ソフトウェアでの組み込みパケットの設定およびキャプチャ

概要

このドキュメントでは、Cisco IOS^{® ソフトウェアの組み込みパケット キャプチャ（EPC）の機能について説明します。} 

---

前提条件

要件

このドキュメントに特有の要件はありません。

---

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

• Cisco IOS®リリース12.4(20)T以降
• Cisco IOS XE®リリース15.2(4)S:3.7.0以降

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

---

背景説明

有効にすると、ルータは送受信されたパケットをキャプチャします。 パケットはDRAMのバッファに保存され、リロード後は保持されません。 データがキャプチャされると、そのデータはルータの要約ビューまたは詳細ビューで調べることができます。

また、データは、さらに調べることができようにパケット キャプチャ（PCAP）ファイルとしてエクスポートできます。 ツールは EXEC モードで設定され、一時支援ツールと見なされます。 その結果、ツールコンフィギュレーションはルータのコンフィギュレーション内に保存されず、システムのリロード後も保持されません。

シスコのお客様は、パケットキャプチャ設定ジェネレータおよびアナライザツールを使用して、パケットキャプチャの設定、キャプチャ、および抽出を行うことができます。

---

Cisco IOS の設定例

基本 EPC 設定

1. キャプチャバッファを定義します。これは、キャプチャされたパケットが格納される一時的なバッファです。

2. バッファを定義する際には、サイズ、最大パケットサイズ、循環/線形など、さまざまなオプションを選択できます。

monitor capture buffer BUF size 2048 max-size 1518 linear

---

3. フィルタを適用して、キャプチャを目的のトラフィックに制限できます。コンフィギュレーション モード内でアクセス コントロール リスト（ACL）を定義し、バッファに対するフィルタを適用します。

ip access-list extended BUF-FILTER
    permit ip host 192.168.1.1 host 172.16.1.1
    permit ip host 172.16.1.1 host 192.168.1.1

monitor capture buffer BUF filter access-list BUF-FILTER

---

4. キャプチャが発生する場所を定義するキャプチャポイントを定義します。

5. キャプチャポイントは、キャプチャがIPv4とIPv6のどちらに対して発生するか、およびどのスイッチングパス（プロセスとcef）で発生するかも定義します。

monitor capture point ip cef POINT fastEthernet 0 both

---

6. キャプチャポイントにバッファをアタッチします。

monitor capture point associate POINT BUF

---

7. キャプチャを開始します。

monitor capture point start POINT

---

8. これで、キャプチャがアクティブになります。必要なデータのコレクションを許可します。

9. キャプチャを停止します。

monitor capture point stop POINT

---

10. ユニットのバッファを調べます。

show monitor capture buffer BUF dump

注：この出力には、パケットキャプチャの16進数ダンプのみが表示されます。人間が読める形式で表示するには、2つの方法があります。

---

11. さらなる分析のためにルータからバッファをエクスポートします。

monitor capture buffer BUF export tftp://10.1.1.1/BUF.pcap

---

12. 上記の方法は、ルータへのT/FTPアクセスを必要とするため、必ずしも実用的ではありません。このような場合は、16進数ダンプのコピーを取り、オンラインの16進数pcapコンバータを使用してファイルを表示します。

13. 必要なデータが収集されたら、キャプチャ・ポイントとキャプチャ・バッファを削除します。

no monitor capture point ip cef POINT fastEthernet 0 both
no monitor capture buffer BUF

---

その他のCisco IOS設定情報

• Cisco IOS®リリース15.0(1)Mよりも前のリリースでは、バッファサイズは512Kに制限されていました。
• Cisco IOS®リリース15.0(1)Mよりも前のリリースでは、キャプチャパケットサイズは1024バイトに制限されていました。
• パケットバッファはDRAMに保存され、リロード後は保持されません。
• キャプチャ設定はNVRAMに保存されず、リロード後は保持されません。
• CEF またはプロセス スイッチング パスでキャプチャするためにキャプチャ ポイントを定義できます。
• キャプチャ ポイントは、1 つのインターフェイスのみをキャプチャするようにも、全体をキャプチャするようにも定義できます。
• キャプチャ バッファを PCAP 形式でエクスポートする場合は、L2 情報（イーサネットのカプセル化など）は維持されません。
• この項で使用されているコマンドの詳細については、「検索コマンドのベストプラクティス」を参照してください。

