show tcpdump (tcpdump)

［入力形式］

＜I/Fのパケットモニタリング＞

show tcpdump interface <interface type> <interface number> [{no-resolv | no-domain}] [abs-seq] [no-time] [{brief | detail | extensive | debug}] [{hex | hex-ascii}] [count <count>] [snaplen <snaplen>] [writefile <file name>] [<expression>]

＜パケットモニタリングファイルの表示＞

show tcpdump readfile <file name> [{ no-resolv | no-domain }] [abs-seq] [no-time] [{ brief | detail | extensive | debug }] [{ hex | hex-ascii }] [count <count>] [writefile <file name>] [<expression>]

注　show tcpdumpはtcpdumpとしても入力できます。tcpdumpとして入力する場合，以下のパラメータで入力します。

tcpdump -i <interface type> <interface number> [{-n | -N}] [-S] [-t] [-q] [-v[v[v]]] [{-x | -X}] [-c <count>] [-s <snaplen>] [-w <file name>] [<expression>]
tcpdump -r <file name> [{-n | -N}] [-S] [-t] [-q] [-v[v[v]]] [{-x | -X}] [-c <count>] [-w <file name>] [<expression>]

［入力モード］

一般ユーザモードおよび装置管理者モード

［パラメータ］

interface <interface type> <interface number> (-i <interface type> <interface number>)

指定されたinterface <interface type> <interface number>のインタフェースをモニタします。

<interface type> <interface number>には，次に示すインタフェース種別グループに対応するインタフェース名およびインタフェース番号を指定できます。詳細は，「パラメータに指定できる値」の「■インタフェースの指定方法」を参照してください。

• VLANインタフェース

• ループバックインタフェース

readfile <file name> (-r <file name>)

パケットを（writefileオプションで作成した）<file name>から読み込みます。

{no-resolv | no-domain}

no-resolv (-n)

アドレス（ホストアドレス，ポート番号など）を名前に変換しません。

no-domain (-N)

ホストのドメイン名を表示しません。例えば，server.example.comと表示する代わりにserverと表示します。

本パラメータ省略時の動作

アドレス（ホストアドレス，ポート番号など）を名前に変換します。また，ホストアドレスはドメイン名まで表示します。

abs-seq (-S)

TCPシーケンス番号を相対値ではなく，絶対値で表示します。

本パラメータ省略時の動作

TCPシーケンス番号を相対値で表示します。

no-time (-t)

各ダンプ行に時間情報を表示しません。

本パラメータ省略時の動作

各ダンプ行に時間情報を表示します。

{brief | detail | extensive | debug}

brief (-q)

TCPやUDPなどのプロトコル情報の表示を一部省略して，通常より簡素な表示にします。レイヤ2部分（アドレスファミリ）も表示されません。

detail (-v)

通常より少し詳細に表示します。

例えば，IPパケットにおけるtime to live，identification，total lengthやoptionsの情報を表示します。さらにIPやICMPヘッダのchecksumを確認するようなパケットの完全性チェックも追加されます。

extensive (-vv)

detailよりさらに詳細に表示します。

例えば，NFS応答パケットの付加フィールドが表示されます。

debug (-vvv)

最も詳細に表示します。

例えば，telnetプロトコルのサブオプションも表示されます。

本パラメータ省略時の動作

簡素表示または詳細表示をしないで，通常表示をします。

{hex | hex-ascii}

hex (-x)

リンクレイヤを除いて，各パケットを16進で表示します。

hex-ascii (-X)

16進表示されるときに，ASCII文字も表示します。

本パラメータ省略時の動作

16進表示およびASCII文字の表示をしないで，各ダンプ行の解析結果だけを表示します。

count <count> (-c <count>)

<count>個のパケットを受信した後に終了します。指定できる値は1〜2147483647です。

本パラメータ省略時の動作

［Ctrl＋C］で終了します。

snaplen <snaplen> (-s <snaplen>)

<snaplen>バイトを各パケットから取り出してダンプ表示します。指定できる値は0および4〜65535です。この値は，プロトコルの情報が得られる必要最小限としてください。なお本装置では，パケットのレイヤ2部分は，アドレスファミリを含んだ4バイトのNull/Loopbackヘッダとして扱っていますので，<snaplen>を4以上に設定してください。

