ポートミラーリング とは？

ネットワークの通信を実際に見てみたいときに使う機能だよ。スイッチのポートAの通信をそのまま複製して、ポートBに接続した監視装置にも届けてくれるんだ。

ケーブルを抜き差しすると通信が一瞬断してしまうし、普通のスイッチはポートAの通信をポートBには転送しないんだよ。ポートミラーリングはスイッチ内部でパケットを複製するから、本来の通信を止めずに観測できるんだ。

そう、Ciscoがポートミラーリングの機能にSPAN（Switched Port Analyzer）という名前をつけたよ。今は業界全体でSPANと呼ぶことも多いんだ。同じスイッチ内の監視はSPAN、別のスイッチ越しはRSPAN、ネットワーク越しはERSPANと区別されるよ。

Wiresharkやtcpdumpでパケットをキャプチャして通信内容を分析したり、IDSを接続して不審なパターンを検知したりするよ。障害調査のときに「あのアプリが何を送っているか」を確認するのにも使われるんだ。

大量のトラフィックをコピーするから、スイッチへの負荷が増えることと、監視ポートの帯域が足りなくなる可能性があるよ。10Gbpsのトラフィックを1Gbpsのポートにミラーリングしようとすると、パケットが欠落してしまうんだ。

AWSのVPCトラフィックミラーリングやAzureのパケットキャプチャ機能として提供されているよ。クラウドでも仮想スイッチ側がトラフィックをコピーして、解析ツールのインスタンスに送る仕組みは同じなんだ。