Successfully reported this slideshow.

More Related Content

Related Books

Free with a 14 day trial from Scribd

See all

#pakeana 14

  1. 1. tcpdump から始まる ネットワークエンジニアの朝 2013/04/19 #pakeana 14 @twovs
  2. 2. agenda • 自己紹介 • tcpdump と Wireshark • tcpdump で解決しました(どやっ• tcpdump で解決しました(どやっ • Wireshark で解決しました(また今度) • まとめ
  3. 3. about me • @twovs • ネコ2人+奥さん1人+可愛い娘 • 無線LAN装置の開発(1999~2004)• 無線LAN装置の開発(1999~2004) • オンラインゲームのシステム管理者(2004~) • ただし,ゲームには全く興味無し • ZFS 最高 !!! beadm 便利 !!!
  4. 4. ネットワーク職人の朝は早い。 「まぁ好きではじめた仕事ですから」 最近は Wireshark ばかりだと 口をこぼした。
  5. 5. まず,朝の tcpdump から始まる。 「やっぱり一番うれしいのは 2ch の反応ね, この仕事やっててよかったなと」
  6. 6. tcpdump / Wireshark tcpdump Wireshark 軽い 重い 低機能 高機能 とりあえず見る じっくり見る サーバで キャプチャ ローカルPCで 結果を見る 感じ取る 探し出す 気付く 確認する
  7. 7. Case#1 何もしてないのに壊れた (ping 応答なし)
  8. 8. tcpdumptcpdump Case#1 ping Server#1 192.168.3.1 Server#2 192.168.3.2
  9. 9. Case#1 [1]# tcpdump -n -t -i eth0 not port 22 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46 (*1) IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 1, length 64 IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 1, length 64 IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 2, length 64 IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 2, length 64 [2]# tcpdump -n -t -i eth0 not port 22 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 28 (*2) IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 1, length 64 IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 1, length 64 IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 16388, seq 2, length 64 IP 192.168.3.2 > 192.168.3.1: ICMP echo reply, id 16388, seq 2, length 64 • これは正常時のパケット
  10. 10. Case#1 [1]# tcpdump -n -t -i eth0 not port 22 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 • ARP Request に応答なし • 繫がっていないんじゃね…? • おい,ケーブル抜けてるぞ!!!
  11. 11. Case#2 何もしてないのに壊れた (ping 応答なし)
  12. 12. tcpdumptcpdump Case#2 ping Server#1 192.168.3.1 Server#2 192.168.3.2
  13. 13. Case#2 [1]# tcpdump -n -t -i eth0 not port 22 ARP, Request who-has 192.168.3.2 tell 192.168.3.1, length 46 ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46 IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 25348, seq 1, length 64 IP 192.168.3.1 > 192.168.3.2: ICMP echo request, id 25348, seq 2, length 64 • ARP Request に応答(Reply)あり • 192.168.3.2 のサーバは動いてる • ICMP がフィルタされてるんじゃね?
  14. 14. Case#3 何もしてないのに壊れた (SSH できない)
  15. 15. tcpdumptcpdump Case#3 ssh (IPv6) Server#1 fe80::1 Server#2 fe80::2 (IPv6) [server]$ ssh -6 fe80::2%eth0
