show tcpdump (tcpdump)

［入力形式］

＜インタフェースのパケットモニタリング＞

show tcpdump interface <interface type> <interface number> [addinfo] [{no-resolv | no-domain}] [abs-seq] [no-time] [{brief | detail | extensive | debug}] [{hex | hex-ascii}] [ether-header] [count <count>] [snaplen <snaplen>] [writefile <file name>] [{<expression> | <filter protocol>}]

＜ポートおよびチャネルグループのパケットモニタリング＞

show tcpdump port {<port type> <port number> | all} [addinfo] [{no-resolv | no-domain}] [abs-seq] [no-time] [{brief | detail | extensive | debug}] [{hex | hex-ascii}] [ether-header] [count <count>] [snaplen <snaplen>] [writefile <file name>] [{<expression> | <filter protocol>}]

＜パケットモニタリングファイルの表示＞

show tcpdump readfile <file name> [{no-resolv | no-domain}] [abs-seq] [no-time] [{brief | detail | extensive | debug}] [{hex | hex-ascii}] [ether-header] [count <count>] [writefile <file name>] [{<expression> | <filter protocol>}]

注　show tcpdumpはtcpdumpとしても入力できます。tcpdumpとして入力する場合，次のパラメータで入力します。

tcpdump -i <interface type> <interface number> [-o] [{-n | -N}] [-S] [-t] [-q] [-v[v[v]]] [{-x | -X}] [-e] [-c <count>] [-s <snaplen>] [-w <file name>] [{<expression> | <filter protocol>}]
tcpdump -P {<port type> <port number> | all} [-o] [{-n | -N}] [-S] [-t] [-q] [-v[v[v]]] [{-x | -X}] [-e] [-c <count>] [-s <snaplen>] [-w <file name>] [{<expression> | <filter protocol>}]
tcpdump -r <file name> [{-n | -N}] [-S] [-t] [-q] [-v[v[v]]] [{-x | -X}] [-e] [-c <count>] [-w <file name>] [{<expression> | <filter protocol>}]

［入力モード］

一般ユーザモードおよび装置管理者モード

［パラメータ］

interface <interface type> <interface number> (-i <interface type> <interface number>)

該当インタフェースをモニタします。レイヤ3パケットをモニタするときに指定してください。モニタしたフレームがTaggedフレームの場合は，VLAN Tagを解析せず，表示しません。<expression>パラメータ指定時にVLAN Tagの考慮は不要です。

<interface type> <interface number>には，次に示すインタフェース種別グループに対応するインタフェース名およびインタフェース番号を指定できます。詳細は，「パラメータに指定できる値」の「■インタフェースの指定方法」を参照してください。

• イーサネットインタフェース

• イーサネットサブインタフェース

• ポートチャネルインタフェース

• ポートチャネルサブインタフェース

• VLANインタフェース

• ループバックインタフェース

• マネージメントポート

• AUXポート

port {<port type> <port number> | all} (-P {<port type> <port number> | all})

ポートおよびチャネルグループをモニタします。レイヤ2フレームをモニタするときに指定してください。モニタした受信フレームがTaggedフレームの場合は，VLAN Tagを解析して表示します。

<port type> <port number>

該当ポートおよび該当チャネルグループをモニタします。

<port type> <port number>には，次の値を指定できます。

• gigabitethernet <nif no.>/<port no.>

• tengigabitethernet <nif no.>/<port no.>

• fortygigabitethernet <nif no.>/<port no.>

• hundredgigabitethernet <nif no.>/<port no.>

• port-channel <channel group number>

<nif no.>/<port no.>および<channel group number>に指定できる値の範囲については，「パラメータに指定できる値」を参照してください。

all

すべてのインタフェースおよびすべてのポートをモニタします。

readfile <file name> (-r <file name>)

パケットを（writefileオプションで作成した）<file name>から読み込みます。

addinfo (-o)

ポート番号およびVRF IDを表示します。

本パラメータ省略時の動作

ポート番号およびVRF IDを表示しません。

{no-resolv | no-domain}

no-resolv (-n)

