ポートミラーリング とは？

通信の様子を調べるためだよ。スイッチが、設定したポートなどのパケットを複製して監視装置へ送る。本来の宛先へ向かう通信と、観測用のコピーを分けて見よう。監視装置を通信経路に直接挟まない観測の方法なんだ。

対象と方向は設定によるよ。受信を観測するか送信を観測するかでも、見えるパケットが変わる。監視先の帯域が足りなければ、本来の通信は届いてもコピーは失われる場合がある。観測結果が通信全体を完全に再現するとは限らないんだ。

CiscoのSwitched Port Analyzerだよ。同じ装置などの中で使うLocal SPAN、VLANを介して運ぶRSPAN、カプセル化してIPネットワークへ運ぶERSPANなどがある。使える方式や制約は、機器と版の資料で確認しよう。

Wiresharkなどで、通信先や手順、タイミングを調べたり、監視装置で不審なパターンを分析したりするよ。観測できる内容は暗号化やコピーの設定でも変わる。まず調べたい通信と方向、監視側の容量を決めるとよいね。

例えばAWSのVPC Traffic Mirroringは、対応するネットワークインターフェースから通信をコピーし、監視先へ送る機能だよ。対象をフィルターで絞ることもできる。別のサービスのパケットキャプチャが、すべて同じ方式で転送するとは考えず、それぞれの機能を確認しよう。