ドットコムマスター★★ Chapter4

※公式テキストの内容をまとめています！！ 4.1.1 ネットワーク監視の必要性 ネットワークを構築して、きちんと動作するようになりました。これで「めでたし、めでたし」と思ってほったらかしにしていいのか・・・そんなことはありません。 ネットワークを運用していると、いろんなトラブルが発生する可能性があります。また、最初は十分な帯域幅があって快適にネットワークを利用することができていたとしても、どんどんクライアントPCが増えてきたり、アプリケーションがたくさん帯域幅を必要とするものに変更になったりすると、ネットワークの帯域幅を圧迫して、ネットワークが遅くなってしまうかもしれません。そして、最近ではネットワークに対する脅威として不正アクセスなども考えられます。 ネットワークを構築したら、「はい、それで終わり」じゃなくてその後も継続的にネットワークの状況を監視しておかないと、上記のようなトラブルや問題が発生したときに適切に対応することができなくなってしまいます。 トラブルを未然に防ぐため、トラブルが発生したときに素早く切り分けを行い適切な対応を行うため、将来的なネットワーク拡張の基準とするためにネットワーク監視は非常に重要です。 ネットワークを監視する方法として、 ・ ネットワーク管理プロトコル(SNMP(Simple Network Management Porotocl)) ・ MRTG(Multi Router Traffic Grapher)によるトラフィック量の把握 ・ パケットキャプチャ などがあります。 不正アクセスの検出については、「4.1.2 不正アクセスの検知」にあるようにまだあといくつかの方法があります。 ・ネットワーク管理プロトコル(SNMP) SNMPを利用すると、ルータやスイッチといったネットワーク機器の監視・制御を行うことができるようになります。SNMPはRFCで標準化されていて、ほとんどのベンダのネットワーク機器で利用できるようになっているほど普及しています。 SNMPについては、過去のメールマガジン、ホームページの解説を参考にしてください。 SNMP SNMP(Simple Network Management Protocol) SNMP(Simple Network Managemnt Protocol)復習問題 ・MRTG(Multi Router Traffic Grapher)によるトラフィック量の把握 MRTGは、SNMPをベースにしています。SNMPを利用してネットワークの負荷、つまり実際のトラフィック量を知るためのツールがMRTGです。 MRTGはネットワークの利用率を、日/週/年ごとにGIFやPNG形式のイメージにグラフ化してWebページを生成します。グラフ化されるので、「ぱっと」目で見てわかるのがとても便利ですね。また、MRTGはUNIX/LINUX、Windowsといったほとんどプラットフォームで動作して無償で入手することができます。 MRTGはSNMPをベースにしているため、基本的にはMIBで取得できるデータが主な項目となりますが、その他にもディスクの空き容量やCPU/メモリの使用率といった情報も監視することができます。 MRTGの入手、インストールおよび使い方は以下のリンクを参照してください。 MRTGによるネットワーク監視 MRTG:Multi Router Traffic Grapher ・パケットキャプチャ パケットキャプチャとは、その名前の通りネットワーク上を流れるデータ(パケット)をキャプチャ(捕まえる)して、その内容を解析することです。パケットキャプチャを行うことによって、どのコンピュータ間で通信が多く行われているのか、どのプロトコルが多く流れているのか、ブロードキャストトラフィックの割合はどれぐらいかといった、ネットワークのさらに詳細な姿を見ることができるようになります。 パケットキャプチャは、基本的にLANのトラフィックをキャプチャします。WANのトラフィックもキャプチャできないことはないですが、ちょっと難しいです。 LANといえば、イーサネットですね。イーサネットの基本的な通信を思い出してください。 CSMA/CD イーサネットでは、同じコリジョンドメイン上のすべてのコンピュータにデータ(フレーム)が届きますが、あて先MACアドレスを見て自分あてであれば、そのデータを上位のプロトコルで処理をしていくわけですね。パケットキャプチャは、自分あてでないデータも受信することによって行われています。 ただし、コリジョンドメインが異なるパケットはキャプチャできません。ということは、スイッチでは他のポートに接続されているコンピュータの通信をキャプチャすることができなくなってしまいます。それでは、パケットをキャプチャしてネットワークを監視するという目的を果たすことができなくなるので、スイッチで特殊な設定(モニターポート、SPANポートなど)をして、特定のポートはすべてのポートのデータが流れるようにします。そのポートにパケットキャプチャを行うコンピュータを接続することになります。 パケットキャプチャを行うためのソフトはたくさんありますが、UNIX系のシステムで最も一般的なソフトは「tcpdump」があります。Windowsでは、これを移植した「Windump」というものがあります。 商用ソフトとして、もっとも有名で多機能なものがHPの「Open View」ですね。

