はじめに

ちょっと、パケットキャプチャしたいじゃないですか。PythonとかYANGモデルとかに疲れてきたときに、Wireshark開いてホッとするクラスターです。最近の Cisco Catalystスイッチでは、8つまでパケットキャプチャの設定ができ（キャプチャポイント）、同時に走らせるのは一つまでという仕様になっているそうです（最近ってどの辺？という質問は各自調べてくださいませ）。

そんなに日常的にやるわけではないし、もっとがっつりやる場合はスイッチではやらなかったりして、すぐ設定と手順を忘れてしまうので、自分用にメモしておきます。というか、LANスイッチでキャプチャ？ハァ？という方にはお役に立てるかもしれませんので、参考にされてくださいませ。

設定の確認と流れ

設定

edge1#sho ver | i bin
System image file is "flash:cat9k_iosxe.16.12.02.SPA.bin"

キャプチャポイントとその状態を確認するコマンドです。

edge1#show monitor capture ?
  WORD  Name of the Capture Point
  file  Display captured file
  |     Output modifiers
  <cr>  <cr>

自分のキャプチャポイントに名前を付けて（mycap）、そのあとに色々と設定を決めたり、開始や停止もここから行います。

edge1#monitor capture mycap ?
  access-list    access-list to be attached 
  buffer         Buffer options
  class-map      class name to attached 
  clear          Clear Buffer
  control-plane  Control Plane 
  export         Export Buffer
  file           Associated file attributes
  interface      Interface
  limit          Limit Packets Captured
  match          Describe filters inline
  start          Enable Capture
  stop           Disable Capture 
  stop_export    Disable Capture and Export Buffer
  vlan           Vlan

ざっくりですが、Gi1/0/24のインターフェースのIn/Outを通過するUDPパケットをキャプチャすることにした設定です。ファイルをフラッシュに置くこととし、名前を付けます。

monitor capture mycap interface GigabitEthernet1/0/24 BOTH
monitor capture mycap match ipv4  protocol udp any any
monitor capture mycap file location flash:mycap.pcap size 100

バッファタイプは、リニア型とサーキュラー型の二種類があり、デフォルトはリニア型です。容量の上限に達すると停止するのがリニア型で、新しいもので上書きして動き続けるのがサーキュラー型です。コマンドオプションで変更できます。（この例では変更してません）

edge1#show monitor capture mycap 

Status Information for Capture mycap
  Target Type: 
 Interface: GigabitEthernet1/0/24, Direction: BOTH
   Status : Inactive
  Filter Details: 
   IPv4 
    Source IP:  any
    Destination IP:  any
   Protocol: udp
  Buffer Details: 
   Buffer Type: LINEAR (default) <--- リニアバッファになっています。
  File Details: 
   Associated file name: flash:mycap.pcap
   Total size of files(in MB): 100
  Limit Details: 
   Number of Packets to capture: 0 (no limit)
   Packet Capture duration: 0 (no limit)
   Packet Size to capture: 0 (no limit)
   Packet sampling rate: 0 (no sampling)

それでは、フラッシュにキャプチャファイルが存在していないことを確認し、キャプチャ開始します。

edge1#sh flash: | i mycap.pcap
edge1#
edge1#monitor capture mycap start <--- キャプチャ開始！
Started capture point : mycap
edge1#

キャプチャを停止し、そのままファイルに出力します（stopだけの指定だと、バッファ上にキャプチャデータが保存され、ファイル書き出しは行われません）。先ほどは存在していなかった mycap.pcapファイルが確認できました。

edge1#monitor capture mycap stop_export
Capture statistics collected at software:
	Capture duration - 49 seconds
	Packets received - 87
	Packets dropped - 0
	Packets oversized - 0

Bytes dropped in asic - 0

edge1#
edge1#sh flash: | i mycap.pcap         
117      17076 May 27 2020 04:47:42.0000000000 +00:00 mycap.pcap

確認

IOS XEのターミナル上から、pcapファイルの中身をデコードできます。

edge1#show monitor capture file flash:mycap.pcap ?
  brief           brief display
  detailed        detailed disaply
  display-filter  Display filter
  dump            for dump
  packet-count    Display packet count
  packet-number   Display specified packet
  statistics      Display cap file statistics
  |               Output modifiers
  <cr>            <cr>

edge1#show monitor capture file flash:mycap.pcap 
Starting the packet display ........ Press Ctrl + Shift + 6 to exit

