データパスのデバッグとトレースオプションを設定する
SRXシリーズデバイスのデータパスデバッグについて理解する
データパスデバッグ、またはエンドツーエンドデバッグのサポートは、パケット処理パスに沿った複数の処理ユニットでトレースとデバッグを提供します。パケット フィルターは、実稼働システムへの影響を最小限に抑えて実行できます。
SRXシリーズファイアウォールでは、パケットはイングレス処理からエグレス処理まで、さまざまなコンポーネントが関与する一連のイベントを通過します。
データパスデバッグ機能を使用すると、処理パス上のさまざまなデータポイントでトレースとデバッグ(パケットのキャプチャ)を行うことができます。パケット処理パスで使用可能なイベントは、NP ingress、ロードバランシングスレッド(LBT)、jexec、パケット順序スレッド(POT)、NP egressです。特定のモジュールのセキュリティフロートレースフラグが設定されている場合は、フローモジュールトレースを有効にすることもできます。
各イベントで、4つのアクション(カウント、パケットダンプ、パケットサマリー、トレース)のいずれかを指定できます。データパスのデバッグは、キャプチャするパケットを定義するフィルターを提供し、一致したパケットのみがトレースされます。パケットフィルターは、論理インターフェイス、プロトコル、送信元IPアドレスプレフィックス、送信元ポート、宛先IPアドレスプレフィックス、宛先ポートに基づいてパケットを除外できます。
データパスのデバッグは、SRX4600、SRX4700、SRX5400、SRX5600、SRX5800でサポートされています。
エンドツーエンドのデバッグを有効にするには、以下の手順を実行する必要があります。
-
キャプチャファイルを定義し、最大キャプチャサイズを指定します。
-
要件に基づいて、特定のタイプのトラフィックのみをトレースするようにパケットフィルターを定義します。
-
パケットをキャプチャする処理パス上の場所(LBTやNP ingressなど)を指定するアクションプロファイルを定義します。
-
データパスのデバッグを有効にします。
-
トラフィックをキャプチャします。
-
データパスのデバッグを無効にします。
-
レポートを表示または分析します。
ポートとインターフェイスオプションのパケットフィルタリング動作は、以下のとおりです。
-
ポート のみが 指定されている場合、パケット フィルターは IPv4 と IPv6 の両方のトラフィックをトレースします。
-
パケットフィルターは、 インターフェイス のみが指定されている場合、IPv4、IPV6、および非IPトラフィックをトレースします。
トレース オプションを使用したセキュリティ デバッグの理解
Junos OSトレース機能により、アプリケーションはセキュリティデバッグ情報をファイルに書き込むことができます。このファイルに表示される情報は、設定した基準に基づいています。この情報を使用して、セキュリティアプリケーションの問題を分析できます。
トレース機能は分散方式で動作し、各スレッドは独自のトレースバッファーに書き込みます。これらのトレースバッファは、ある時点で収集され、ソートされ、トレースファイルに書き込まれます。トレースメッセージは、InterProcess Communications(IPC)プロトコルを使用して配信されます。トレースメッセージは、BGP、OSPF、IKEなどの制御プロトコルパケットよりも優先度が低いため、配信の信頼性は低いと見なされます。
トレース オプションを使用したフロー デバッグの理解
フロー トレース オプションでは、 宛先ポート、 宛先プレフィックス、 インターフェイス、 プロトコル、 送信元ポート、 送信元プレフィックスの組み合わせを使用してパケット フィルターを定義できます。特定のモジュールのセキュリティフロートレースフラグが設定されている場合、特定のパケットフィルターに一致するパケットがフロートレースをトリガーし、デバッグ情報をトレースファイルに書き込みます。
データパスのデバッグを設定する(CLI手順)
データパスのデバッグは、SRX5400、SRX5600、SRX5800でサポートされています。
データパスデバッグ用にデバイスを設定するには:
フローデバッグトレースオプションの設定(CLI手順)
以下の例は、 security flow traceoptionsを使用して設定できるオプションを示しています。
-
filter1パケットフィルターのIMAP宛先ポートに一致させるには、次のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 destination-port imap
-
filter1パケットフィルターに1.2.3.4宛先IPv4プレフィックスアドレスを設定するには、次のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 destination-prefix 1.2.3.4
-
filter1 パケット フィルターに fxp0 論理インターフェイスを設定するには、次のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 interface fxp0
-
filter1パケットフィルターのTCP IPプロトコルに一致させるには、以下のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 protocol tcp
-
filter1パケットフィルターのHTTP送信元ポートに一致させるには、以下のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 source-port http
-
filter1パケットフィルターに5.6.7.8 IPv4プレフィックスアドレスを設定するには、次のステートメントを使用します。
[edit] user@host# set security flow traceoptions packet-filter filter1 source-prefix 5.6.7.8
セキュリティ トレース オプションの設定 (CLI 手順)
以下の設定ステートメントを使用して、CLI設定エディターでセキュリティトレースオプションを設定します。
-
リモート トレースを無効にするには、次のステートメントを入力します。
[edit] user@host# set security traceoptions no-remote-trace
-
トレースメッセージをローカルファイルに書き込むには、以下のステートメントを入力します。システムはトレース ファイルを /var/log/ ディレクトリに保存します。
