By a demand from user, SapporoWorks evolves.
| トップページ | | | ソフトウエア | | | シェアウエア登録 | | | セキュリティ情報 | | | 開発情報 | | | ドキュメント | | |
|
| Welcome to SapporoWorks! We create stimulating network programs.
By a demand from user, SapporoWorks evolves. | ||||||||||||
| |||||||||||||
| ドキュメント > ネットワークスニッファVIGILで学ぶ TCP/IP+Ethernet ネットワーク管理講座 > 第３回 | |||||||||||||
|
--- 出典（ネットワークマガジン）７月号より --- ネットワークスニファVIGILで学ぶ TCP/IP + Ethernet ネットワーク管理講座 前回はデフォルトルーティング及びネットマスクの検出などについて学習した。今回は、「ネットワーク資源の使用状況確認」「端末の接続状況の確認」「ネットワーク内のルータの検出」について、作者の古谷誠進氏がVIGILでの実装方法を交えながら解説する。 文○古谷誠進 (furuya@sapporoworks.ne.jp) 短期集中連載 第３回
●●●●ネットワーク資源の利用状況確認 企業内のＰＣの普及やネットワーク化が急速に進行したため、現在では従業員が一人１台のコンピュータを利用できる環境も珍しくありません。しかし、ＰＣやネットワークに関する考え方や習熟度に差があるために、ユーザーのモラルにはかなりの格差があるのも事実です。仕事に使うために整備されたインフラが、ほとんど私的にしか使われていない実態もあるようです。 一般に、ネットワークを流れるデータを見ることができません。そのため、ユーザーは会社の設備を無駄使いしているという感覚は持っていないのが普通でしょう。しかし、監視されていないからといってネットワークを私的に利用することは、単なる資源の無駄使い以上にもっと危険性の高い問題の原因になります。 たとえば、社内外の連絡に電子メールを使えば仕事の効率は高まります。現在、電子メールは企業活動にとって必要不可欠のものといっていいでしょう。しかし、個人のＰＣから簡単にメッセージを送信できてしまうため、とても外部には漏れないような情報でも簡単に漏れてしまいます。勤務先のメールアドレスでメーリングリストに投稿したら、口げんかになってしまうトラブルもあるでしょう。Ｗｅｂの掲示板に勤務先の機密情報を書きこんでしまう人もいるようです。 いずれにしても、このようなネットワークの使用方法は、企業のイメージダウンにもなりかねません。本来は、ユーザのモラルに任されるべき話ですが、ネットワークを自由に利用できる環境が、一部のユーザによるモラルのない行動を生み出しているのも事実です。実際には、それぞれのネットワークのポリシーの問題になりますが、私的利用や問題ある行為を禁止したり制限したりするには、ネットワークを流れるデータをしっかりと監視することがもっとも有効な手段であることは間違いありません。実際には監視しなくても、「ネットワークの利用状況をすべて監視しています」というアナウンスだけでも、かなりの効果があります。 前置きが長くなりましたが、VIGILを使えばネットワークの利用状況を監視できます。VIGILは、アプリケーション層のプロトコルのうち、ＨＴＴＰ、ＳＭＴＰ、ＰＯＰ３、ＵＤＰを利用しているＬＡＮ内向けのインターネットメッセージングである「ＩＰ Ｍｅｓｓｅｎｇｅｒ」などのプロトコルやアプリケーションに対応しています。これらのプロトコルであれば、トラフィックデータからパケットを再構築し、、デコード処理することで、実際にユーザがやりとりしているデータを監視できます。 なお、ＨＴＴＰ、ＳＭＴＰ、ＰＯＰ３は標準のポート番号ではなく、そのプロトコルの内容で検出しています。たとえば、ＷＷＷの標準ポート番号である８０／ＴＣＰ以外のポートを使ってＨＴＴＰのプロキシ（トンネル）接続をしていても、通信の内容を見ているのでＨＴＴＰとして検出できるわけです。 