  16. 16. Case#3 [1]# tcpdump -n -t -i eth0 IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32 IP6 fe80::2 > fe80::1: ICMP6, neighbor advertisement, tgt is fe80::2, length 32 IP6 fe80::1.56414 > fe80::2.ssh: Flags [S], seq 3767421192, win 14400, options [mss IP6 fe80::2.ssh > fe80::1.56414: Flags [S.], seq 3283559780, ack 3767421193, win 14280, IP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 1, win 225, options [nop,nop,TS val IP6 fe80::2.ssh > fe80::1.56414: Flags [P.], seq 1:22, ack 1, win 224, options IP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 22, win 225, options [nop,nop,TS valIP6 fe80::1.56414 > fe80::2.ssh: Flags [.], ack 22, win 225, options [nop,nop,TS val IP6 fe80::1.56414 > fe80::2.ssh: Flags [P.], seq 1:22, ack 22, win 225, options IP6 fe80::2.ssh > fe80::1.56414: Flags [.], ack 22, win 224, options [nop,nop,TS val IP6 fe80::1.56414 > fe80::2.ssh: Flags [P.], seq 22:814, ack 22, win 225, options IP6 fe80::2.ssh > fe80::1.56414: Flags [.], ack 814, win 248, options [nop,nop,TS val IP6 fe80::2.ssh > fe80::1.56414: Flags [P.], seq 22:806, ack 814, win 248, options • これは正常時のパケット
  17. 17. Case#3 [1]# tcpdump -n -t -i eth0 IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32 IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32 IP6 fe80::1 > ff02::1:ff00:2: ICMP6, neighbor solicitation, who has fe80::2, length 32 • neighbor solicitation に応答なし • ICMPv6 フィルタしてるんじゃね?
  18. 18. Case#3 • ARP(Address Resolution Protocol)は IPv4アドレスから MACアドレスを得る ためのプロトコル • IPv6 に ARP はなく,ICMPv6 を使って IPv6アドレスから MACアドレスを得る ICMPv6 はフィルタしない!
  19. 19. Case#4 何もしてないのに壊れた (パケットサイズが違う)
  20. 20. Case#4 • Server#1 で tcpdump ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 46 • Server#2 で tcpdump• Server#2 で tcpdump ARP, Reply 192.168.3.2 is-at 08:00:27:75:6f:fc, length 28 Ethernet Header(14(6+6+2)Byte)が含まれていない Wireshark では 60(46+14)または 42(28+14)と表示される
  21. 21. Case#4/Server#1
  22. 22. Case#4/Server#2
  23. 23. Case#4 tcpdump iptables process driver tcpdump Server#1 padding 最小は 64[Byte]
  24. 24. Case#5 何もしてないのに壊れた (パケットサイズが大きい)
  25. 25. Case#5 [server]# tcpdump -nn -t -i eth0 port 80 | grep "length [0-9]{5,}" (snip) IP (snip) Flags [.], seq 12701:14851, ack 0, win 15544, length 12150 IP (snip) Flags [.], seq 12701:13501, ack 0, win 15544, length 10800 IP (snip) Flags [.], seq 12701:13501, ack 1, win 15544, length 10800 IP (snip) Flags [.], seq 12370:44520, ack 0, win 15544, length 12150 IP (snip) Flags [.], seq 10801:21601, ack 0, win 15544, length 10800 IP (snip) Flags [.], seq 11565:14065, ack 1, win 15544, length 13500IP (snip) Flags [.], seq 11565:14065, ack 1, win 15544, length 13500 IP (snip) Flags [.], seq 65416:88366, ack 0, win 15544, length 22950 IP (snip) Flags [.], seq 68116:96466, ack 0, win 15544, length 28350 IP (snip) Flags [.], seq 68116:80266, ack 0, win 15544, length 12150 IP (snip) Flags [.], seq 44696:16846, ack 0, win 15544, length 12150 • MTU = 1500[Byte] なのに…???
  26. 26. Case#5 tcpdump仮想NIC Virtual Switch Virtual Switch fragment & defragment 最大は 1500[Byte] 物理NIC
  27. 27. まとめ 1. LAN ケーブルささってる? 2. Windows FireWall (とか)動いてない? 3. ICMPv6 フィルタしない!3. ICMPv6 フィルタしない! 4. 内部で見てる? 外部で見てる? 5. 物理サーバ? 仮想サーバ? に注意
  28. 28. まとめ.1 パケットは見るんじゃない, 感じるんだ
  29. 29. パケットは まとめ.2 嘘をつかない
  30. 30. まとめ.3 Wireshark では 息づかいが感じられない
  31. 31. ENDEND

×