[edit] user@host# set security traceoptions use-local-files
-
トレース ファイルの名前を指定するには、次のステートメントを入力します。有効な値は1文字から1024文字です。名前にスペース、/、または%文字を含めることはできません。デフォルトのファイル名はsecurityです。
[edit] user@host# set security traceoptions file filename
-
蓄積できるトレースファイルの最大数を指定するには、以下のステートメントを入力します。有効な値の範囲は2から1000です。デフォルト値は3です。
[edit] user@host# set security traceoptions file files 3
-
ファイルに情報をログに記録する際にシステムで使用する一致基準を指定するには、次のステートメントを入力します。正規表現を入力します。ワイルドカード(*)文字が使用できます。
[edit] user@host# set security traceoptions file match *thread
-
すべてのユーザーがトレース ファイルを読み取れるようにするには、
world-readableステートメントを入力します。それ以外の場合は、no-world-readableステートメントを入力します。[edit] user@host# set security traceoptions file world-readable user@host# set security traceoptions file no-world-readable
-
トレース・ファイルが拡張できる最大サイズを指定するには、以下のステートメントを入力します。ファイルが指定されたサイズに達すると、圧縮されて名前が filename0.gzに変更され、次のファイルの名前は filename1.gzに変更されます。有効な値の範囲は 10240 から 1,073,741,824 です。
[edit] user@host# set security traceoptions file size 10240
-
トレースオプションを有効にし、複数のトレース操作を実行するには、以下のフラグを設定します。
[edit] user@host# set security traceoptions flag all user@host# set security traceoptions flag compilation user@host# set security traceoptions flag configuration user@host# set security traceoptions flag routing-socket
-
これらのトレース オプション設定を適用するグループまたは適用しないグループを指定するには、以下のステートメントを入力します。
[edit] user@host# set security traceoptions apply-groups value user@host# set security traceoptions apply-groups-except value
ログファイルとトレースファイルを表示する
システムログとトレースファイルへのリアルタイムの追加を表示するには、 monitor start コマンドを入力します。
user@host> monitor start filename
デバイスがfilenameで指定されたファイルにレコードを追加すると、そのレコードが画面に表示されます。例えば、system-log という名前のシステムログファイルを([edit system] 階層レベルに syslog ステートメントを含めることで)設定した場合、monitor start system-log コマンドを入力して、システムログに追加されたレコードを表示できます。
監視中のファイルのリストを表示するには、 monitor list コマンドを入力します。指定したファイルのレコードの表示を停止するには、 monitor stop filename コマンドを入力します。
セキュリティ トレース オプションの出力を表示する
目的
セキュリティ トレース オプションの出力を表示します。
アクション
show security traceoptionsコマンドを使用して、トレースファイルの出力を表示します。次に例を示します。
[edit] user@host # show security traceoptions file usp_trace user@host # show security traceoptions flag all user@host # show security traceoptions rate-limit 888
この例の出力は以下の通りです。
Apr 11 16:06:42 21:13:15.750395:CID-906489336:FPC-01:PIC-01:THREAD_ID-01:PFE:now update 0x3607edf8df8in 0x3607e8d0 Apr 11 16:06:42 21:13:15.874058:CID-1529687608:FPC-01:PIC-01:THREAD_ID-01:CTRL:Enter Function[util_ssam_handler] Apr 11 16:06:42 21:13:15.874485:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default1: Rate limit changed to 888 Apr 11 16:06:42 21:13:15.874538:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default1: Destination ID set to 1 Apr 11 16:06:42 21:13:15.874651:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default2: Rate limit changed to 888 Apr 11 16:06:42 21:13:15.874832:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default2: Destination ID set to 1 Apr 11 16:06:42 21:13:15.874942:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default3: Rate limit changed to 888 Apr 11 16:06:42 21:13:15.874997:CID-00:FPC-01:PIC-01:THREAD_ID-01:CTRL:default3: Destination ID set to 1