4.4.1 問診ツール ネットワークのトラブル発生時の切り分けによく使われるツールとして、「PING」があります。 PINGによって、目的のホスト(PC、ルータ)との接続性があるかどうかを確認することができます。これによって経路上のどこでトラブルが発生しているのかということを知ることができます。 PINGはICMPというプロトコルを利用して、目的のホストに「送った内容をそのまま送り返して」というメッセージを送信します。このメッセージの返事が返ってくればきちんと通信ができるんだということがわかるわけです。 PINGの詳しい動作については、こちらをご覧ください。 ICMP(Internet Control Message Protocol)その２ PINGによるトラブルシュートは次のように行いましょう。 まず、目的のホストまで通信ができなくなってしまったとします。こういったときの手順として、 1. 自分のコンピュータの配線を確認 トラブルシュートの原則は、『まず物理層から』です。案外、ケーブルが抜けていたりハブやスイッチの電源が抜けてしまっていたりすることがあるものです。 2. 同じハブやスイッチに接続されているほかのホストに対してPING これによって、自分のPCとハブやスイッチの間の経路が正しいかどうかがわかります。成功しない場合には、ハブやスイッチのポート障害やケーブルがおかしいことがあります。 ※ただし、スイッチは同じVLANにあるホストに対して確認します。 3. デフォルトゲートウェイに対してPING これにより、他のネットワークにきちんと通信ができるかどうかを確認することができます。もし、失敗した場合にはデフォルトゲートウェアイのルータのポートが正常なのか、自分のPCのTCP/IPの設定が正しいかどうかを確認する必要があります。 4. ルータが複数ある場合には、同様に近いところから順次接続を確認 何台ものルータが存在するときには、あとのTracerouteを利用することも必要です。 5. 最後に目的のホストの周りを確認 以上の手順で、順番に確認して最終的に目的のホストの配線やTCP/IPの設定を確認していきましょう。 また、PINGはIPアドレスだけでなくホスト名で行うこともあります。IPアドレスでのPINGは成功するのに、ホスト名では失敗する場合にはDNSの名前解決がうまくいっていないケースが考えられますので、DNSの設定を確認しましょう。 セキュリティ上の理由からルータやサーバでは、ICMPを受け付けないように設定されている場合がありますが、その場合は、PINGによる接続性の確認を行うことができません。 『Traceroute』 TracerouteもPINGと同様にICMPを利用する問診ツールです。Tracerouteによって、目的のホストまでの通信経路を確認することができます。Tracerouteは、IPヘッダのTTLというフィールドをうまく利用することによって、目的までの通信経路がわかるようになります。 すでにメルマガ、ホームページで解説しているので詳しいことはこちらをご覧ください。 ICMP(Internet Control Message Protocol)その６ TracerouteもICMPを利用しているため、場合によってはうまく動作しないことがあるということも心にとめておく必要があります。 『Telnet』 PINGやTracerouteで特に問題がないのに、あるサービスにだけアクセスできないという場合には、Telnetによって確認することができます。 通常のTelnetでは、目的のホストのポート番号23に対してアクセスしますが、23ではなくて、特定のポート番号に対してアクセスすることができるようになります。 たとえば、WebサーバできちんとHTTPが動作しているかどうかを確認するためには、 telnet [WebサーバのIPアドレス] 80 という具合に、目的のサーバのIPアドレスの後にポート番号を指定します。HTTPだけでなく、FTPやSMTPなどその他のサーバのサービスの確認も同様に行うことができます。 ただし、インターネット上のサーバに対してこのようなポート番号を指定したTelnetを行うことはポートスキャンをしていることと同じになってしまいます。不正アクセスと勘違いされないように注意する必要があります。 『nslookup』 DNSサーバは、ホスト名とIPアドレスの名前解決を行っていますが、この名前解決をテストするためのツールがnslookupです。 通常のホスト名からIPアドレスを解決する正引きだけでなく、IPアドレスからホスト名を解決する逆引きのテストも行うことができます。

メールマガジンの購読はこちら↓

『ネットワークのおべんきょしませんか？』 を購読しませんか？
	E-mail

(C) Copyright 2000-2002 Gene All Right Reserved