Port Mirroring
進化するVMware vSphere 5のネットワーク機能 (3/3)
http://www.atmarkit.co.jp/ait/articles/1201/18/news132_3.html
ネットワーク上を流れるトラフィックをキャプチャして、その内容を分析したり、場合によってはトラブルシューティングに役立てたりといったことは比較的古くから行われてきた。
スイッチ装置が一般化した後も、例えばシスコのSwitched Port Analyzer（以降SPANと略記）機能に代表されるように、特定のトラフィックを専用に構成したポートにも転送し、SnifferなどのLANアナライザを用いてトラフィックの内容を分析するといった作業が行われてきた。
仮想化環境においても同様のことを行いたい場合がある。しかし、仮想化されたシステムでは仮想マシンと物理ネットワーク装置の間に仮想スイッチが介在するため、本質的に同等のことを行いたい場合は仮想スイッチがSPANに相当する機能を保有する必要があった。
vSphere 5ではPort Mirroringと呼ばれる機能が実装された。Port Mirroringを利用すると、ある仮想ポートの入力トラフィック、出力トラフィック、あるいはその両方のトラフィックを、別の仮想ポートもしくはアップリンクに対してミラーすることができる。ただし、このときの元となる仮想ポートとミラー先となる仮想ポートもしくはアップリンクは、同一ホスト上でなければならない。例えば仮想ポートから仮想ポートへのPort Mirroringを構成し仮想マシン上でトラフィックをキャプチャするような場合は、ソースポートに接続されている仮想マシンとターゲットポートに接続されている仮想マシンを同一のESXiホスト上に配置しておく必要がある。Port Mirroringを構成した後に仮想マシンの移行を行うこともできるが、その場合はPort Mirroringは機能しなくなる。
Port Mirroring機能は分散仮想スイッチ上においてのみ提供されている。構成は分散仮想スイッチの設定の編集画面より行う。
単一の分散仮想スイッチ上に、複数個のPort Mirroringセッションを構成することができる。セッションごとにポリシーを設定する。
各セッションごとに設定可能なポリシーには以下がある。
(1) 通常のI/Oを許可するかどうか
ターゲットとなるポート上で、ミラートラフィック以外の通常のトラフィックを許可するかどうかを設定する。この項目を選択しなかった場合、ターゲットポートはミラートラフィックの受け入れ専用として利用される。
★(2) VLANによるカプセル化
ミラートラフィックをターゲットポート上でVLANによりカプセル化するかどうかを設定する。もしソースとなるパケットがVLANタグ情報を保有していた場合は、ここで指定したVLAN IDに置き換えてからターゲットポートにミラーする。
(3) ミラーパケットの最大長
このオプションを指定すると、ミラーされるイーサネットフレームの最大長が制限される。最大長を超えるフレームについてはそこで切断されたものがターゲットポートにミラーされる。調査したいプロトコルが明確になっている場合は、このオプションを用いて必要なトラフィックのみをミラーする。
ミラー処理を行うソース側には、分散仮想スイッチ上の仮想ポートを指定する。複数のソースポートを指定することもできる。またこのとき、入力トラフィックをミラーするのか、出力トラフィックをミラーするのか、あるいはその両方をミラーするのかを選択することができる。
ターゲットには仮想ポートもしくはアップリンクを指定することができる。こちらも複数個のポートを指定することができる。
ターゲットにアップリンクを用いる場合は、ターゲットとなるポート上で一般のI/Oを許可しないモードで構成されているか、もしくはミラートラフィックをターゲットポート上でVLANによるカプセル化を行うよう構成されている必要がある。
★ Port Mirroringは便利な機能であるが、以下のような制限事項があるため注意する。
「出力側」もしくは「入力側/出力側」のソースとして構成した仮想ポートは、ターゲットとして構成することはできない。これはミラーされたトラフィックが巡回する可能性を排除するためである
単一のPort Mirringセッション内においては、ソースとターゲットは同一の仮想ポート上に構成することはできない
単一のポートを複数のセッションのターゲットとして構成することはできない。
プロミスキャスポートを「出力側」もしくは「入力側/出力側」のソースとすることはできない。またプロミスキャスポートをターゲットとすることはできない
ソースポートとターゲットポートは同一のESXi上にある必要がある
先述の通り、パケットをキャプチャしてトラブルシューティングに利用するという方法は古くから行われてきたアプローチであり、仮想化環境でも同様のことを行いたいというリクエストが多く寄せられていた。vSphere 5のPort Mirroringを用いることでそのような状況に対応することができる。ミラートラフィックのキャプチャーには様々なソフトウェアや専用の装置を用いることができるため、ネットワーク管理者は使い慣れたツールを用いてミラートラフィックの収集や分析を行うことができる。
★追加
VMware vSphere5.0 評価ガイド
http://www.vmware.com/files/jp/pdf/products/vsphere/VMware-vSphere-Evaluation-Guide-3-Advanced-Networking.pdf
[0回]
