FCTEL オリジナル技術記事 · FCTEL技術チーム
初公開：2026-10-06 · 最終更新：2026-10-06
キャプチャファイルにフレームがない場合、産業用スイッチが本番トラフィックを失った証拠になるのでしょうか？必ずしもそうではありません。ポートミラーリングは、業務フレームのコピーを監視ポートへ送信します。通常の転送とコピーのキャプチャは、異なるキューやバッファを通過します。観測点、方向、容量を把握すると、パケットキャプチャをトラブルシューティングの証拠としてより有効に活用できます。この記事では一般的な仕組みを説明します。実際のミラーリング機能、コピー位置、カウンタの定義については、該当モデルのドキュメントを確認してください。
詳細は元の画像を開いてご確認ください。横方向にスクロールすると、図中のラベルを原寸で読めます。
ポートミラーリングは、具体的に何をコピーするのでしょうか？
通常のスイッチングでは、フレームは物理ポートから入ります。スイッチングチップは宛先MACアドレスとVLANを識別して出力先を選択し、キューと送信回路を経由してフレームを送ります。ポートミラーリングは、選択された観測点でコピーを作成し、指定された監視ポートへ送信します。そこでキャプチャ用コンピュータがコピーを受信します。このコンピュータは元の業務回線に挿入されるものではなく、通常のトラフィックがキャプチャソフトウェアを経由するように迂回されることもありません。監視ポートは、モデルのドキュメントに従って使用してください。
業務フレームが正しく転送されたかという問題と、そのミラーコピーが欠損なくキャプチャファイルに到達したかという問題を分けて考えてください。ミラー出力が輻輳すると、業務通信が正常に継続していてもコピーが失われる場合があります。逆に、受信方向のミラーでフレームが確認できても、その後のフィルタリングを通過してエンドポイントに到達した証拠にはなりません。コピーがフィルタリング、タグ処理、またはルーティングに伴う変更の前後どちらで行われるかは、ハードウェアとファームウェアに依存します。あるベンダーの内部処理順序を、すべての産業用スイッチに当てはめることはできません。
詳細は元の画像を開いてご確認ください。横方向にスクロールすると、図中のラベルを原寸で読めます。
受信方向と送信方向はスイッチを基準とする
受信方向とはエンドポイントからスイッチへ送信される方向で、送信方向とはスイッチからエンドポイントへ送信される方向です。カメラのアクセスポートでは、通常、映像はスイッチに入り、制御コマンドはスイッチから出ます。サーバーに接続するポートでは、該当する方向が逆になる場合があります。ソースポート、受信方向または送信方向の選択、監視先、関連するVLANを記録してください。そうしなければ、選択した観測範囲外のトラフィックを、誤って欠落と報告するおそれがあります。
業務フレームはポート1から入り、ポート2から出ることがあります。ポート1の受信方向とポート2の送信方向の両方をミラーリングすると、実装によっては2つのコピーが配信されます。キャプチャ内のシーケンス番号とペイロードが同一でも、必ずしもエンドポイントがパケットを再送したことを意味しません。観測点、方向、プロトコルのシーケンス番号を比較してください。コピーの重複を排除したり、組み合わせを制限したりする機器もあります。マニュアルを参照してください。また、VLANタグやレイヤー3のフィールドは受信方向と送信方向のコピーで異なる場合があるため、生のバイト列の違いだけでは、何が起きたかを説明できません。
1つのギガビットソースが、1つのギガビットミラー出力を過負荷にする理由
全二重ギガビットポートには、各方向にそれぞれ送信容量があります。600 Mb/sを受信しながら、600 Mb/sを送信しているとします。どちらの方向も、1ギガビットの上限には達していません。しかし、両方向を1つのギガビット監視出力へミラーリングすると、1,000 Mb/sの出力容量に対して、1,200 Mb/sのコピー要求が発生します。比較すべきなのは、ソースポートに表示される1本の使用率曲線ではなく、コピーされるトラフィックの合計です。
プリアンブル、フレーム間ギャップ、その他のオーバーヘッドを無視すると、200 Mb/sの超過が10 ms続いた場合、200,000,000 × 0.01 ÷ 8 = 250,000バイトの滞留が生じます。十分なバッファ領域があれば、コピーを一時的に保持し、要求量が減ったときに送出できます。超過が持続すれば、有限のバッファはいずれ容量を超えます。この計算は、FCTELモデルのミラーバッファサイズを示すものではありません。監視ポートのネゴシエーション速度が100 Mb/sである場合、複数のソースをミラーリングする場合、または多数の小さなフレームによってパケット処理負荷が高くなる場合、キャプチャの欠落が増える可能性があります。