アドレス（ホストアドレス，ポート番号など）を名前に変換しません。

no-domain (-N)

ホストのドメイン名を表示しません。例えば，server.example.comと表示する代わりにserverと表示します。

本パラメータ省略時の動作

アドレス（ホストアドレス，ポート番号など）を名前に変換します。また，ホストアドレスはドメイン名まで表示します。

abs-seq (-S)

TCPシーケンス番号を相対値ではなく，絶対値で表示します。

本パラメータ省略時の動作

TCPシーケンス番号を相対値で表示します。

no-time (-t)

各ダンプ行に時間情報を表示しません。

本パラメータ省略時の動作

各ダンプ行に時間情報を表示します。

{brief | detail | extensive | debug}

brief (-q)

TCPやUDPなどのプロトコル情報の表示を一部省略して，通常より簡素な表示にします。

detail (-v)

通常より少し詳細に表示します。

例えば，IPパケットでのtime to live，identification，total lengthやoptionsの情報を表示します。さらに，IPやICMPヘッダのchecksumを確認するようなパケットの完全性チェックも追加されます。

extensive (-vv)

detailよりさらに詳細に表示します。

例えば，LACPDUフレームを16進で表示します。

debug (-vvv)

最も詳細に表示します。

例えば，hex-asciiパラメータと同時に指定したときに，telnetプロトコルのサブオプションを別表示します。

本パラメータ省略時の動作

簡素表示または詳細表示をしないで，通常表示をします。

{hex | hex-ascii}

hex (-x)

リンクレイヤを除いて，各パケットを16進で表示します。

hex-ascii (-X)

16進表示されるときに，ASCII文字も表示します。

本パラメータ省略時の動作

16進表示およびASCII文字の表示をしないで，各ダンプ行の解析結果だけを表示します。

ether-header (-e)

各ダンプ行にethernetヘッダを表示します。interfaceパラメータにループバックインタフェースまたはAUXポートを指定した場合は，フレームにethernetヘッダが存在しないため表示されません。

本パラメータ省略時の動作

各ダンプ行にethernetヘッダを表示しません。

count <count> (-c <count>)

<count>個のパケットを受信したあとに終了します。指定できる値は1〜2147483647です。

本パラメータ省略時の動作

［Ctrl＋C］で終了します。

snaplen <snaplen> (-s <snaplen>)

各パケットの先頭から<snaplen>バイトをダンプに表示します。指定できる値は0〜65535です。この値は，解析に必要な情報が得られる最小限とすることで，パケットの取りこぼしを抑止できます。

<snaplen>制限で後ろが切り捨てられたパケットは，出力時に"[|<proto>]"形式で示されます（<proto>は切り捨ての生じたレベルに対応するプロトコルの名前です）。

<snaplen>に0を指定すると，65535バイトをダンプに表示します。

本パラメータ省略時の動作

各パケットの先頭から65535バイトをダンプに表示します。

writefile <file name> (-w <file name>)

パケットを解析，表示する代わりにモニタした情報を<file name>に書き出します。

この<file name>は，あとでreadfile <file name>オプションを使用して表示できます。

本パラメータ省略時の動作

各ダンプの解析結果を画面に表示します。

{<expression> | <filter protocol>}

<expression>

ダンプするパケットの種類を選択します。<expression>を指定した場合は，<expression>が"true"（真）となるパケットだけをモニタします。

本装置が大量のパケットを送受信しているときは，本パラメータを指定して，必要なパケットだけをモニタしてください。

<expression>の指定は「<expression>の指定方法」を確認してください。

<filter protocol>

VLAN Tagの有無に関係なく指定したパケットをモニタします。

• IP，IP6，ARP，TCP，UDP，ICMP，ICMP6，IGMP，PIM，VRRP（どれかを指定）

  プロトコルがIPv4，IPv6，ARP，TCP，UDP，ICMP，ICMP6，IGMP，PIMまたはVRRPのとき，VLAN Tagの有無に関係なくモニタします。