ただし、ＨＴＴＰでは、ブラウザが要求したデータは必ずしもネットワーク経由で取得されるわけではありません。すでにＷｅｂブラウザ側にキャッシュがあると、Ｗｅｂブラウザはキャッシュ内容が更新されたかどうかを確認するためにＨＴＴＰヘッダに「If-Modified-Since」フィールドをつけてＨＴＴＰリクエストを発行します。このときデータが更新されていない場合はＷｅｂサーバから「304 Not Modified」の応答があり、データはローカルで処理されます。ネットワークのトラフィックを抑えるためにこのようなキャッシュの仕組みがあるわけですが、VIGILを使ってもローカルで完結する処理までは監視できません。ＳＭＴＰやＰＯＰ３にはキャッシュの仕組みがありませんので、プロトコルどおりであればVIGILで検出できます。 電子メールについては、現在、ＭＩＭＥに完全対応していないため、マルチパート（添付ファイル）やＨＴＭＬメールは正しく表示できません。
●●●●端末の接続状況確認 最近のインテリジェントなスイッチングハブやルータでは、登録されたＭＡＣアドレス以外の通信を遮断できる製品もあります。しかし、低価格な製品の場合、単に空いているポートにケーブルを差し込むだけで通信できてしまいます。 便利だからといって、勤務先のネットワークに個人のＰＣを接続したり、管理者の知らないＰＣを接続できることは、セキュリティ対策上、大きなリスクになります。大げさに思えるかもしれませんが、官公庁や国際競争の激しい企業分野であれば、いつの間にかサーバルームに盗聴装置が仕掛けられていることもあり、あり得ない話とはいえません。 また、無線ＬＡＮを使ってネットワークを拡張する事例が増えているようですが、無線ＬＡＮにも特有のセキュリティ対策が必要です。アクセスポイントの設定がいい加減だと、見ず知らずの人間が簡単にネットワークに参加できてしまうのです。無線ＬＡＮでは、アクセス制御や暗号化の設定が特に重要な作業ですが、市販されている製品では家庭での利用を考慮して、デフォルトではアクセス制御や暗号化が設定されていないものが多いようです。「つながったのでＯＫ」というような使い方は、家庭のネットワークですら危険な使い方です。 以上のリスクはいつ発生するが予測できません。そこで、ネットワーク管理者は、許可されない端末がネットワークを利用していないかどうか、つねに監視している必要があるわけです。VIGILを使えば、ＴＣＰ／ＩＰのレベルでネットワークを利用している端末を確認できます。 ＴＣＰ／ＩＰのすべてのパケットには、送信元のＩＰアドレスが含まれていますので、そのＩＰアドレスを見ればどの端末がネットワークを利用しているか確認できます。VIGILは１つのＩＰアドレスごとに１つの端末が存在すると仮定して、ネットワーク内の端末をリスト化します。したがって、１回でもＩＰを使って通信した端末は、すべてリストに表示されます。ネットワークで他のＰＣと通信していなくても、たとえそのネットワークで無効なＩＰアドレスでも構いません。間違った設定や、無効な設定をしていても、パケットを検出したものはすべて表示されます。 なお、ホスト名の表示は、列挙されたＩＰアドレスに対する、ＤＮＳのＰＴＲ検索（５３/ＵＤＰ）に対する応答パケットやWindowsのＮＢＮＳ（１３７／ＵＤＰ）の名前解決応答パケットから抽出して表示しています。そのため、これらのパケットを検出していない状態ではＩＰアドレスのみの表示になります。
●●●●ネットワーク内のルータの検出 セキュリティの対策として、営業系、人事系などのように業務別にルータやレイヤ３スイッチでパケットのやり取りを制限することがあります。ネットワークの設計としては非常に有効な手段なのですが、セキュリティ対策はユーザの利便性と引き替えになります。 ユーザにとってはネットワークが直接つながっている方が便利なので、せっかくのセキュリティ対策を無視して、無断でつながれてしまうことがあるのです。特に最近では、一般のPC誌でもネットワーク構築について解説していますので、管理者以外のユーザが「現場の判断」でつないでしまうわけです。また、勝手にＲＡＳサーバやＶＰＮサーバを構築して、社内に自宅から接続できる環境を作ってしまう「ネットワーク通」のユーザもいます。 しかし、勝手にネットワークの構成が変更されてしまっていた場合、トラブル発生時の対処やセキュリティ対策として問題であることは明白です。ネットワーク管理者は、ネットワークの構成を常に把握し、変更されていないかどうかを監視することが重要です。 VIGIL では、パケットが経由したルータを検出し、その構成を表示できます。 