マルチキャスト トレース操作を表示する
マルチキャストトレース操作を監視および表示するには、 mtrace monitor コマンドを入力します。
user@host> mtrace monitor
Mtrace query at Apr 21 16:00:54 by 192.1.30.2, resp to 224.0.1.32, qid 2a83aa packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60) Mtrace query at Apr 21 16:00:57 by 192.1.30.2, resp to 224.0.1.32, qid 25dc17 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60) Mtrace query at Apr 21 16:01:00 by 192.1.30.2, resp to same, qid 20e046 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60) Mtrace query at Apr 21 16:01:10 by 192.1.30.2, resp to same, qid 1d25ad packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)
この例では、 mtrace クエリのみが表示されます。ただし、デバイスが mtrace 応答をキャプチャすると、表示は似ていますが、完全な mtrace 応答も表示されます( mtrace from-source コマンド出力に表示されるのとまったく同じです)。
表1は 、ディスプレイの出力フィールドをまとめたものです。
|
フィールド |
説明 |
|---|---|
|
|
|
|
|
クエリを発行するホストのIPアドレス。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
デバイスリストの表示
デバイスと指定された宛先ホスト間のデバイスのリストを表示するには、次の構文を使用して traceroute コマンドを入力します。
user@host> traceroute host <interface interface-name> <as-number-lookup> <bypass-routing> <gateway address> <inet | inet6> <no-resolve> <routing-instance routing-instance-name> <source source-address> <tos number> <ttl number> <wait seconds>
表2に 、 traceroute コマンドオプションを示します。
|
オプション |
説明 |
|---|---|
|
|
指定したホスト名またはIPアドレスにトレースルートパケットを送信します。 |
|
|
(オプション)指定したインターフェイスでトレースルートパケットを送信します。このオプションが含まれていない場合、すべてのインターフェイスでトレースルートパケットが送信されます。 |
|
|
(オプション)デバイスと宛先ホスト間の各中間ホップの自律システム(AS)番号を表示します。 |
|
|
(オプション)ルーティングテーブルをバイパスし、トレースルートパケットを直接接続されたインターフェイス上のホストにのみ送信します。ホストが直接接続されたインターフェイスではない場合、エラー メッセージが返されます。 このオプションを使用して、ルートを通るルートを持たないインターフェイスを介してローカルシステムへのルートを表示します。 |
|
|
(オプション)指定したゲートウェイを使用してルーティングします。 |
|
|
(オプション)IPv4 宛先へのトレースルート パケットを強制します。 |
|
|
(オプション)IPv6 宛先へのトレースルート パケットを強制します。 |
|
|
(オプション)パスに沿ったホップのホスト名の表示を抑止します。 |
|
|
(オプション)トレースルートに指定したルーティングインスタンスを使用します。 |
|
|
(オプション)トレースルートパケットで指定した送信元アドレスを使用します。 |
|
|
(オプション)トレースルートパケットのIPヘッダーでサービスタイプ(TOS)値を設定します。 |
|
|
(オプション)トレースルートパケットのTTL(Time-to-live)値を設定します。ホップ数を |
|
|
(オプション)応答を待つ最大時間を設定します。 |
traceroute コマンドを終了するには、Ctrl-C を押します。
以下に、 traceroute コマンドの出力例を示します。
user@host> traceroute host2
traceroute to 173.24.232.66 (172.24.230.41), 30 hops max, 40 byte packets 1 173.18.42.253 (173.18.42.253) 0.482 ms 0.346 ms 0.318 ms 2 host4.site1.net (173.18.253.5) 0.401 ms 0.435 ms 0.359 ms 3 host5.site1.net (173.18.253.5) 0.401 ms 0.360 ms 0.357 ms 4 173.24.232.65 (173.24.232.65) 0.420 ms 0.456 ms 0.378 ms 5 173.24.232.66 (173.24.232.66) 0.830 ms 0.779 ms 0.834 ms
表示のフィールドは、J-Webトレースルート診断ツールで表示されるフィールドと同じです。
例:SRXシリーズデバイスでエンドツーエンドのデバッグを設定する
この例では、ハイエンドのSRXシリーズファイアウォールでパケットキャプチャを設定し、SRX5K-MPCを搭載したSRXシリーズファイアウォールでエンドツーエンドのデバッグを有効にする方法を示しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
-
SRX5K-MPCと100ギガビットイーサネットCFPトランシーバーがインストールされたSRX5600デバイス