  1   0.000000 192.168.1.102 -> 10.172.2.101 Syslog 130 LOCAL7.INFO: 8761: *May 27 2020 04:46:54.031 UTC: %BUFCAP-6-ENABLE: Capture Point mycap enabled.
  2   1.074669 10.172.2.101 -> 192.168.200.5 SNMP 85 get-request 1.3.6.1.2.1.1.3.0
  3   1.075414 192.168.200.5 -> 10.172.2.101 SNMP 89 get-response 1.3.6.1.2.1.1.3.0
  4   4.281646 bc:16:65:13:a4:20 -> bc:16:65:13:a4:20 WLCCP 628 U, func=UI; SNAP, OUI 0x004096 (Cisco Wireless (Aironet) L2), PID 0x0000
  5   4.941556 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 209 Probe Request, SN=0, FN=0, Flags=........
  6   5.099391 10.172.3.220 -> 172.16.14.2  ICMP 444 Destination unreachable (Host administratively prohibited)
  7   5.100384 10.172.3.220 -> 172.16.14.2  DHCP 392 DHCP ACK      - Transaction ID 0x226f
  8   5.281619 bc:16:65:13:a4:20 -> bc:16:65:13:a4:20 WLCCP 292 U, func=UI; SNAP, OUI 0x004096 (Cisco Wireless (Aironet) L2), PID 0x0000
  9   7.937510 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 122 Probe Request, SN=0, FN=0, Flags=........
 10   9.937449 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 122 Probe Request, SN=0, FN=0, Flags=........
 11  10.409798 bc:16:65:13:a4:20 -> bc:16:65:13:a4:20 WLCCP 132 U, func=UI; SNAP, OUI 0x000000 (Encapsulated Ethernet), PID 0x872D
 12  12.437442 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 122 Probe Request, SN=0, FN=0, Flags=........
 13  13.437427 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 122 Probe Request, SN=0, FN=0, Flags=........
 14  14.437384 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 151 Probe Request, SN=0, FN=0, Flags=........
 15  14.525682  172.16.14.2 -> 10.172.4.5   DTLSv1.0 139 Application Data
 16  14.526790   10.172.4.5 -> 172.16.14.2  DTLSv1.0 173 Application Data
 17  14.527259  172.16.14.2 -> 10.172.4.5   DTLSv1.0 139 Application Data
 18  14.527920   10.172.4.5 -> 172.16.14.2  DTLSv1.0 173 Application Data
 19  14.937373 00:00:00:00:00:00 -> bc:16:65:13:a4:20 802.11 122 Probe Request, SN=0, FN=0, Flags=........
 20  17.263991 192.168.200.3 -> 192.168.200.5 LISP 96 Map-Reply for [8189] (null)/48
 21  17.395194 192.168.200.6 -> 192.168.200.5 LISP 96 Map-Reply (RLOC-probe reply) for [8189] (null)/48
 22  18.137466  172.16.11.2 -> 172.16.11.100 TCP 116 49929 b^F^R 80 [SYN] Seq=0 Win=65535 Len=0 MSS=1460 WS=256 SACK_PERM=1
 23  18.397367 192.168.200.6 -> 192.168.200.5 LISP 84 Map-Request (RLOC-probe) for [8189] (null)/48
 24  19.339138 172.16.11.100 -> 172.16.11.2  TCP 116 80 b^F^R 49929 [SYN, ACK] Seq=0 Ack=1 Win=29200 Len=0 MSS=1460 SACK_PERM=1 WS=128
 25  19.339396  172.16.11.2 -> 172.16.11.100 TCP 110 49929 b^F^R 80 [ACK] Seq=1 Ack=1 Win=262144 Len=0
 26  19.340620  172.16.11.2 -> 172.16.11.100 HTTP 442 GET / HTTP/1.1 
 27  19.340773 172.16.11.100 -> 172.16.11.2  TCP 110 80 b^F^R 49929 [ACK] Seq=1 Ack=339 Win=30336 Len=0
<snip>

フィルタの仕方にも色々ですが、IOSコマンドなので...

edge1#show monitor capture file flash:mycap.pcap | i HTTP                 
 26  19.340620  172.16.11.2 -> 172.16.11.100 HTTP 442 GET / HTTP/1.1 
 28  19.341673 172.16.11.100 -> 172.16.11.2  HTTP 723 HTTP/1.1 200 OK  (text/html)

フィルターしたかったのは、クライアントからサーバへのHTTP GETでした（という想定）。この中身を詳しく表示してみます。いい感じですね！ホッとしますね。

edge1#show monitor capture file flash:mycap.pcap packet-number 26 detailed 
Starting the packet display ........ Press Ctrl + Shift + 6 to exit

