xF0)
    f.dup = ProtoField.uint8("mqtt.dup", "DUP Flag", base.DEC, nil, 0x08)
    f.qos = ProtoField.uint8("mqtt.qos", "QoS Level", base.DEC, nil, 0x06)
-   f.retain = ProtoField.uint8("mqtt.retain", "Retain", base.DEC, nil, 0x01)
+   f.retain = ProtoField.uint8("mqtt.retain1", "Retain", base.DEC, nil, 0x01)
    -- Fix header: byte 2
    f.remain_length = ProtoField.uint8("mqtt.remain_length", "Remain Length")

@@ -71,9 +70,9 @@
        repeat
             digit = buffer(offset, 1):uint()
             offset = offset + 1
-            value = value + bitw.band(digit,127) * multiplier
+            value = value + bit32.band(digit,127) * multiplier
             multiplier = multiplier * 128
-       until (bitw.band(digit,128) == 0)
+       until (bit32.band(digit,128) == 0)
        return offset, value
    end

これを ~/.wireshark/plugins/mqtt.lua にコピーする。

wireshark は Homebrew からインストールし、--with-lua を有効にしてある。

まとめ

wireshark を起動しなおして、lo0 をダンプしつつ tcp.port == 1883 でフィルタし、Mac で MQTT クライアントを動かすと、MQTT パケットが見える。

これで MQTT の解析が捗るね。