-
SRXシリーズファイアウォール向けJunos OSリリース12.1X47-D15以降
始める前に:
-
SRXシリーズデバイスのデータパスデバッグについてを参照してください。
この機能を設定する前に、デバイスの初期化以外の特別な設定を行う必要はありません。
概要
データパスのデバッグは、パケット処理パスに沿った複数の処理ユニットでトレースとデバッグを提供することで、トラブルシューティング機能を強化します。データパスデバッグ機能を使用すると、処理パス上のさまざまなデータポイントでトレースとデバッグ(パケットのキャプチャ)を行うことができます。各イベントでアクション(カウント、パケットダンプ、パケットサマリー、トレース)を指定し、フィルターを設定してキャプチャするパケットを定義できます。
この例では、トラフィックフィルターを定義してから、アクションプロファイルを適用します。アクションプロファイルは、処理ユニットに対してさまざまなアクションを指定します。イングレスとエグレスは、着信トラフィックと発信トラフィックのデータをキャプチャするための処理パス上の場所として指定されます。
次に、運用モードでデータ・パスのデバッグを有効にし、最後にデータ・キャプチャー・レポートを表示します。
データパスのデバッグは、SRX5400、SRX5600、SRX5800でサポートされています。
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security datapath-debug traceoptions file e2e.trace size 10m set security datapath-debug capture-file e2e.pcap format pcap set security datapath-debug maximum-capture-size 1500 set security datapath-debug capture-file files 10 set security datapath-debug action-profile profile-1 preserve-trace-order set security datapath-debug action-profile profile-1 record-pic-history set security datapath-debug action-profile profile-1 event np-ingress trace set security datapath-debug action-profile profile-1 event np-ingress count set security datapath-debug action-profile profile-1 event np-ingress packet-summary set security datapath-debug action-profile profile-1 event np-egress trace set security datapath-debug action-profile profile-1 event np-egress count set security datapath-debug action-profile profile-1 event np-egress packet-summary
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の 設定モードでの CLIエディターの使用 を参照してください。
データパスのデバッグを設定するには:
-
パケット処理パスにある複数の処理ユニットのセキュリティデータパスデバッグオプションを編集します。
[edit] user@host# edit security datapath-debug
-
キャプチャファイル、ファイル形式、ファイルサイズ、およびファイル数を有効にします。
[edit security datapath-debug] user@host# set traceoptions file e2e.trace size 10m user@host# set capture-file e2e.pcap format pcap; user@host# set maximum-capture-size 1500 user@host# set capture-file files 10
-
アクションプロファイルのアクションプロファイル、イベントタイプ、アクションを設定します。
[edit security datapath-debug] user@host# set action-profile profile-1 preserve-trace-order user@host# set action-profile profile-1 record-pic-history user@host# set action-profile profile-1 event np-ingress trace user@host# set action-profile profile-1 event np-ingress count user@host# set action-profile profile-1 event np-ingress packet-summary user@host# set action-profile profile-1 event np-egress trace user@host# set action-profile profile-1 event np-egress count user@host# set action-profile profile-1 event np-egress packet-summary
結果
設定モードから、 show security datapath-debug コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
traceoptions {
file e2e.trace size 10m;
}
capture-file e2e.pcap format pcap;
maximum-capture-size 1500;
capture-file files 10;
action-profile {
profile-1 {
preserve-trace-order;
record-pic-history;
event np-ingress {
trace;
packet-summary;
packet-dump;
}
event np-egress {
trace;
packet-summary;
