ストーム制御は異常に増加する特定種別のトラフィックを制限し、ポートミラーリングは許可された分析のために選択したトラフィックをコピーします。両者が解決する問題は異なります。まず通常の動作を観測し、実際の機器に合わせて対象範囲と動作を設定したうえで、必要なトラフィックに影響がないことを確認してください。レート制限ではループを修復できず、パケットキャプチャが攻撃を自動的に阻止するわけでもありません。
1. 通常のブロードキャストトラフィックが負担になるとき
スイッチは、宛先アドレスを持つデータ単位であるEthernetフレームを転送します。一部のフレームは、たとえばネットワークアドレスに対応するハードウェアアドレスを調べるために、同じブロードキャストドメイン全体の機器へ到達する必要があります。ブロードキャスト自体が障害なのではありません。過剰なトラフィックはリンク容量、処理能力、バッファーを消費し、通常のリクエストを適時に処理できなくします。
VLANは通常、レイヤー2のブロードキャスト範囲を定義します。スイッチは、受信したブロードキャストを、その範囲内のほかの該当ポートへコピーします。レイヤー2のループが適切に制御されていない場合、コピーが戻ってきて、再び転送・コピーされることがあります。端末の不具合や設定ミスによっても急増が発生します。ブロードキャスト数が多いというだけでは、攻撃とは断定できません。
未知ユニキャストは、これらとはまた異なります。フレームは個別の宛先アドレスを持ちますが、スイッチの現在の転送テーブルに対応するエントリーがないため、適用範囲内にフラッディングされる場合があります。未知マルチキャストの処理も設定に依存します。これらは既知ユニキャストとは異なります。マルチキャストの区分がすべてのマルチキャストトラフィックを計数するかどうかも含め、対応する抑制対象種別を機種およびファームウェアの文書で確認してください。
2. ストーム制御の仕組み
機器は設定されたフレーム種別を識別し、そのレートを測定または制限して、しきい値と動作を適用します。しきい値の単位には、ビット毎秒、パケット毎秒、ポート帯域幅に対する割合などがあります。これらの単位は互換ではありません。許容レートを超えるトラフィックを抑制する実装もあれば、観測期間に基づいて動作するものもあり、アラームの生成やポートのシャットダウンが可能なものもあります。ある製品の動作が、すべての製品に共通するわけではありません。
抑制によって異常トラフィックの伝播を減らすことはできますが、誤った配線を正しいトポロジーに変えることはできません。ループが残る場合は、配線、冗長化プロトコル、ポート状態を調べてください。しきい値を繰り返し引き上げても、異常フレームをより多く通すだけかもしれません。逆に低く設定しすぎると、正当なアドレス解決、検出、マルチキャストに支障をきたし、明確な物理的切断がないまま断続的な障害を引き起こすことがあります。
3. まず通常トラフィックの基準を確立する
端末、ポートの用途、VLAN、アップリンクを記録し、元の設定を保存してください。通常動作時と通常のピーク時に、ブロードキャスト、マルチキャスト、未知ユニキャスト、総トラフィックを分けて統計を観測してください。平均値では、起動時、復旧時、一斉検出時に生じる短時間のピークを把握できません。低トラフィック時のスクリーンショット1枚からコピーした設定では、立ち上げ調整時の正当なトラフィックを抑制してしまう可能性があります。
たとえば、電源復旧後に複数の生産ライン端末が同時にアドレス解決や検出を実行することがあります。すべてのピークを抑制するのではなく、この正当なケースを試験に含めてください。アップリンクは複数端末のトラフィックを集約する一方、アクセスポートは通常、1台または少数の端末を収容します。両方に同じしきい値をそのまま適用しないでください。この例は評価方法を説明するものであり、そのまま本番環境で使えるパラメーター値を示すものではありません。
保守時間帯に、まず対象範囲が明確で制御可能なポートを検証してください。動作条件、カウンターの増加、復旧を確認してください。アラーム、アプリケーションの応答、損失を照合してください。本番ネットワークでブロードキャストストームを発生させたり、計画なしに制御用アップリンクを切断したりしないでください。負荷試験には、承認された隔離環境を使用してください。