ＴＣＰ／ＩＰの通信では、送信元と送信先の指定にEthernetではＭＡＣアドレス、ＩＰではＩＰアドレスが使われます。同じネットワーク内での通信ではＭＡＣアドレスだけで送信元から宛先にデータが届きます。一方、ネットワークが異なる場合はＩＰアドレスを使ってルータに中継してもらうわけですが、送信元からルータまでの経路と、ルータから宛先までの経路では、やはりＭＡＣアドレスを使った通信になっています。 ルータが異なるネットワークで間の通信を中継するときの働きをもう少し詳しく見てみましょう。まず、ＴＣＰ／ＩＰの通信では、ルータを経由しようがしまいが、送信元と宛先のＩＰアドレスは変わりません。ルータは受信したEthernetのＭＡＣアドレスについて、送信元を自分のＭＡＣアドレス、宛先を本来の宛先のＭＡＣアドレス（＝宛先ＩＰアドレスの端末に割り当てられたＭＡＣアドレス）に書き換えています。さらに別のルータに転送を依頼するときも、ＩＰアドレスには手をつけず、送信元と宛先のＭＡＣアドレスだけを書き換えます。 この原理を利用すると、あるＭＡＣアドレスを持つ端末がルータなのかどうか判別できます。ルータ以外の端末は、宛先ＩＰアドレスとＭＡＣアドレスはつねに一致します。一方、ルータは他のネットワークに所属するためにＭＡＣアドレスだけでは届けられない宛先に届けるのが仕事ですから、宛先ＩＰアドレスとＭＡＣアドレスが一致しない場合があります。 たとえば、「AA:AA:AA:AA:00:00:01」というＭＡＣアドレスの端末に送信されるブロードキャストでないＩＰパケットがつねに「10.11.12.13」であれば、その端末はルータではありません。逆に「BB:BB:BB:00:00:01」というＭＡＣアドレスの端末に「20.21.22.23」や「30.31.32.33」など、異なるＩＰアドレスのパケットが送信されていれば、その端末はルータだと判断できます。 しかし、この段階ではルータ自身のＩＰアドレスが何なのかがまだ分かりません。もちろん、ＩＰアドレスとＭＡＣアドレスの関係を調べるにはＡＲＰを使えばよいのですが、ネットワークスニッファはネットワークのトラフィックを傍受するためのソフトなので、自分自身で何かのパケットを送信するわけにはいきません。そこで、他の端末が送信したＡＲＰパケットを検出して調べるというテクニックを使うことになります。 ＡＲＰパケットは、問い合わせ時も応答時も同じメッセージ形式が使われます。ＡＲＰメッセージの中にはＩＰアドレスとＭＡＣアドレスの対応が入っています。したがって、ＡＲＰパケットを送信したのがルータでも、ルータ以外の端末でも、ＡＲＰパケットを検出できればＩＰアドレスとＭＡＣアドレスの対応を取得できるわけです。あとは、ルータかどうかを判断したい端末に関するＡＲＰパケットが流れてくるまで待っていればよいことになります。 
ところが、実際のネットワークでは、ルータのＭＡＣアドレスを問い合わせているわけではないのに、ルータが、自身のＭＡＣアドレスを応答することがあります。これは、ＡＲＰプロキシによるものです。ＡＲＰプロキシが機能しているルータがあると、ＡＲＰの応答パケットは必ずしもＩＰアドレスとＭＡＣアドレスの正しい組み合わせになっているとはいえません。そこで、ＡＲＰ問い合わせパケットだけを使ってルータを検出する仕組みになっています。 VIGIL では、ルータとなっている端末のアドレスが分かるまでの間、トラフィックに現れるＩＰアドレスの端末は、すべて同じネットワーク上に存在すると仮定して、一覧ウインドウに表示します。その後、ルータのＭＡＣアドレスに関するＡＲＰ問い合わせパケットを検出すると、外部ネットワークにあると判断された端末をルータの階層下に移動します。 なお、Windows のＰＣでネットワークカードを２枚差して、別々のネットワークに所属している場合（マルチホーム）、からりの頻度で一方のネットワーク宛てのパケットがもう一方に送出されることがあります。（ＩＰフォワーディングがオンの場合など）。 この場合、ＭＡＣアドレスが同じなのにＩＰアドレスは違うパケットになるため、VIGILはルータだと判断します。誤動作ともいえますが、ユーザがそのＰＣを使って勝手に外部のネットワークに接続していることを検出したいときに使える現象です。