• SLOW，STP，CFM，LLDP，AXRP，L2LD（どれかを指定）

  プロトコルがSLOW，STP，CFM，LLDP，AXRPまたはL2LDのとき，VLAN Tagの有無に関係なくモニタします。

本パラメータ省略時の動作

受信パケットを選別しないですべてのパケットをダンプします。

<expression>の指定方法

<expression>は，一つの基本要素か，基本要素を二つ以上組み合わせたものを指定します。

基本要素は，<protocol> <direction> <type> <identification>の4種類の組み合わせで構成されます。

基本要素は，<identification>に<type>を前置したものや，さらにそれらに<direction>，<protocol>，<protocol> <direction>の修飾子を矛盾しないよう前置したものです。

以下に基本要素のパターンを示します。

基本要素のパターン：

<type> <identification>

<direction> <type> <identification>

<protocol> <type> <identification>

<protocol> <direction> <type> <identification>

<identification>

アドレスやポート番号などの名前または番号を示します。

例：192.0.2.1，serverA，23，telnet

<type>

この修飾子は<identification>が対象とするものの種類を示します。利用できる<type>は，host，net，portです。

例：host serverA，net 192.0，port 22

ほかの修飾子との組み合わせで，<type>修飾子を省略した場合は，hostが指示されているものと見なします。

例：src serverAはsrc host serverAを意味します。

<direction>

この修飾子は，<identification>から，もしくは<identification>へ，または両方の通信方向を特定します。

利用できる方向はsrc，dst，src or dst，src and dstです。

例：src serverA，dst net 2001:db8::/32，src or dst port telnet

<direction>修飾子が指定されない場合はsrc or dstが指示されているものと見なします。

例：port telnetは，src or dst port telnetを意味します。

<protocol>

この修飾子は，特定のプロトコルに制限する場合に指定します。

利用可能なプロトコルは，ether，ip，ip6，tcp，udpです。

例：ip6 src 2001:db8::1，ip net 192.0，tcp port 23

<protocol>修飾子が指定されない場合は，<type>と矛盾しない範囲の

すべてのプロトコルが指定されているものと見なします。

例：port 53はtcp port 53 or udp port 53を意味します。

基本要素の例

dst host <host>

パケットのIPv4/IPv6宛先が<host>のときに真。

src host <host>

パケットのIPv4/IPv6送信元が<host>のときに真。

host <host>

パケットの IPv4/IPv6宛先または送信元が<host>のときに真。

上記の各hostを示す条件式の前に ip，ip6のどちらかを付与してIPv4/IPv6を限定できます。

例：ip host <host>

例：ip6 src host <host>

ether dst <ehost>

フレームの宛先MACアドレスが<ehost>のときに真。

ether src <ehost>

フレームの送信元MACアドレスが<ehost>のときに真。

ether host <ehost>

フレームの宛先MACアドレスまたは送信元MACアドレスが<ehost>のときに真。

dst net <network>/<length>

パケットのIPv4/IPv6宛先アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

src net <network>/<length>

パケットのIPv4/IPv6送信元アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

net <network>/<length>

パケットのIPv4/IPv6宛先アドレスが，指定した<length>ビットnetmaskの<network>ネットワークに含まれているときに真。

dst port <port>

パケットがIPv4/TCP，IPv4/UDP，IPv6/TCPまたはIPv6/UDPで，宛先のポート番号が<port>のときに真。

src port <port>

パケットがIPv4/TCP，IPv4/UDP，IPv6/TCPまたはIPv6/UDPで，送信元のポート番号が<port>のときに真。

port <port>

パケットがIPv4/TCP，IPv4/UDP，IPv6/TCPまたはIPv6/UDPで，パケットの宛先または送信元ポート番号が<port>のときに真。

上記の各<port>を指定する条件式の前に，tcp，udpのどちらかを付与してTCP/UDPを限定できます。

例：tcp src port <port>

そのほかに，基本要素として，<identification>などを指定しない次のようなものもあります。

ip proto <protocol number>

パケットが<protocol number>番号のプロトコルのIPv4パケットのときに真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ip6 proto <protocol number>