4. ポートミラーリングはトラフィックをコピーするもので、アプリケーションの通信を引き受けるものではない
ポートミラーリングは、選択したミラー元ポートで受信、送信、またはその両方のトラフィックを、分析用コンピューターや監視装置に接続されたミラー先ポートへコピーします。元のトラフィックは通常の経路を進み、アナライザーを通信経路上にインラインで設置する必要はありません。入力と出力は、ケーブルの左右の位置ではなく、スイッチを基準に解釈してください。
まず、端末がリクエストを送信したか、応答が到着したか、どのインターフェースから異常トラフィックが発生したかなど、確認事項を特定してください。そのうえで、必要なミラー元ポートと方向を選択してください。すべてをミラーリングすると分析作業が増え、ミラー先ポートの容量を超える可能性があります。元のトラフィック数とキャプチャ数の差は、アプリケーションでの損失ではなく、コピーの損失やアナライザーの制限を反映している場合があります。
ミラー先ポートで通常のトラフィックも扱えるか、ミラー元をいくつまで設定できるか、タグがどのように保持されるか、どのようなハードウェア制限があるかは、各機器のマニュアルによって異なります。ミラーリングを有効にした後は、既知の正当なリクエストを使用して、方向とキャプチャ結果を確認してください。一方向しか表示されない場合は、相手機器が応答しなかったと結論づける前に、ミラーリング対象の選択、キャプチャフィルター、アナライザーを確認してください。
5. 文書に記載されたFCTELの機能をプロジェクトに適用する
ギガビット銅線ポート16個とギガビットSFPポート8個を備える、国内調達の簡易管理型DINレール産業用スイッチのFCTEL製品ページには、ブロードキャスト、マルチキャスト、未知ユニキャストのストーム制御、ポートミラーリング、トラフィック統計が記載されています。これらの記載された機能は、ポートごとの異常トラフィックの観測、関連する種別の制限、分析用コピーの保持に役立ちます。これはその製品ページの説明であり、すべてのFCTELスイッチでメニューやパラメーターが同一であるという意味ではありません。
このページには、VLANおよびループ関連のプロトコルも記載されています。分離、冗長化、レート制限の設定は、それぞれ別に確認してください。ウェブサイトの概要はファームウェアのマニュアルの代わりにはなりません。調達または導入の前に、しきい値の単位、抑制方向、アラーム動作、ミラーリングの制約、設定の保持を確認してください。旧来の固定しきい値範囲や画面のスクリーンショットは、あらゆる機種向けの手引きとしては掲載していません。
6. 診断には証拠と制約を併記する
変更前後の統計、アプリケーションの応答、アラーム発生時刻を比較してください。キャプチャ内で重複が疑われるフレームは、トポロジーや送信元ポートの記録と照合する必要があります。スクリーンショットだけでは原因を証明できません。通常の起動、通常のピーク、リンク復旧を試験し、抑制によって必要なトラフィックが妨げられないことを確認してください。記録を引き渡す前に、設定を保存してください。
キャプチャは許可を得た場合にのみ実施し、範囲を限定して、含まれる可能性のあるアプリケーションデータ、アドレス、認証情報を保護してください。分析後は一時的なミラーリングを無効にし、要件に従ってファイルを保持または削除してください。変更によって問題が発生した場合は、事前に用意した復旧手順で既知の設定に戻し、影響を記録してください。障害を隠すためにルールを重ね続けないでください。可用性を維持するための制御と診断ツールは、適切なエンジニアリングプロセスの中で使用することで現場に役立ちます。
参考資料：FCTELの該当製品詳細；ストーム制御の実装としきい値;ミラーリングの仕組みと制限。第三者の文書は一般的な仕組みを裏づけるものであり、FCTELで同一の実装が行われていることを裏づけるものではありません。図は一般的な説明図であり、製品写真や測定結果ではありません。
中国語の技術記事から翻訳。原文初公開日：2022-11-21。原文最終改訂日時：2026-10-13T14:51:17+08:00。 中国語の原文を読む
