※この記事は以下の記事の日本語訳です。
How to Run a Packet Capture
https://live.paloaltonetworks.com/t5/Learning-Articles/How-to-Run-a-Packet-Capture/ta-p/62390
概要
このドキュメントではパケット キャプチャを設定したり、キャプチャの開始・停止、および収集したキャプチャ ファイルを操作する基本手順とコマンドについて説明しています。ここでは最も一般的に用いられるオプションを使用して、プロセスの概要を提供することを目的とします。パケット キャプチャと全てのオプションについてのより良い理解を得るためには、以下のドキュメントを参照してください： Packet Based Troubleshooting - Configuring Packet Captures and Debug Logs
詳細
CLI での実施
パケット フィルタの作成
- debug dataplane packet-diag set filter match source <IP_1> destination <IP_2>
- debug dataplane packet-diag set filter on
- debug dataplane packet-diag show setting
注： 最大4つの一致条件をパケット キャプチャのために設定することができます。送信元、先IP アドレスが設定されていない場合は "any" (0.0.0.0) となります。
パケット キャプチャ ステージと対応するファイルを定義します。
- debug dataplane packet-diag set capture stage transmit file <filename_transmit>
- debug dataplane packet-diag set capture stage receive file <filename_receive>
- debug dataplane packet-diag set capture stage firewall file <filename_firewall>
- debug dataplane packet-diag set capture stage drop file <filename_drop>
パケット キャプチャの開始
- debug dataplane packet-diag set capture on
注：キャプチャの開始前に、キャプチャ フィルタが設定されているかとフィルタリングが有効になっているかを確認します。
例:
admin@PAN-FW> debug dataplane packet-diag show setting
--------------------------------------------------------------------------------
Packet diagnosis setting:
--------------------------------------------------------------------------------
Packet filter
Enabled: yes
Match pre-parsed packet: no
Index 1: 192.168.0.1[0]->10.20.30.1[0], proto 0
ingress-interface any, egress-interface any, exclude non-IP
--------------------------------------------------------------------------------
重要! フィルタリングしないままキャプチャを開始するとファイアウォールに負荷がかかりすぎることになります。
パケット キャプチャの停止
- debug dataplane packet-diag set capture off
キャプチャ ファイルの参照
- view-pcap filter-pcap <filename>
キャプチャ実行中にリアルタイムにキャプチャ ファイルを表示するには、以下のコマンドを使用します：
- view-pcap follow yes filter-pcap <filename>
キャプチャ ファイルのエクスポート
- scp export filter-pcap from <file> to <SCP_serv>
- <SCP_Serv> = user@server:path
- tftp export filter-pcap from <file> to <tftp_Server_addr>
キャプチャ フィルタとファイルのクリア
- debug dataplane packet-diag set filter off
- debug dataplane packet-diag clear filter all
- debug dataplane packet-diag clear capture all
WebUI での実施
- Monitor > パケット キャプチャ に移動します。
- パケット フィルタの作成と有効化:
- パケットをキャプチャするためにステージとファイル名を指定して作成します:
- キャプチャを有効にするために OK をクリックします:
- キャプチャ ページを更新した後、対応するリンクをクリックすることで、 HTTP 経由でキャプチャ ファイルをダウンロードします:
