概要

ISP業者が設置した自宅のインターネット接続のWAN側機器の調子が悪かった。
ISP業者がなかなか対応してくれないので、自分でWAN側のパケットや状況を調査して連絡したら、やっと直してくれた。

パケットを調査すると言っても、Raspberry Pi3 (以後RasPi3と略す)と昔使っていたノンインテリジェンスのL2スイッチを組み合わせた簡易システムだったので、ブロードキャストパケットしか見られなかった。

調査結果を伝えたらISP側が動いて修理は完了した。

しかし、今回のトラブルをきっかけにWAN側のパケットキャプチャに興味が沸き、かつブロードキャストだけじゃ物足りなくなったので、ミラーポートの付いたL2アンマネージプラススイッチ(NETGEAR GS105E-200JPS)を買って、全パケットをモニタ出来るようにしてみた。

覚書的に設定の概要とtcpdumpのコマンドラインなどをここに控えておく。

接続

通常

(宅内LAN)--[ルータ]--[WAN側機器(VDSLモデム)]--(インターネット)

という構成でつなぐところ、

(宅内LAN)--[ルータ]--[ネットワークスイッチ]--[WAN側機器(VDSLモデム)]--(インターネット)
　 ↑-(WiFi)--[RasPi3]--(Ether)--↑

のようにつなぐ。

この時、RasPi3とネットワークスイッチは固定IPアドレスとし、DHCPを殺しておく。
これは、ISP側からDHCPアドレスは1つしか割り当てられないので、この２つの機器でDHCPが有効になっているとルータにアドレスが割り振られなくなってしまうからである。

ネットワークスイッチは、あらかじめWeb経由のGUIで固定IPアドレスやDHCPアドレスを無効化するなどしておく,く、また、ミラーポートの設定を行い、RasPi3に接続するポートからモデム-WAN側機器の間の通信が見えるように設定しておく。

RasPi3(Raspbian stretch)ではファイル/etc/dhcpcd.confに以下の行を追加。
念のため一度再起動。

ipv4only
interface eth0
static ip_address=192.168.0.254/24

以下、XX.XX.XX.XXはルータが取得したWAN側のアドレスとする。

sudo tcpdump -i eth0

sudo tcpdump -i eth0 broadcast

WAN側のルータから、盛んにARPパケットが飛んできている様子が見えた。

sudo tcpdump -i eth0 host　XX.XX.XX.XX

sudo tcpdump -i eth0 src host XX.XX.XX.XX and '(tcp[tcpflags] & tcp-syn)' != 0

sudo tcpdump -i eth0 dst host XX.XX.XX.XX and '(tcp[tcpflags] & tcp-syn)' != 0

ポートスキャンされているのが分かる。

やっぱりL3スイッチにして、いろいろフィルタリングするようにしたらよかったかな....