とことこロゴス
ポートミラーリング
スイッチで指定したポートやVLANの通信をコピーし、監視用のポートへ出力する機能である。通常の転送とは別に、通信の分析や不正通信の検知に必要なデータを監視装置へ渡せる。
イマシルちゃんの解説
ネットワークの不調を調べるときは、実際にどんなデータが流れているか確認したいよね。
でもスイッチは、宛先の場所が分かる通信を関係のない接続口へは送らないんだ。
調査用のパソコンを空いている接続口につなぐだけでは、見たい通信を受け取れないことがあるよ。
ポートミラーリングは、指定した接続口などを流れる通信を複製し、監視用の接続口にも送る機能なんだ。
そこに調査用のパソコンや監視装置をつなげば、複製された通信を分析できるの。
元の通信は本来の宛先へ送りながら、別の場所でその様子を調べられるんだよ。
この解説はわかりやすかったですか？
より深い解説
定義
ポートミラーリングは、スイッチの特定のポート（またはVLAN）で送受信される通信を複製し、監視用に指定したポート（ミラーポート、モニタポート）に送り出す機能である。シスコ社の製品では SPAN（Switched Port Analyzer）と呼ばれる。
使い道
| 用途 | 内容 |
|---|---|
| IDSによる監視 | ミラーポートにIDSを接続し、通信を検査する |
| トラブルの調査 | パケットキャプチャのソフトウェアで、実際に流れている通信を確認する |
| 通信の記録・分析 | ネットワークの利用状況や性能を分析する装置に通信を渡す |
長所と注意点
| 長所 | 注意点 |
|---|---|
| 通信経路に機器を入れないので、監視装置が故障しても通信は止まらない | 監視するポートの通信量の合計が、ミラーポートの帯域を超えると、コピーが取りこぼされる |
| スイッチの設定だけで使える | スイッチの負荷が高いと、ミラーリングが後回しにされることがある |
| 監視装置からは、通信を直接遮断できない |
ネットワークタップとの比較
| ポートミラーリング | ネットワークタップ（TAP） | |
|---|---|---|
| 仕組み | スイッチの機能で、通信をコピーする | 回線の途中に挟む専用の装置で、信号を分岐する |
| 取りこぼし | 帯域や負荷によって起こりうる | 起こりにくい（物理的に全量を分岐） |
| 導入 | 設定だけでよい | 回線をいったん切断して装置を挿入する |
IDSとIPSの設置方法
| 機器 | 設置 | 動作 |
|---|---|---|
| IDS | ミラーポートやタップに接続する（経路外） | 通信のコピーを見て、検知・通知する |
| IPS | 通信経路上に設置する（インライン） | 通信を通過させながら、不正な通信を遮断する |
ミラーポートに接続した機器は、通信のコピーを受け取るだけなので、検知はできても、通信を遮断する機器（IPS）としては働かない。
受信と保存の容量を確保する
コピーしたフレームの宛先MACアドレスは、通常は元の通信先のままである。キャプチャサーバはプロミスキャスモードで自分宛て以外も受信する。スイッチがコピーを出力する設定と、監視側がそれを受け取る設定の両方が必要になる。
平均ビットレートから無圧縮の保存量を概算する場合は、次の関係を使う。
必要容量［バイト］＝平均ビットレート［ビット/秒］× 保存時間［秒］÷ 8
独自の例として平均200kbit/sを90日間記録し、1k＝10³、1GB＝10⁹バイト、メタデータなしとする。
| 計算段階 | 結果 |
|---|---|
| 一秒当たりの量 | 200 × 10³ ÷ 8 ＝ 25,000バイト/秒 |
| 保存する時間 | 90 × 24 × 60 × 60 ＝ 7,776,000秒 |
| 必要容量 | 25,000 × 7,776,000 ÷ 10⁹ ＝ 194.4GB |
実際のキャプチャファイルには、時刻や各パケットの長さなどのメタデータが加わる。取り込む範囲、切詰め保存、圧縮、保持期間、余裕容量も設計に含める。GBとGiBは単位が異なり、1GiBは2³⁰バイトなので、換算の前提をそろえる。
平均値だけでは、瞬間的な帯域超過やディスクの書込み速度不足は判断できない。元の通信が正常でもコピーだけ失われる場合があるため、キャプチャ側の欠落も監視する。