パケットが<protocol number>番号のプロトコルのIPv6パケットのときに真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ether proto <protocol>

フレームが<protocol>型のときに真。<protocol>には，番号，slow，cfm，lldp，axrpまたはl2ldが指定できます。

ip multicast

パケットがIPv4マルチキャストのときに真。

ip6 multicast

パケットがIPv6マルチキャストのときに真。

ether multicast

フレームがマルチキャストのときに真。

ip broadcast

パケットがIPv4ブロードキャストのときに真。portパラメータおよびreadfileパラメータ指定時は，パケットのIPv4宛先が255.255.255.255または0.0.0.0のときに真。

ether broadcast

フレームがブロードキャストのときに真。

ip，ip6，arp，stp（どれかを指定）

パケットがIPv4，IPv6，ARPまたはSTPのときに真。

tcp，udp，icmp，icmp6，igmp，pim，vrrp（どれかを指定）

パケットがTCP，UDP，ICMP，ICMP6，IGMP，PIMまたはVRRPのときに真。

ただし，プロトコルヘッダがチェインしている場合は追跡しません。

ip protochain <protocol number>

ip proto <protocol number>と同様ですが，プロトコルヘッダのチェインを追跡します。

ip6 protochain <protocol number>

ip6 proto <protocol number>と同様ですが，プロトコルヘッダのチェインを追跡します。

vlan [<vlan id>]

VLAN IDが<vlan id>のTaggedフレームのときに真。<vlan id>省略時は，VLAN IDに関係なくTaggedフレームのときに真。

なお，vlan [<vlan id>]以降の<expression>パラメータは，Taggedフレームに対するフィルタ条件と見なします。

基本要素の組み合わせ

複雑なフィルタ条件式は，基本要素をand，or，notで組み合わせて表現します。

また，条件式をまとめる場合は，丸括弧 ( ) で囲んでください。

例：host server1 and not ( port ssh or port http )

　　host server1でかつport sshまたはport httpでないものとなります。

なお，明示的な修飾子は省略することもできます。

例：tcp dst port ftp or ssh or domainは

　　tcp dst port ftp or tcp dst port ssh or tcp dst port domainと同じ意味です。

VLAN Tagの有無に関係なくパケットをモニタする場合は，次のように指定します。

<filter condition> or (vlan and <filter condition>)

　VLAN Tagの有無に関係なく<filter condition>が真となるパケットをモニタします。<filter condition>はvlanおよびnotを含まない任意のフィルタ条件式です。<filter condition>にvlanやnotを含む場合は正常に取得できません。

なお，単一のプロトコルをVLAN Tagの有無に関係なくモニタする場合は，<filter protocol>パラメータを使用すると簡単に指定できます。

<expression>指定例

host serverA

serverAとの通信パケットをモニタします。

tcp port telnet

telnet通信のパケットをモニタします。

not tcp port ssh

SSH通信以外のパケットをモニタします。

host serverA and tcp port bgp

serverAとのBGP4/BGP4+（IPv4とIPv6）パケットをモニタします。

ip6 and host serverA and tcp port bgp

serverAとのBGP4+（IPv6）パケットをモニタします。

ip and not net 192.0.2/24

ネットワーク192.0.2/24を宛先・送信元としないIPv4パケットをモニタします。

udp port 520 or 521

RIP/RIPng（IPv4/IPv6）パケットをモニタします。

ip6 proto 89

OSPFv3（IPv6）パケットをモニタします。

ether host 0012.e211.2233

宛先MACアドレスまたは送信元MACアドレスが0012.e211.2233のフレームをモニタします。

ether proto cfm

CFM PDUをモニタします。

( ip proto 89 ) or ( vlan and ( ip proto 89 ))