Frame 26: 442 bytes on wire (3536 bits), 442 bytes captured (3536 bits) on interface 0
    Interface id: 0 (/tmp/epc_ws/wif_to_ts_pipe)
    Encapsulation type: Ethernet (1)
    Arrival Time: May 27, 2020 04:47:14.373329000 UTC
    [Time shift for this packet: 0.000000000 seconds]
    Epoch Time: 1590554834.373329000 seconds
    [Time delta from previous captured frame: 0.001224000 seconds]
    [Time delta from previous displayed frame: 0.000000000 seconds]
    [Time since reference or first frame: 19.340620000 seconds]
    Frame Number: 26
    Frame Length: 442 bytes (3536 bits)
    Capture Length: 442 bytes (3536 bits)
    [Frame is marked: False]
    [Frame is ignored: False]
    [Protocols in frame: eth:ethertype:ip:udp:vxlan:eth:ethertype:ip:tcp:http]
Ethernet II, Src: 00:00:00:00:00:00 (00:00:00:00:00:00), Dst: 00:00:00:00:00:00 (00:00:00:00:00:00)
    Destination: 00:00:00:00:00:00 (00:00:00:00:00:00)
        Address: 00:00:00:00:00:00 (00:00:00:00:00:00)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Source: 00:00:00:00:00:00 (00:00:00:00:00:00)
        Address: 00:00:00:00:00:00 (00:00:00:00:00:00)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: 192.168.200.5, Dst: 192.168.200.6
    0100 .... = Version: 4
    .... 0101 = Header Length: 20 bytes (5)
    Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
        0000 00.. = Differentiated Services Codepoint: Default (0)
        .... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)
    Total Length: 428
    Identification: 0x2421 (9249)
    Flags: 0x02 (Don't Fragment)
        0... .... = Reserved bit: Not set
        .1.. .... = Don't fragment: Set
        ..0. .... = More fragments: Not set
    Fragment offset: 0
    Time to live: 255
    Protocol: UDP (17)
    Header checksum: 0x44c2 [validation disabled]
        [Good: False]
        [Bad: False]
    Source: 192.168.200.5
    Destination: 192.168.200.6
User Datagram Protocol, Src Port: 65485 (65485), Dst Port: 4789 (4789)
    Source Port: 65485
    Destination Port: 4789
    Length: 408
    Checksum: 0x0000 (none)
        [Good Checksum: False]
        [Bad Checksum: False]
    [Stream index: 8]
Virtual eXtensible Local Area Network
    Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)
        1... .... .... .... = GBP Extension: Defined
        .... .... .0.. .... = Don't Learn: False
        .... 1... .... .... = VXLAN Network ID (VNI): True
        .... .... .... 0... = Policy Applied: False
        .000 .000 0.00 .000 = Reserved(R): False
    Group Policy ID: 20
    VXLAN Network Identifier (VNI): 8189
    Reserved: 0
Ethernet II, Src: 00:50:56:af:90:07 (00:50:56:af:90:07), Dst: 00:50:56:a9:88:29 (00:50:56:a9:88:29)
    Destination: 00:50:56:a9:88:29 (00:50:56:a9:88:29)
        Address: 00:50:56:a9:88:29 (00:50:56:a9:88:29)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Source: 00:50:56:af:90:07 (00:50:56:af:90:07)
        Address: 00:50:56:af:90:07 (00:50:56:af:90:07)
        .... ..0. .... .... .... .... = LG bit: Globally unique address (factory default)
        .... ...0 .... .... .... .... = IG bit: Individual address (unicast)
    Type: IPv4 (0x0800)
Internet Protocol Version 4, Src: 172.16.11.2, Dst: 172.16.11.100
    0100 .... = Version: 4
    .... 0101 = Header Length: 20 bytes (5)
    Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
        0000 00.. = Differentiated Services Codepoint: Default (0)
        .... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)
    Total Length: 378
    Identification: 0x5d60 (23904)
    Flags: 0x02 (Don't Fragment)
        0... .... = Reserved bit: Not set
        .1.. .... = Don't fragment: Set
        ..0. .... = More fragments: Not set
    Fragment offset: 0
    Time to live: 128
    Protocol: TCP (6)
    Header checksum: 0x2d97 [validation disabled]
        [Good: False]
        [Bad: False]
    Source: 172.16.11.2
    Destination: 172.16.11.100
Transmission Control Protocol, Src Port: 49929 (49929), Dst Port: 80 (80), Seq: 1, Ack: 1, Len: 338
    Source Port: 49929
    Destination Port: 80
    [Stream index: 0]
    [TCP Segment Len: 338]
    Sequence number: 1    (relative sequence number)
    [Next sequence number: 339    (relative sequence number)]
    Acknowledgment number: 1    (relative ack number)
    Header Length: 20 bytes
    Flags: 0x018 (PSH, ACK)
        000. .... .... = Reserved: Not set
        ...0 .... .... = Nonce: Not set
        .... 0... .... = Congestion Window Reduced (CWR): Not set
        .... .0.. .... = ECN-Echo: Not set
        .... ..0. .... = Urgent: Not set
        .... ...1 .... = Acknowledgment: Set
        .... .... 1... = Push: Set
        .... .... .0.. = Reset: Not set
        .... .... ..0. = Syn: Not set
        .... .... ...0 = Fin: Not set
        [TCP Flags: *******AP***]
    Window size value: 1024
    [Calculated window size: 262144]
    [Window size scaling factor: 256]
    Checksum: 0xa684 [validation disabled]
        [Good Checksum: False]
        [Bad Checksum: False]
    Urgent pointer: 0
    [SEQ/ACK analysis]
        [iRTT: 1.201930000 seconds]
        [Bytes in flight: 338]
Hypertext Transfer Protocol
    GET / HTTP/1.1\r\n
        [Expert Info (Chat/Sequence): GET / HTTP/1.1\r\n]
            [GET / HTTP/1.1\r\n]
            [Severity level: Chat]
            [Group: Sequence]
        Request Method: GET
        Request URI: /
        Request Version: HTTP/1.1
    Accept: text/html, application/xhtml+xml, image/jxr, */*\r\n
    Accept-Language: ja,en-US;q=0.7,en;q=0.3\r\n
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.36 Edge/16.16299\r\n
    Accept-Encoding: gzip, deflate\r\n
    Host: 172.16.11.100\r\n
    Connection: Keep-Alive\r\n
    \r\n
    [Full request URI: http://172.16.11.100/]
    [HTTP request 1/1]