<snaplen>制限で後ろが切り捨てられたパケットは出力時に"[|<proto>]"形式で示されます（<proto>は切り捨ての生じたレベルに対応するプロトコルの名前です）。

<snaplen>を0にすると，パケット全体を拾うのに必要な長さ（65535）が使われます。

本パラメータ省略時の動作

各パケットから96バイトを取り出してダンプ表示します。

writefile <file name> (-w <file name>)

パケットを解析，表示する代わりにモニタした情報を<file name>に書き出します。

この<file name>は，あとでreadfile <file name>オプションを使用して表示できます。

本パラメータ省略時の動作

各ダンプの解析結果を画面に表示します。

<expression>

ダンプするパケットの種類を選択します。<expression>を指定した場合は，<expression>が"true"（真）となるパケットだけをモニタします。

本装置が大量のパケットを受信・送信しているときは，本パラメータを指定して，必要なパケットだけをモニタするようにしてください。

<expression>の指定例を以下に示します。

<expression>は，一つの基本要素か，基本要素を二つ以上組み合わせたものを指定します。

基本要素は，<protocol> <direction> <type> <identification>の4種類の組み合わせで構成されます。

基本要素は，<identification>に<type>を前置したものや，さらにそれらに<direction>，<protocol>，<protocol> <direction>の修飾子を矛盾しないよう前置したものです。

以下に基本要素のパターンを示します。

基本要素のパターン：

<type> <identification>

<direction> <type> <identification>

<protocol> <type> <identification>

<protocol> <direction> <type> <identification>

<identification>

アドレスやポート番号などの名前または番号を示します。

例：10.10.10.10，serverA，23，telnet

<type>

この修飾子は<identification>が対象とするものの種類を示します。利用できる<type>は，host，net，portです。

例：host serverA，net 192.168，port 22

ほかの修飾子との組み合わせで，<type>修飾子を省略した場合は，hostが指示されているものとみなします。

例：src serverAはsrc host serverAを意味します。

<direction>

この修飾子は，<identification>から，または<identification>へ，あるいは両方の通信方向を特定します。

利用できる方向はsrc，dst，src or dst，src and dstです。

例：src serverA，dst net fe80::/64，src or dst port telnet

<direction>修飾子が指定されない場合はsrc or dstが指示されいているものとみなします。

例：port telnetは，src or dst port telnetを意味します。

<protocol>

この修飾子は，特定のプロトコルに制限する場合に指定します。

利用可能なプロトコルは，ip，ip6，tcp，udpです。

例：ip6 src fec0::1，ip net 192.168，tcp port 23

<protocol>修飾子が指定されない場合は，<type>と矛盾しない範囲の

すべてのプロトコルが指定されているものとみなします。

例：port 53はtcp port 53 or udp port 53を意味します。

基本要素の例

dst host <host>

パケットのIPv4/IPv6宛先が<host>であるとき真。

src host <host>

パケットのIPv4/IPv6送信元が<host>であるとき真。

host <host>

パケットの IPv4/IPv6宛先または送信元が<host>であるとき真。

上記の各hostを示す条件式の前に ip，ip6のどちらかを付与し，IPv4/IPv6を限定することもできます。

例：ip host <host>

例：ip6 src host <host>

dst net <network>/<length>

パケットのIPv4/IPv6宛先アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

src net <network>/<length>

パケットのIPv4/IPv6送信元アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

net <network>/<length>

パケットのIPv4/IPv6宛先アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

dst port <port>

パケットがip/tcpかip/udpかipv6/tcpかipv6/udpである場合で，宛先のポート番号が<port>であるときに真。

src port <port>

パケットがip/tcpかip/udpかipv6/tcpかipv6/udpである場合で，送信元のポート番号が<port>であるときに真。

port <port>

パケットがip/tcpかip/udpかipv6/tcpかipv6/udpである場合で，パケットの宛先か送信元portが<port>であるとき真。

上記の各<port>を指定する条件式の前に，tcp，udpのどちらかを付与し，tcp/udpを限定することもできます。

例：tcp src port <port>

そのほかに，基本要素として，<identification>などを指定しない次のようなものもあります。

ip proto <protocol number>

パケットが<protocol number>番号のプロトコルのIPv4パケットであるとき真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ip6 proto <protocol number>