OSPFパケットをVLAN Tagの有無に関係なくモニタします。

［実行例］

> show tcpdump interface gigabitethernet 1/1 addinfo ether-header
Date 20XX/01/20 18:36:00 UTC
tcpdump: listening on Eth1/1
21:03:07.502943 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype IPv4 (0x0800), length 98: hostA.example.com > hostB.example.com: ICMP echo request, id 28488, seq 6, length 64   <-1
21:03:08.101264 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype IPv6 (0x86dd), length 98: v6hostA.example.com > v6.hostB.example.com: ICMP6, echo request, seq 1, length 64   <-2
21:40:00.175692 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype ARP (0x0806), length 60: Request who-has 192.0.2.1 tell 192.0.2.2, length 46   <-3
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel
>

1. IPv4パケット

2. IPv6パケット

3. ARPパケット

> show tcpdump port gigabitethernet 1/1 addinfo ether-header
Date 20XX/01/20 18:36:00 UTC
tcpdump: listening on geth1/1
21:03:07.502943 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype 802.1Q (0x8100), length 102: vlan 10, p 0, ethertype IPv4, hostA.example.com > hostB.example.com: ICMP echo request, id 28488, seq 6, length 64   <-1
21:03:08.101264 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype 802.1Q (0x8100), length 102: vlan 10, p 0, ethertype IPv6, v6hostA.example.com > v6.hostB.example.com: ICMP6, echo request, seq 1, length 64   <-2
21:40:00.175692 [Port:1/1 VRF:10] 00:12:e2:01:23:45 > 00:12:e2:11:22:33, ethertype 802.1Q (0x8100), length 102: vlan 10, p 0, ethertype ARP, Request who-has 192.0.2.1 tell 192.0.2.2, length 46   <-3
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel
>

1. IPv4パケット

2. IPv6パケット

3. ARPパケット

> show tcpdump interface gigabitethernet 1/1 writefile mydump
Date 20XX/01/20 20:23:00 UTC
tcpdump: listening on Eth1/1
^C
4 packets captured
4 packets received by filter
0 packets dropped by kernel
>

> show tcpdump readfile mydump
Date 20XX/01/20 20:23:00 UTC
reading from file mydump, link-type EN10MB (Ethernet)
21:03:07.502943 IP hostA.example.com > hostB.example.com: ICMP echo request, id 28488, seq 6, length 64   <-1
21:03:08.101264 IP6 v6hostA.example.com > v6.hostB.example.com: ICMP6, echo request, seq 1, length 64   <-2
21:40:00.175692 ARP, Request who-has 192.0.2.1 tell 192.0.2.2, length 46   <-3
>

1. IPv4パケット

2. IPv6パケット

3. ARPパケット

［表示説明］

［通信への影響］

なし

［応答メッセージ］

［注意事項］

1. ループバックインタフェースを指定した場合，null/loopbackヘッダ部分の情報には，アドレスファミリ（IP/IP6/ARP）が表示されます。

2. null/loopbackヘッダ長は4バイトです。<snaplen>設定を4バイトより小さくした場合，[|null]と表示されます。

3. no-resolvパラメータを指定しない場合，DNSリゾルバ設定に問題があると，モニタ状況の表示に時間が掛かります。

4. トラフィック量が多いときは，モニタしきれないでパケットを取りこぼすことがあります（終了後にpackets dropped by kernelがカウント表示されます）。その場合は<expression>を設定して，必要なパケットだけをモニタしてください。

5. addinfoパラメータ指定時，一部のパケットのポート番号が表示されません。その場合はハイフン（-）が表示されます。

6. writefile <file name> (-w <file name>)パラメータを指定してファイルを取得したときと，readfile <file name> (-r <file name>)パラメータを指定してファイルを読み込ませたときで，コンフィグレーションコマンドdot1q ethertypeまたはdot1q-ethertypeの設定が異なると，Taggedフレームと認識できないでパケットの表示が16進表示になることがあります。

7. 動作中のリングで送受信するRing Protocol制御フレームは，BCU-CPUで送受信しないため，本コマンドを実行してもモニタ結果には表示されません。動作中のリングで使用するRing Protocol制御フレームの送受信状況を確認する場合は，show axrpコマンドを実行してください。