さらにIOS的にパイプしてみます。クライアントPCから出て行くHTTP GETが、Catalyst9300から出て行くときのパケットに、VXLANでカプセル化されており、VNID（仮想ネットワークID；いわゆるマクロなセグメンテーション）、Group Policy ID（グループポリシーID;いわゆるマイクロなセグメンテーション）が割り当てられていることが目視できました。

edge1#show monitor capture file flash:mycap.pcap packet-number 26 detailed | i Group Policy|VXLAN 
    Flags: 0x8800, GBP Extension, VXLAN Network ID (VNI)
        .... 1... .... .... = VXLAN Network ID (VNI): True
    Group Policy ID: 20
    VXLAN Network Identifier (VNI): 8189

ダウンロード

さて、コマンドラインで確認した後は、ローカルに保存してWiresharkで開いてみたくなります。手順は色々ありますが、一例をメモしておきます。いろいろアプリケーションを自分のパソコンに入れたくないので、スイッチのflash上にあるPCAPファイルを、自分のTFTPクライアントからダウンロードできるように設定します。

edge1(config)#tftp-server flash:mycap.pcap ?
  <1-99>       IP access list of requesting hosts
  <1300-1999>  IP expanded access list of requesting hosts
  alias        file alias
  <cr>         <cr>

パケットついでに、TFTPもデバッグして目視しておきます。

edge1#terminal monitor
edge1#
edge1#debug tftp ?
  events   TFTP events
  packets  TFTP packets

edge1#debug tftp events
TFTP Event debugging is on
edge1#debug tftp packets
TFTP Packet debugging is on
edge1#
edge1#show debug
DHCP server packet debugging is on.
Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

TFTP:
  TFTP Event debugging is on
  TFTP Packet debugging is on
edge1#
edge1#

ここからは自分のMacのターミナルでの操作です。TFTPクライアントでホームディレクトリにパケットを取得し、Wiresharkで開くまでの操作です。

~ $pwd
/Users/kikuta
~ $
~ $ls | grep .pcap
~ $ 
~ $tftp
tftp> connect 10.71.154.103
tftp> mode binary
tftp> get mycap.pcap
Received 17076 bytes in 0.3 seconds
tftp>
~ $
~ $
~ $ls | grep .pcap
mycap.pcap
~ $
~ $wireshark mycap.pcap

見慣れた画面が出てきました。（Wiresharkはインストール済みの前提です）

Command+Gで、当該パケットにたどり着けますので、先ほど調べた26番さんでフィルターします。

「表示」メニューで「パケットの一覧を表示」のチェックを外すと、当該パケットだけになります。

IOSコマンドで確認したのと同じ内容にたどり着きました。お疲れ様でした。

投入したデバッグは、必ずオフにしておきましょう。

edge1#undebug all 
All possible debugging has been turned off
edge1#

スイッチの管理GUIからパケットキャプチャ

さて、ここまで書いておいてアレなんですが、最近のIOS XEの管理GUIにアクセスすると、一連の操作が全部GUIでできるようです。便利になりましたね〜。管理GUIが使えるかどうかは、インストール時の設定やセキュリティポリシーにも依存しますが、もし可能であれば直感的に使えるし役に立つ場合もあるかもしれません。

おわりに

CLI（コマンドラインインターフェース）、GUI（グラフィカルユーザーインターフェース）、API（アプリケーションプログラミングインターフェース）と、それぞれ特徴があって面白いですね。APIやプログラミングもいいですが、たまにはパケットをキャプチャして気分転換もいいですね。

リファレンス

Network Management Configuration Guide, Cisco IOS XE Gibraltar 16.12.x (Catalyst 9300 Switches)