---

基本的なIPトラフィックエクスポート設定

IPトラフィックエクスポートは、複数の同時WANまたはLANインターフェイスで受信されるIPパケットをエクスポートする別の方法です。

1. コンフィギュレーションモードで、IPトラフィックエクスポートプロファイルを定義します。

Device(config)# ip traffic-export profile mypcap mode capture

---

2. プロファイルで双方向トラフィックを設定します。

Device(config-rite)# bidirectional

---

3. 終了します。

4. エクスポートされたトラフィックのインターフェイスを指定します。

Device(config-if)# interface GigabitEthernet 0/1

---

5. インターフェイスでIPトラフィックエクスポートを有効にします。

Device(config-if)# ip traffic-export apply mypcap size 10000000

---

6. 終了

7. キャプチャを開始します。これでキャプチャがアクティブになりました。必要なデータのコレクションを許可します。

Device# traffic-export interface GigabitEthernet 0/1 start

---

8. キャプチャを停止します。

Device# traffic-export interface GigabitEthernet 0/1 stop

---

9. キャプチャを外部TFTPサーバにエクスポートします。

Device# traffic-export interface GigabitEthernet 0/1 copy tftp://<TFTP_Address>/mypcap.pcap

---

10. 必要なデータが収集されたら、プロファイルを削除します。

Device(config)# no ip traffic-export profile mypcap

---

IPトラフィックエクスポートの欠点

IPトラフィックエクスポートには、EPC方式と比較して次の短所があります。

---

Cisco IOS XEの設定例

組み込みパケットキャプチャ機能は、Cisco IOS XE®リリース3.7 ～ 15.2(4)Sで導入されました。 キャプチャの設定は、追加機能を追加するため、Cisco IOS®とは異なります。 

---

基本 EPC 設定

1. キャプチャが発生する場所を定義します。

monitor capture CAP interface GigabitEthernet0/0/1 both

---

2. フィルタを関連付けます。フィルタは、インラインで指定するか、ACLまたはクラスマップを参照できます。

monitor capture CAP match ipv4 protocol tcp any any limit pps 1000000 

---

3. キャプチャを開始します。

monitor capture CAP start

---

4. これで、キャプチャがアクティブになります。必要なデータの収集を許可します。

5. キャプチャを停止します。

monitor capture CAP stop

---

6. 要約ビューで取得を確認します。

show monitor capture CAP buffer brief

---

7. 詳細ビューでキャプチャを確認します。

show monitor capture CAP buffer detailed 

---

8. さらに、さらに分析するために、キャプチャをPCAP形式でエクスポートします。

monitor capture CAP export tftp://10.0.0.1/CAP.pcap

---

9. 必要なデータが収集されたら、キャプチャを削除します。

no monitor capture CAP

---

追加情報

• キャプチャは、物理インターフェイス、サブインターフェイス、およびトンネルインターフェイスで実行されます。
• Network Based Application Recognition(NBAR)ベースのフィルタ（クラスマップでmatch protocolコマンドを実行するフィルタ）は、現在サポートされていません。
• この項で使用されているコマンドの詳細については、『検索コマンドのベストプラクティス』を参照してください。

---

確認

現在、この設定に使用できる検証手順はありません。 

---

トラブルシューティング

Cisco IOS XE®で実行されるEPCの場合、EPCが正しく設定されていることを確認するには、次のdebugコマンドを使用します。

debug epc provision
debug epc capture-point

関連情報

• 組み込みパケットキャプチャ設定ガイド、Cisco IOS XE Release 3S Save
• Cisco IOSネットワーク管理設定ガイド
• シスコのテクニカルサポートとダウンロード

更新履歴

改定	発行日	コメント
5.0	15-Oct-2026	読みやすくするために、スペル、文法、間隔、および挿入された水平線がセクションごとに更新されました。
4.0	02-Oct-2024	ブランディング要件、スペル、およびフォーマットを更新。
3.0	12-Sep-2023	再認定
1.0	17-Mar-2013	初版