PCAP 分析で VLAN タグが欠落している: 802.1Q タグ、ネイティブ VLAN、トランク ポート、ドライバー ストリッピング、および間違ったキャプチャ ポイント

VLAN の問題は、多くの場合、DHCP 障害、応答の欠落、一方向トラフィック、またはファイアウォールのドロップのように見えます。 pcap がスイッチ設定と一致しない場合、ユーザーは「VLAN タグが pcap にありません」、「802.1Q Wireshark キャプチャ」、「タグなしのネイティブ VLAN」、「トランク ポート パケット キャプチャ」、「ドライバ ストリップ VLAN タグ」、および「キャプチャ フィルタ VLAN が機能していません」を検索します。

VLAN の証拠は、キャプチャ ポイント、ドライバの動作、フィルタ、およびパケットがタグ ストリッピングの前にキャプチャされたか後にキャプチャされたかに大きく依存するため、PCAP 手術が役立ちます。

802.1Q タグが証明するもの

802.1Q タグは、イーサネット フレームで VLAN ID を伝送します。タグが表示されている場合、キャプチャでは VLAN ID、優先ビット、カプセル化されたイーサタイプを表示できます。

タグが欠落している場合は、いくつかの可能性が考えられます。

• パケットは本当にタグなしです。
• ネイティブ VLAN はタグを削除しました。
• キャプチャポイントはタグを剥がした後です。
• ネットワークドライバーは、pcap がタグを認識する前にタグを削除しました。
• キャプチャ フィルターでタグ付きフレームを除外しました。
• ミラー/SPAN 設定によりフレームが変更されました。
• 仮想スイッチは VLAN 化解除されたトラフィックを提供しました。

「pcap にタグがない」ということを「ワイヤ上にタグがない」ことを意味すると想定しないでください。

ネイティブ VLAN の動作

多くのトランクでは、ネイティブ VLAN トラフィックはタグなしで送信されます。すべてのトランク パケットに 802.1Q ヘッダーが表示されることを期待しているエンジニアは、これに驚くかもしれません。

症状：

• VLAN 10 はタグ付きで表示され、VLAN 1 はタグなしで表示されます。
• DHCP はタグなしでネイティブ VLAN に到着します。
• 一方では、タグ付きネイティブ VLAN が必要です。
• スイッチはネイティブ VLAN 上で一致しません。
• タグなしフレームは間違った VLAN に分類されます。

pcap は、スイッチ ポート モードとネイティブ VLAN 設定で解釈される必要があります。

ドライバータグの除去

オペレーティング システムと NIC ドライバーは、パケットがキャプチャ ツールに到達する前に VLAN タグを削除する場合があります。 VLAN サブインターフェイスでキャプチャすると、OS がパケットをすでに分類しているため、タグが解除されたパケットが表示される場合があります。

より良い証拠を得るには、次のことが必要になる場合があります。

• 物理インターフェイスでのキャプチャ。
• 可能であれば、VLAN オフロードを無効にします。
• スイッチのミラーポートでキャプチャします。
• 両方のトランク エンドポイントでキャプチャします。
• NIC ドライバーのオフロード設定を確認しています。

PCAP Surgery は、さまざまなポイントからのキャプチャを保存し、ラベルを付けることができます。

キャプチャフィルターとVLAN

キャプチャ フィルタは、タグ付きフレームに対して異なる動作をする可能性があります。タグなし IP トラフィックに一致するフィルタは、フィルタが VLAN ヘッダーを考慮していない限り、タグ付きトラフィックを見逃す可能性があります。

症状：

• Ping は機能しますが、キャプチャには何も表示されません。
• タグなしのトラフィックのみが表示されます。
• 1 つの VLAN で DHCP が欠落しています。
• フィルターを取り外した後も同じ流れが表示されます。

ネットワークを診断する前に、キャプチャ フィルタを検証します。

トランクの許可された VLAN の間違い

許可されたトランク リストに VLAN が含まれていない場合、トラフィックはリンクを通過できない可能性があります。片側のキャプチャではフレームの終了が表示され、もう一方の側では何も表示されない場合があります。

証拠：

• タグ付きフレームはソース スイッチを離れます。
• 一致するフレームが宛先側に到着しません。
• 他の VLAN は機能します。
• STP の状態は VLAN ごとに異なります。
• ネイティブ VLAN の不一致ログが表示されます。

これはネットワーク構成の問題であり、ホスト スタックの問題ではありません。

仮想化とクラウドミラー

VM、コンテナ、クラウド パケット ミラーにより、VLAN の可視性が複雑になります。

考えられる問題:

• ハイパーバイザーはゲストをキャプチャする前にタグを削除します。
• ポート グループには特定の VLAN ID が必要です。
• VM NIC に対してトランク モードが有効になっていません。
• クラウドミラーは元のL2タグを省略します。
• コンテナ ブリッジはタグ付け解除されたトラフィックのみを認識します。

キャプチャ ポイントと仮想化レイヤーを必ず文書化してください。

デバッグチェックリスト

このワークフローを使用します。

1. 予想される VLAN ID を特定します。
2. キャプチャポイントを特定します。
3. 物理サブインターフェイスと VLAN サブインターフェイスのキャプチャを確認します。
4. ネイティブ VLAN のタグを外す必要があるかどうかを確認します。
5. キャプチャ フィルタを削除または調整します。
6. NIC VLAN オフロード動作を確認します。
7. トランクの出入りをキャプチャします。
8. スイッチの許可された VLAN 構成を比較します。
9. タグ付きおよびタグなしの例を保存します。
10. 各 pcap にインターフェイスとポート モードのラベルを付けます。

最終診断

pcap で VLAN タグが欠落していても、ワイヤ上で VLAN タグが欠落していることを自動的に意味するわけではありません。原因としては、ネイティブ VLAN の動作、ドライバーのストリッピング、キャプチャ フィルター、仮想スイッチング、または本当に正しく構成されていないトランクが考えられます。

PCAP 手術は、VLAN 障害パスを証明するために必要な正確なタグ付きフレーム、タグなしフレーム、キャプチャ ポイント、およびフロー証拠を保存するのに役立ちます。