パケットが<protocol number>番号のプロトコルのIPv6パケットであるとき真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ip multicast

パケットがIPv4マルチキャストであるとき真。

ip6 multicast

パケットがIPv6マルチキャストであるとき真。

ip，ip6，arp（どれかを指定）

パケットがip，ip6またはarpであるとき真。

tcp，udp，icmp，icmp6（どれかを指定）

パケットがtcp，udp，icmpまたはicmp6であるとき真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ip protochain <protocol number>

ip proto <protocol number>と同様ですが，プロトコルヘッダのチェインを追跡します。

ip6 protochain <protocol number>

ip6 proto <protocol number>と同様ですが，プロトコルヘッダのチェインを追跡します。

基本要素の組み合わせ

複雑なフィルタ条件式は，基本要素をand，or，notで組み合わせて表現します。

また，条件式をまとめる場合は，括弧 ( ) で囲んでください。

例：host server1 and not ( port ssh or port http )

　　host server1でかつport sshまたはport httpでないものとなります。

なお，明示的な修飾子は省略することもできます。

例：tcp dst port ftp or ssh or domainは

　　tcp dst port ftp or tcp dst port ssh or tcp dst port domainと同じ意味です。

<expression>指定例

host serverA

serverAとの通信パケットをモニタします。

tcp port telnet

telnet通信のパケットをモニタします。

not tcp port ssh

SSH通信以外のパケットをモニタします。

host serverA and tcp port bgp

serverAとのBGP4/BGP4＋通信（IPv4とIPv6）パケットをモニタします。

ip6 and host serverA and tcp port bgp

serverAとのBGP4＋通信（IPv6）パケットをモニタします。

ip and not net 192.168.1/24

ネットワーク192.168.1/24を宛先・送信元としないIPv4パケットをモニタします。

udp port 520 or 521

RIP/RIPng通信（IPv4/IPv6）パケットをモニタします。

ip6 proto 89

OSPFv3通信（IPv6）パケットをモニタします。

本パラメータ省略時の動作

受信パケットを選別しないですべてのパケットをダンプします。

［実行例1］

IPv4/IPv6パケットをモニタした場合

# show tcpdump interface vlan 10
Date 20XX/01/20 18:36:00 UTC
tcpdump: listening on VLAN0010
18:36:53.390062 ip6 56: v6hostA.example.com > v6.hostB.example.com: icmp6: echo request seq 20
18:36:54.220039 ip 84: hostA.example.com > hostB.example.com: 
      1            2                     3                    
icmp 64: echo request seq 43
          4
^C
4 packets received by filter      <--5
0 packets dropped by kernel       <--6

［実行例1の表示説明］

［実行例2］

ARPパケットをモニタした場合

# show tcpdump interface vlan 10
Date 20XX/01/20 16:07:00 UTC
tcpdump: listening on VLAN0010
16:07:29.683632 arp 46: arp who-has 100.100.100.1 tell 100.100.100.2
16:07:29.683758 arp 46: arp reply 100.100.100.1 is-at 0:12:e2:98:dc:1
      1            2                        3
^C
4 packets received by filter      <--4
0 packets dropped by kernel       <--5

［実行例2の表示説明］

［実行例3］

hostA.example.com（10.10.10.10）とv6hostA.example.com（fec0::1）からそれぞれ，本装置myhost.example.com（20.20.20.20），v6myhost.example.com（fec0::2）へのping（IPv4とIPv6）を行っているときに，パラメータを替えてtcpdumpを実行した場合