packet-dump;
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
例:データパスデバッグ用にパケットキャプチャを設定する
この例では、デバイスを通過するトラフィックを監視するためにパケットキャプチャを設定する方法を示しています。パケットキャプチャは、パケットをPCAPファイル形式にダンプし、後でtcpdumpユーティリティで調べることができます。
要件
開始する前に、 データパスのデバッグを設定する(CLI手順)を参照してください。
概要
フィルターはトラフィックをフィルタリングするように定義されています。次に、フィルタリングされたトラフィックにアクションプロファイルが適用されます。アクションプロファイルは、処理ユニットに対してさまざまなアクションを指定します。サポートされているアクションの1つがパケットダンプであり、パケットをルーティングエンジンに送信し、 show security datapath-debug capture コマンドを使用して読み込めるように独自の形式で保存します。
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security datapath-debug capture-file my-capture set security datapath-debug capture-file format pcap set security datapath-debug capture-file size 1m set security datapath-debug capture-file files 5 set security datapath-debug maximum-capture-size 400 set security datapath-debug action-profile do-capture event np-ingress packet-dump set security datapath-debug packet-filter my-filter action-profile do-capture set security datapath-debug packet-filter my-filter source-prefix 10.2.3.4/32
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。
パケットキャプチャを設定するには:
-
パケット処理パスにある複数の処理ユニットのsecurity datapath-debugオプションを編集します。
[edit] user@host# edit security datapath-debug
-
キャプチャファイル、ファイル形式、ファイルサイズ、およびファイル数を有効にします。サイズ番号は、キャプチャファイルのサイズを制限します。制限サイズに達した後、ファイル番号が指定されている場合、キャプチャファイルはファイル名 xにローテーションされ、指定されたインデックスに達するまで x が自動的にインクリメントされ、その後ゼロに戻ります。ファイルインデックスを指定しない場合、サイズ制限に達した後にパケットは破棄されます。デフォルトのサイズは512キロバイトです。
[edit security datapath-debug] user@host# set capture-file my-capture format pcap size 1m files 5 [edit security datapath-debug] user@host# set maximum-capture-size 400
-
アクションプロファイルを有効にし、イベントを設定します。アクションプロファイルをdo-captureとして、イベントタイプをnp-ingressとして設定します。
[edit security datapath-debug] user@host# edit action-profile do-capture [edit security datapath-debug action-profile do-capture] user@host# edit event np-ingress
-
アクションプロファイルのパケットダンプを有効にします。
[edit security datapath-debug action-profile do-capture event np-ingress] user@host# set packet-dump
-
パケットフィルター、アクション、およびフィルターオプションを有効にします。パケットフィルターはmy-filter、アクションプロファイルはdo-capture、フィルターオプションはsource-prefix 10.2.3.4/32に設定されます。
[edit security datapath-debug] user@host# set security datapath-debug packet-filter my-filter action-profile do-capture
[edit security datapath-debug] user@host# set security datapath-debug packet-filter my-filter source-prefix 10.2.3.4/32
結果
設定モードから、 show security datapath-debug コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
security {
datapath-debug {
capture-file {
my-capture
format pcap
size 1m
files 5;
}
}
maximum-capture-size 100;
action-profile do-capture {
event np-ingress {
packet-dump
}
}
packet-filter my-filter {
source-prefix 10.2.3.4/32
action-profile do-capture
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
パケットキャプチャの検証
目的
パケットキャプチャが機能していることを確認します。
アクション
動作モードから、 request security datapath-debug capture start コマンドを入力してパケットキャプチャを開始し、パケットキャプチャを停止するには request security datapath-debug capture stop コマンドを入力します。
