1. tcpdump から始まる
ネットワークエンジニアの朝
2013/04/19
#pakeana 14
@twovs

2. agenda
• 自己紹介
• tcpdump と Wireshark
• tcpdump で解決しました(どやっ• tcpdump で解決しました(どやっ
• Wireshark で解決しました(また今度)
• まとめ

3. about me
• @twovs
• ネコ2人＋奥さん1人＋可愛い娘
• 無線LAN装置の開発(1999～2004)• 無線LAN装置の開発(1999～2004)
• オンラインゲームのシステム管理者(2004～)
• ただし，ゲームには全く興味無し
• ZFS 最高 !!! beadm 便利 !!!

4. ネットワーク職人の朝は早い。
「まぁ好きではじめた仕事ですから」
最近は Wireshark ばかりだと
口をこぼした。

5. まず，朝の tcpdump から始まる。
「やっぱり一番うれしいのは
2ch の反応ね，
この仕事やっててよかったなと」

6. tcpdump / Wireshark
tcpdump Wireshark
軽い 重い
低機能 高機能
とりあえず見る じっくり見る
サーバで
キャプチャ
ローカルPCで
結果を見る
感じ取る 探し出す
気付く 確認する

7. Case#1
何もしてないのに壊れた
(ping 応答なし)

8. tcpdumptcpdump
Case#1
ping
Server#1
192.168.3.1
Server#2
192.168.3.2

9. Case#1
[1]# tcpdump -n -t -i eth0 not port 22
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46 (*1)
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 1, length 64
IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 1, length 64
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 2, length 64
IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 2, length 64
[2]# tcpdump -n -t -i eth0 not port 22
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 28 (*2)
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 1, length 64
IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 1, length 64
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 2, length 64
IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 2, length 64
• これは正常時のパケット

10. Case#1
[1]# tcpdump -n -t -i eth0 not port 22
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
• ARP Request に応答なし
• 繫がっていないんじゃね…?
• おい，ケーブル抜けてるぞ!!!

11. Case#2
何もしてないのに壊れた
(ping 応答なし)

12. tcpdumptcpdump
Case#2
ping
Server#1
192.168.3.1
Server#2
192.168.3.2

13. Case#2
[1]# tcpdump -n -t -i eth0 not port 22
ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46
ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 25348, seq 1, length 64
IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 25348, seq 2, length 64
• ARP Request に応答(Reply)あり
• 192.168.3.2 のサーバは動いてる
• ICMP がフィルタされてるんじゃね?

14. Case#3
何もしてないのに壊れた
(SSH できない)

15. tcpdumptcpdump
Case#3
ssh
(IPv6)
Server#1
fe80::1
Server#2
fe80::2
(IPv6)
[server]$ ssh -6 fe80::2%eth0

16. Case#3
[1]# tcpdump -n -t -i eth0
IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32
IP6 fe80::2 > fe80::1: ICMP6, neighbor advertisement, tgt is fe80::2, length 32
IP6 fe80::1.56414 > fe80::2.ssh: Flags [S], seq 3767421192, win 14400, options [mss
IP6 fe80::2.ssh > fe80::1.56414: Flags [S.], seq 3283559780, ack 3767421193, win 14280,
IP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 1, win 225, options [nop,nop,TS val
IP6 fe80::2.ssh > fe80::1.56414: Flags [P.], seq 1:22, ack 1, win 224, options
IP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 22, win 225, options [nop,nop,TS valIP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 22, win 225, options [nop,nop,TS val
IP6 fe80::1.56414 > fe80::2.ssh: Flags [P.], seq 1:22, ack 22, win 225, options
IP6 fe80::2.ssh > fe80::1.56414: Flags [.], ack 22, win 224, options [nop,nop,TS val
IP6 fe80::1.56414 > fe80::2.ssh: Flags [P.], seq 22:814, ack 22, win 225, options
IP6 fe80::2.ssh > fe80::1.56414: Flags [.], ack 814, win 248, options [nop,nop,TS val
IP6 fe80::2.ssh > fe80::1.56414: Flags [P.], seq 22:806, ack 814, win 248, options
• これは正常時のパケット

17. Case#3
[1]# tcpdump -n -t -i eth0
IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32
IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32
IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32
• neighbor solicitation に応答なし
• ICMPv6 フィルタしてるんじゃね?

18. Case#3
• ARP(Address Resolution Protocol)は
IPv4アドレスから MACアドレスを得る
ためのプロトコル
• IPv6 に ARP はなく，ICMPv6 を使って
IPv6アドレスから MACアドレスを得る
ICMPv6 はフィルタしない!

19. Case#4
何もしてないのに壊れた
(パケットサイズが違う)

20. Case#4
• Server#1 で tcpdump
ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46
• Server#2 で tcpdump• Server#2 で tcpdump
ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 28
Ethernet Header(14(6+6+2)Byte)が含まれていない
Wireshark では 60(46+14)または 42(28+14)と表示される

21. Case#4/Server#1

22. Case#4/Server#2

23. Case#4
tcpdump
iptables
process
driver
tcpdump
Server#1
padding
最小は
64[Byte]

24. Case#5
何もしてないのに壊れた
(パケットサイズが大きい)

25. Case#5
[server]# tcpdump -nn -t -i eth0 port 80 | grep "length [0-9]{5,}"
(snip)
IP (snip) Flags [.], seq 12701:14851, ack 0, win 15544, length 12150
IP (snip) Flags [.], seq 12701:13501, ack 0, win 15544, length 10800
IP (snip) Flags [.], seq 12701:13501, ack 1, win 15544, length 10800
IP (snip) Flags [.], seq 12370:44520, ack 0, win 15544, length 12150
IP (snip) Flags [.], seq 10801:21601, ack 0, win 15544, length 10800
IP (snip) Flags [.], seq 11565:14065, ack 1, win 15544, length 13500IP (snip) Flags [.], seq 11565:14065, ack 1, win 15544, length 13500
IP (snip) Flags [.], seq 65416:88366, ack 0, win 15544, length 22950
IP (snip) Flags [.], seq 68116:96466, ack 0, win 15544, length 28350
IP (snip) Flags [.], seq 68116:80266, ack 0, win 15544, length 12150
IP (snip) Flags [.], seq 44696:16846, ack 0, win 15544, length 12150
• MTU = 1500[Byte] なのに…???

26. Case#5
tcpdump仮想NIC
Virtual Switch
Virtual Switch
fragment & defragment
最大は
1500[Byte]
物理NIC

27. まとめ
1. LAN ケーブルささってる?
2. Windows FireWall (とか)動いてない?
3. ICMPv6 フィルタしない!3. ICMPv6 フィルタしない!
4. 内部で見てる? 外部で見てる?
5. 物理サーバ? 仮想サーバ? に注意

28. まとめ.1
パケットは見るんじゃない，
感じるんだ

29. パケットは
まとめ.2
嘘をつかない

30. まとめ.3
Wireshark では
息づかいが感じられない

31. ENDEND