# show tcpdump interface vlan 10
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
20:23:10.113591 ip 84: hostA.example.com > myhost.example.com: icmp 64: echo request seq 20
20:23:10.113692 ip 84: myhost.example.com > hostA.example.com: icmp 64: echo reply seq 20
20:23:10.213696 ip6 56: v6hostA.example.com > v6myhost.example.com: icmp6: echo request seq 43
20:23:10.213765 ip6 56: v6myhost.example.com > v6hostA.example.com: icmp6: echo reply seq 43
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan 10 no-resolv
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
20:23:10.113591 ip 84: 10.10.10.10 > 20.20.20.20: icmp 64: echo request seq 20
20:23:10.113692 ip 84: 20.20.20.20 > 10.10.10.10: icmp 64: echo reply seq 20
20:23:10.213696 ip6 56: fec0::1 > fec0::2: icmp6: echo request seq 43
20:23:10.213765 ip6 56: fec0::2 > fec0::1: icmp6: echo reply seq 43
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan10 no-domain
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
20:23:10.113591 ip 84: hostA > myhost: icmp 64: echo request seq 20
20:23:10.113692 ip 84: myhost > hostA: icmp 64: echo reply seq 20
20:23:10.213696 ip6 56: v6hostA > v6myhost: icmp6: echo request seq 43
20:23:10.213765 ip6 56: v6myhost > v6hostA: icmp6: echo reply seq 43
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan 10 ip6
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
20:23:10.213696 ip6 56: v6hostA > v6myhost: icmp6: echo request seq 43
20:23:10.213765 ip6 56: v6myhost > v6hostA: icmp6: echo reply seq 43
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan 10 count 3
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
20:23:10.113591 ip 84: hostA.example.com > myhost.example.com: icmp 64: echo request seq 20
20:23:10.113692 ip 84: myhost.example.com > hostA.example.com: icmp 64: echo reply seq 20
20:23:10.213696 ip6 56: v6hostA.example.com > v6myhost.example.com: icmp6: echo request seq 43
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan 10 no-time
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
ip 84: hostA.example.com > myhost.example.com: icmp 64: echo request seq 20
ip 84: myhost.example.com > hostA.example.com: icmp 64: echo reply seq 20
ip6 56: v6hostA.example.com > v6myhost.example.com: icmp6: echo request seq 43
ip6 56: v6myhost.example.com > v6hostA.example.com: icmp6: echo reply seq 43
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump interface vlan 10 writefile mydump
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on VLAN0010
^C
4 packets received by filter
0 packets dropped by kernel

# show tcpdump readfile mydump
Date 20XX/01/20 20:23:00 UTC
reading from file mydump, link-type NULL (BSD loopback)
20:23:10.113591 ip 84: hostA.example.com > myhost.example.com: icmp 64: echo request seq 20
20:23:10.113692 ip 84: myhost.example.com > hostA.example.com: icmp 64: echo reply seq 20
20:23:10.213696 ip6 56: v6hostA.example.com > v6myhost.example.com: icmp6: echo request seq 43
20:23:10.213765 ip6 56: v6myhost.example.com > v6hostA.example.com: icmp6: echo reply seq 43

# show tcpdump readfile mydump icmp
Date 20XX/01/20 20:23:00 UTC
reading from file mydump, link-type NULL (BSD loopback)
20:23:10.113591 ip 84: hostA.example.com > myhost.example.com: icmp 64: echo request seq 20
20:23:10.113692 ip 84: myhost.example.com > hostA.example.com: icmp 64: echo reply seq 20

［実行例3の表示説明］

なし

［通信への影響］

なし

［応答メッセージ］

［注意事項］

1. 本コマンドでは，本装置宛・本装置発の，主にルーティングプロトコルなどのソフトウェア処理パケットをモニタできます。

2. 本装置宛・本装置発ではないパケット（IPv4/IPv6転送パケットや，MPLS転送パケット，マルチキャスト転送パケット，トンネル処理パケットなど）はモニタできません。なお，本装置宛・本装置発パケットでも，フィルタリングされたパケットや，ソフトウェア処理されないパケット（PPPなどの各種レイヤ2パケットなど）はモニタできません。

3. 本コマンドでモニタできるのは，パケットのレイヤ3部分からとなります。ethernetヘッダなどのレイヤ2部分はモニタできません。レイヤ2部分は，指定されたvlan <vlan id>の種別によらず，データリンクタイプnull/loopbackのヘッダに置換されます。

4. null/loopbackヘッダ部分の情報には，アドレスファミリ（ip/ip6/arp）が表示されます。

5. null/loopbackヘッダ長は4バイトです。<snaplen>設定を4バイトより小さくした場合，[|null]と表示されます。

6. no-resolvパラメータを指定しない場合，コンフィグレーションのdns-resolver設定に問題があると，モニタ状況の表示に時間がかかります。

7. トラフィック量の多いときは，モニタしきれずパケットを取りこぼすことがあります（終了後にpackets dropped by kernelがカウント表示されます）。その場合は，<expression>指定を行い，必要なパケットだけをモニタするようにしてください。