結果を表示するには、CLI運用モードからローカルのUNIXシェルにアクセスし、/var/log/my-captureディレクトリに移動します。結果は、tcpdumpユーティリティを使用して読み取ることができます。
データパスのデバッグキャプチャを確認する
目的
データパスデバッグキャプチャファイルの詳細を確認します。
アクション
動作モードから、 show security datapath-debug capture コマンドを入力します。
user@host> show security datapath-debug capture
トラブルシューティングが終了したら、すべてのtraceoptionsコンフィギュレーション(flow traceoptionsに限りません)と完全なsecurity datapath-debugコンフィギュレーション節が削除または無効化されていることを確認します。有効になったままのデバッグ設定がある場合は、デバイスのCPUとメモリ資源を使い続けます。
データパスのデバッグカウンターを検証する
目的
データパスデバッグカウンターの詳細を確認します。
アクション
動作モードから、 show security datapath-debug counter コマンドを入力します。
データパスのデバッグを有効にする
手順
ステップバイステップの手順
データパスのデバッグを設定した後、デバイス上で動作モードからプロセスを開始する必要があります。
-
データパスのデバッグを有効にします。
user@host> request security datapath-debug capture start
datapath-debug capture started on file datapcap
-
設定を検証してレポートを表示する前に、データパスのデバッグを無効にする必要があります。
user@host> request security datapath-debug capture stop
datapath-debug capture successfully stopped, use show security datapath-debug capture to view
注:データのキャプチャが完了したら、デバッグ プロセスを停止する必要があります。デバッグ プロセスを停止せずにキャプチャされたファイルを開こうとすると、取得したファイルはサードパーティ製ソフトウェア(tcpdump や wireshark など)を介して開くことはできません。
検証
設定が正常に機能していることを確認します。
データパスデバッグパケットキャプチャの詳細の検証
目的
データパスのデバッグ設定を有効にして、キャプチャされたデータを検証します。
アクション
動作モードから、 show security datapath-debug capture コマンドを入力します。
Packet 8, len 152: (C2/F2/P0/SEQ:57935:np-ingress) 00 10 db ff 10 02 00 30 48 83 8d 4f 08 00 45 00 00 54 00 00 40 00 40 01 9f c7 c8 07 05 69 c8 08 05 69 08 00 91 1f 8f 03 2a a2 ae 66 85 53 8c 7d 02 00 08 09 0a 0b 0c 0d 0e 0f 10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f 20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f 30 31 32 33 34 35 36 37 Packet 9, len 152: (C2/F2/P0/SEQ:57935:np-egress) 00 30 48 8d 1a bf 00 10 db ff 10 03 08 00 45 00 00 54 00 00 40 00 3f 01 a0 c7 c8 07 05 69 c8 08 05 69 08 00 91 1f 8f 03 2a a2 ae 66 85 53 8c 7d 02 00 08 09 0a 0b 0c 0d 0e 0f 10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f 20 21 22 23 24 25 26 27 28 29 2a 2b 2c 2d 2e 2f 30 31 32 33 34 35 36 37....
簡潔にするために、 show コマンドの出力は切り捨てられ、いくつかのサンプルのみが表示されます。追加サンプルは省略記号に置き換えられた(...)。
結果を表示するには、CLI運用モードからローカルのUNIXシェルにアクセスし、 /var/log/<file-name>ディレクトリに移動します。結果は、 tcpdump ユーティリティを使用して読み取ることができます。
user@host>start shell %tcpdump -nr/var/log/e2e.pcap
21:50:04.288767 C0/F3 event:1(np-ingress) SEQ:1 IP 192.168.14.2 > 192.168.13.2: ICMP echo request, id 57627, seq 0, length 64 21:50:04.292590 C0/F3 event:2(np-egress) SEQ:1 IP 192.168.14.2 > 192.168.13.2: ICMP echo request, id 57627, seq 0, length 64 1:50:04.295164 C0/F3 event:1(np-ingress) SEQ:2 IP 192.168.13.2 > 192.168.14.2: ICMP echo reply, id 57627, seq 0, length 64 21:50:04.295284 C0/F3 event:2(np-egress) SEQ:2 IP 192.168.13.2 > 192.168.14.2: ICMP echo reply, id 57627, seq 0, length 64
データパスのデバッグのトラブルシューティングが終了したら、手動で開始/停止する必要があるパケットキャプチャ(packet-dump)のデータパスデバッグ設定を含む、すべての traceoptions (フロートレースオプションに限定されません)と完全なデータパスデバッグ設定を削除します。デバッグ設定の一部がアクティブなままである場合、デバイスのリソース(CPU/メモリ)を引き続き使用します。