容量の問題を調べるには、ソースの範囲を絞り、まず一方向だけをキャプチャし、キャプチャ時間を短くしてください。フィルタリングや高速な宛先は、実際の機器が対応している場合に限って使用してください。これらはすべての機器に共通する機能ではありません。キャプチャソフトウェアの表示フィルタは、一般に収集済みのパケットを非表示にするもので、それより前の段階にあるミラー出力のトラフィックを減らすものではありません。キャプチャフィルタがどの段階で作用するかも、その実装について確認する必要があります。
詳細は元の画像を開いてご確認ください。横方向にスクロールすると、図中のラベルを原寸で読めます。
キャプチャ用コンピュータに到達した後でもコピーは失われ得る
監視ポートを出たコピーは、コンピュータのNIC、受信ディスクリプタリング、ドライバとカーネルのバッファ、キャプチャアプリケーションを通り、最後にストレージへ到達します。処理が追いつかない段階では、ファイルに記録される前にパケットが破棄される場合があります。スイッチのミラー出力を高速化しても、CPU、バッファ、ディスクのボトルネックが自動的に解消するわけではありません。アプリケーションが報告するドロップ数は、それ以前のすべての段階を網羅していない場合があります。
業務ポートのエラーと破棄、利用可能な場合はミラーリングカウンタ、NIC受信エラー、キャプチャライブラリのドロップ、ストレージの状態を、それぞれ別に記録してください。カウンタの対象範囲、リセット動作、フィルタリングされたトラフィックを含むかどうかは異なるため、定義を確認してください。CRCエラーは受信フレームの完全性に関係し、キューでの破棄は容量やポリシーに関係します。これらをすべてリンク障害と呼ぶべきではありません。キャプチャにシーケンス番号がない場合は、宛先アプリケーションが実際に受信したシーケンス、またはそのメッセージログを確認してください。1つのpcapファイルだけでは証拠として不十分です。
タイムスタンプ、タグ、再送の証拠としての限界
一般的なキャプチャのタイムスタンプは、元のフレームが業務ポートに出入りした時刻ではなく、監視ホストがコピーを受信または処理した時刻を記録します。ミラーリングのキュー、出力での送信、ホストのスケジューリングによって遅延が加わる場合があります。NICのハードウェアタイムスタンプであっても、通常はキャプチャ用NICへの到着時刻を測定します。ドキュメントで明示的に別の定義が示されていない限り、これはスイッチの業務用PHYにおける元のタイムスタンプではありません。
ミラーリングしたキャプチャは、プロトコルの順序、アドレス、ペイロードの確認に有用ですが、マイクロ秒単位の制御レイテンシを保証するものとして扱うべきではありません。NICのオフロード、タグの除去、キャプチャ長の制限も、表示結果に影響する場合があります。2か所のキャプチャを比較するときは、クロック同期、観測点、フィルタを確認し、元のファイルを保持してください。TCPの再送が疑われる場合は、シーケンス番号、確認応答、エンドポイントの統計を比較してください。産業用プロトコルのアプリケーションシーケンスに欠落がある場合は、すべてをスイッチのせいにするのではなく、そのプロトコル固有の仕組みを考慮してください。
再現可能な現場検証手順
まず、ミラーリング設定とネゴシエーション済みのポート状態を保存してください。承認された保守時間帯に、1つのソースを選択し、識別可能なシーケンス番号を持つトラフィックを一方向だけキャプチャします。送信側と受信側でアプリケーションのカウント値を記録し、関連するポートとホストの開始時および終了時のカウンタ値も記録します。次に、業務通信の条件を一定に保ったまま両方向を有効にし、コピー数とキャプチャのドロップを比較します。検証されていないトラフィックを制御機器に注入しないでください。
宛先アプリケーションのシーケンスが連続しているのにコピーが欠けている場合は、まずミラー容量とホストのキャプチャ経路を調べてください。アプリケーションにも欠落がある場合は、業務ポートのエラー、出力での破棄、プロトコルログを組み合わせて障害箇所を特定してください。FCTELが公開している、ギガビット電気ポート24個とギガビットSFP/電気ポート4個を備えたマネージド産業用スイッチのドキュメントには、診断機能としてポートミラーリングが記載されています。ただし、この記事で説明したプラットフォーム固有の機能すべてに対応していることを示すものではありません。正確なモデル、ファームウェア、マニュアルを確認し、作業後は設定を元に戻して、試験条件と生の記録を保存してください。
技術参考資料： SPANの仕組みに関するCiscoのドキュメント。関連するFCTEL資料： 技術記事 および 産業用スイッチの製品資料.