HTTP HyperText TransferProtocol WWWでデータを送受信するためのプロトコル SMTP Simple Mail Transfer Protocol 電子メールを送受信し、サーバ間を中継させて、宛先のメールボックスに配信するためのプロトコル POP3 Post Office Protocol version 3 電子メールの受信用プロトコル UDP User Datagram Protocol IPによる通信をアプリケーションから使えるようにしただけのプロトコル。 パケットが相手に確実に届く保証はないが、DNSのように小さなデータを扱うときに向いている。 IP Messenger TCP/IPを使用した、LAN用のメッセージ送受信ソフト。 http://www.asahi-net.or.jp/~VZ4H-SRUZ/ipmsg.html If-Modified-Since HTTPヘッダフィールドの一つ。Webブラウザのローカルキャッシュが最新かどうかを確認するために使う。 304 Not Modified 「If-Modified-Since」など、更新の問い合わせに対して、更新されていないことを示すHTTPの応答 MIME Multipurpose Internet Mail Extensions 英文しか扱えなかった電子メールの仕様を拡張することで、日本語や画像の送受信を可能にするためにプロトコル。 HTMLメール 本文がHTML形式の電子メール。 RFC2557として標準化提案されている。 MACアドレス Media Access Control Address Ethernetで使われる物理アドレス。１６進数、６桁の数値で、上３桁はベンダー固有のＩＤ。 PTR検索 PTRはPonterの略。DNSのPTRレコードにIPアドレスに対応するFQDNを登録することで逆引き検索ができる。 NBNS NetBIOS Name Servise WINSのRFC名。Windowsネットワークで使われるNetBIOSのコンピュータ名とIPアドレスの対応を管理する。 hostsファイル IPアドレスとホスト名の対応を記録したファイルのこと。ＤＮＳ以前にIPアドレスとホスト名対応を管理するために使われていた。 Windows2000の場合、C:\Winnt\System32\Drivers\Etc\hosts に保存する。 RAS Remote Access Servise ダイアルアップ接続。またはWindowsでダイアルアップ接続を管理するOSの機能のこと。 VPN Virtual Private Network 仮想プライベートネットワーク。インターネットなど共有ネットワークを使って、専用線やリモートアクセスなどのプライベートネットワークを実現するための技術。 ARP Adress Resolution Protocol IPアドレスに対応するMACアドレスを取得するためのプロトコル。 ARPプロキシ PPPなどで物理的に異なるネットワーク間の通信を実現するために、別のネットワークにある端末のIPアドレスに対応するMACアドレスのARP問い合わせについて、ルータが代理（プロキシ）して応答すること。 ネットワーク内にサブネットマスクに対応していない古いネットワーク機器がある場合、ARPプロキシを使うことで通信できるようになる。 マルチホーム ２つ以上のネットワークに所属していること。 または、１枚のネットワークカードに２つ以上のIPアドレスを割り当てること。 |
| ドキュメント > ネットワークスニッファVIGILで学ぶ TCP/IP+Ethernet ネットワーク管理講座 > 第３回 | |
copyright(c) 1995- SapporoWorks
当サイトはリンクフリーです。リンク時に連絡などは必要有りません。また、どのページにリンクして頂いても構いません。 | |
