ACE: module に入出力する packet の capture 方法

[yushimaz]

Troubleshooting を行う上で、 show tech 同様に重要な情報が packet capture です。

ACE module への入出力 packet を capture する方法としては、下記方法があります。

1) monitor session command を supervisor 上で設定する方法

2) ACE 自体で capture する方法

3) NAM を使用する方法

# monitor session command を supervisor 上で設定する方法

ACE module は IOS 内部で TenGigabitEthernet として管理されているため、この interface を source として設定することで、ACE module への入出力 packet を span することができます。

Router(config)# monitor session 2 source    interface Tengiga [ACE の slot#]/1

Router(config)# monitor session 2 destination    interface [出力 interface]

例えば、下記のように設定することで slot4 に挿入されている ACE module の入出力 packet を、TenGiga  interface 3/1 に接続されている機器に送ることができます。

Router(config)# monitor session 2 source interface Tengiga 4/1

Router(config)# monitor session 2 destination interfaceTengiga 3/1

# ACE 自体で capture する方法

ACE は capture command を用いることで、自身を流れる packet を capture することが可能です。 capture command は下記のような手順で使用することができます。

1) capture 対象となる packet を access-list で設定

2) capture [capture name] interface vlan [vlan#]  access-list [acl name] を実行し、capture 対象を設定

3) capture [capture name] start で capture 開始

4) capture [capture name] stop で capture 終了

5) copy capture command で buffer の情報を file へ copy

下記は、すべての ip  packet/interface を capture 対象とした場合の設定、及び console log になります。

ACE20/Admin# sh run | i access-list

Generating    configuration....

access-list    all line 8 extended permit ip any any

ACE20/Admin#

ACE20/Admin# capture cap all access-list all

ACE20/Admin# capture cap start

ACE20/Admin#    05:04:00.202459 0:7:e:f:2c:a1 0:c:29:16:de:3f 0800 58: 192.168.71.100.80    > 192.168.71.11.55422: S [bad tcp cksum e397!] 858056911:858056911(0) ack    621742828 win 32768 <mss 1460> [tos 0x10]  (ttl 255, id 0, len 44, bad cksum 0!)

05:04:00.202826    0:c:29:16:de:3f 0:7:e:f:2c:a1 0800 56: 192.168.71.11.55422 >    192.168.71.100.80: . [tcp sum ok] ack 1 win 5840 (DF) [tos 0x10]  (ttl 64, id 11901, len 40)

05:04:07.045057    0:c:29:16:de:3f 0:7:e:f:2c:a1 0800 70: 192.168.71.11.55422 >    192.168.71.100.80: P [tcp sum ok] 1:17(16) ack 1 win 5840 (DF) [tos    0x10]  (ttl 64, id 11902, len 56)

[snip]

!___ capture 対象の Traffic が流れると console 上に capture した packet が出力されます。

ACE20/Admin#

ACE20/Admin# capture cap stop

ACE20/Admin# copy capture cap disk0: cap.pcap

!___ wireshark 等の外部 tool を用いる場合、buffer の情報を disk0: copy し、その file を download する必要があります。

ACE20/Admin# copy disk0: tftp:

!___ capture file を disk0: から tftp server へ put

Enter source    filename[]? cap.pcap

Enter Address    for the tftp server[]? 192.168.71.11

Enter the    destination filename[]? [cap.pcap]

Trying to    connect to tftp server......

!!!!!

TFTP put    operation was successful

2254 bytes copied

ACE20/Admin#

download した file を wireshark で開いた場合



簡単な試験時にはお勧めですが、大量に Traffic が流れている状況下での Troubleshooting に使用した場合、ACE の負荷が高くなり、別の問題が発生する可能性があるため、実環境での Troubleshooting では、1) や 3) の方法をお勧めします。

capture command の詳細については下記 command reference をご参照ください。

http://www.cisco.com/en/US/partner/docs/interfaces_modules/services_modules/ace/v3.00_A1/command/reference/execmds.html#wp1573069

# NAM を使用する方法

1), 2) のように、capture 用の機器を用意したり、ACE に余計な負荷をかけるということもないため、同一筐体に NAM が挿入されている場合、この方法をお勧めします。

NAM を使用し、ACE module へ入出力される packet を capture する場合、1) 同様、source interface として、Tengiga interface を選択することで実現可能です。

下記のように、ACE module が挿入されている slot を Switch Module で選択すると Available Sources に Tengiga  interface が表示されるのでこれを Add すれば、ACE  module に入出力される packet を NAM で capture 可能になります。