Windows Admin Center のパケット モニタリング拡張機能

  • [アーティクル]

適用対象: Windows Server 2022、Windows Server 2019、Windows 10、Azure Stack Hub、Azure、Azure Stack HCI、バージョン 21H2 および 20H2

パケット モニタリング拡張機能では、Windows Admin Center からパケット モニターを操作して使用できます。 この拡張機能では、ネットワーク スタック経由でネットワーク トラフィックをキャプチャして、わかりやすく操作しやすいログに表示できるため、ネットワークの診断に役立ちます。

パケット モニター (Pktmon) とは

パケット モニター (Pktmon) は、Windows 用インボックスのクロスコンポーネント ネットワーク診断ツールです。 パケット キャプチャ、パケット ドロップの検出、パケット フィルタリング、カウントに使用できます。 このツールは、ネットワーク スタック内で可視性を提供するため、コンテナー ネットワークや SDN などの仮想化シナリオで特に役立ちます。

Windows Admin Center とは?

Windows Admin Center は、Azure またはクラウドに依存せずに、Windows サーバーの管理を実現する、ローカルに展開されたブラウザーベースの管理ツールです。 Windows Admin Center では、サーバー インフラストラクチャのあらゆる側面を完全に管理できます。特に、インターネットに接続されていないプライベート ネットワークでのサーバーの管理に便利です。 Windows Admin Center は、サーバー マネージャーや MMC などの "インボックス" 管理ツールの進化形です。

開始する前に

  • このツールを使用するには、ターゲット サーバーで Windows Server 2019 バージョン 1903 以降が実行されている必要があります。
  • Windows Admin Center のインストール。
  • Windows Admin Center にサーバーを追加します。
    1. [すべての接続] の下にある [+ 追加] をクリックします。
    2. サーバー接続の追加を選びます。
    3. サーバーの名前を入力し、メッセージが表示されたら、使う資格情報を入力します。
    4. [送信] をクリックして完了します。

サーバーが [概要] ページの接続リストに追加されます。

はじめに

このツールを使用するには、前の手順で作成したサーバーに移動し、"パケット モニタリング" 拡張機能に移動します。

フィルターの適用

パケット キャプチャを開始する前にフィルターを適用することを強くお勧めします。これは、特定の宛先への接続のトラブルシューティングは、1 つのパケット ストリームに焦点を当てた方が容易になるためです。 一方、すべてのネットワーク トラフィックをキャプチャすると、出力のノイズが多すぎて分析できなくなることがあります。 そのため、拡張機能では、キャプチャを開始する前にフィルター ペインが表示されます。 フィルターを使用せずにキャプチャを開始するには、[次へ] をクリックしてこの手順をスキップします。 フィルター ペインでは、3 つの手順でフィルターを追加できます。

  1. ネットワーク スタック コンポーネントによるフィルター処理

    特定のコンポーネントのみを通過するトラフィックをキャプチャする場合、フィルター ペインの最初の手順でネットワーク スタックのレイアウトが表示されます。これにより、フィルターに使うコンポーネントを選択できます。 これは、マシンのネットワーク スタックのレイアウトを分析して理解するのにも適しています。

    Example of filtering by networking stack components

  2. パケットのパラメーターによるフィルター処理

    2 番目の手順では、ペインを使って、パラメーターでパケットをフィルター処理できます。 パケットが報告されるには、少なくとも 1 つのフィルターで指定されているすべての条件に一致している必要があります。同時に最大 8 個のフィルターに対応しています。 フィルターごとに、MAC アドレス、IP アドレス、ポート、Ethertype、トランスポート プロトコル、VLAN ID などのパケットのパラメーターを指定できます。

    • 2 つの MAC、IP、またはポートが指定されている場合、ツールは、送信元と宛先を区別しません。宛先か送信元かに関係なく、パケットはどちらの値でもキャプチャされます。 ただし、表示フィルターを使用すると、この区別を行うことができます。下の「フィルターの表示」セクションを参照してください。
    • TCP パケットをさらにフィルター処理するために、一致させる TCP フラグのオプションのリストを指定できます。 サポートされているフラグは、FIN、SYN、RST、PSH、ACK、URG、ECE、および CWR です。
    • [カプセル化] チェックボックスをオンにすると、外側のパケットに加えて、カプセル化された内部のパケットにフィルターが適用されます。 サポートされているカプセル化方法は、VXLAN、GRE、NVGRE、および IP-in-IP です。 カスタム VXLAN ポートはオプションであり、既定値は 4789 です。

    Example of filtering by packet parameters

  3. パケット フローの状態によるフィルター処理

    パケット モニターは、既定で、フローされるパケットとドロップされるパケットをキャプチャします。 ドロップされたパケットだけをキャプチャするには、[Dropped Packets] を選択します。

    Example of filtering by packet flow status

    その後、選んだすべてのフィルター条件の概要が確認用に表示されます。 キャプチャを開始した後、[キャプチャ条件] ボタンを使ってそのビューを取得することができます。

    How to capture only dropped packets

キャプチャ ログ

キャプチャされたパケットの主要なパラメーターを示す表に、タイムスタンプ、発信元 IP アドレス、発信元ポート、接続先 IP アドレス、宛先ポート、Ethertype、プロトコル、TCP フラグ、パケットがドロップされたかどうか、およびドロップの理由が表示されます。

  • これらのパケットのタイムスタンプは、別のページにリダイレクトされるハイパーリンクでもあり、選択したパケットに関する詳細情報を確認できます。 以下の「詳細ページ」セクションを参照してください。
  • ドロップされたすべてのパケットは、[Dropped]\(ドロップ\) タブに "True" 値とドロップ理由があり、特定しやすいように赤いテキストで表示されます。
  • すべてのタブを昇順および降順で並べ替えることができます。
  • 検索バーを使用すると、ログ内の任意の列の値を検索できます。
  • [再起動] ボタンを使用すると、同じ選択フィルターを使用してキャプチャを再開できます。

Example of capture log results table

詳細ページ

このページには、ローカル ネットワーク スタックの各コンポーネントによってフローされるパケットのスナップショットが表示されます。 このビューには、パケット フロー パスが表示されます。これにより、パケットが渡された各コンポーネントによって処理されたときのパケットの変化を調べることができます。

  • パケット スナップショットは、各アダプター/スイッチ スタックによってグループ化されます。つまり、アダプター/スイッチ、そのフィルター ドライバー、プロトコル ドライバーによってキャプチャされたパケット スナップショットは、アダプター/スイッチの名前の下にグループ化されます。 これにより、1 つのアダプターから他のアダプターへのパケット フローを簡単にたどることができます。
  • スナップショットを選ぶと、未加工のパケット ヘッダーを含む、この特定のスナップショットに関する詳細情報が表示されます。
  • ドロップされたすべてのパケットは、[Dropped]\(ドロップ\) タブに "True" 値とドロップ理由があり、特定しやすいように赤いテキストで表示されます。

Example of Details Page showing packet snapshots

フィルターの表示

[フィルターの表示] を使用すると、パケットをキャプチャした後にログをフィルター処理できます。 フィルターごとに、MAC アドレス、IP アドレス、ポート、Ethertype、トランスポート プロトコルなどのパケット パラメーターを指定できます。 キャプチャフィルターとは以下の点で異なります。

  • [フィルターの表示] では、IP アドレス、MAC アドレス、およびポートの発信元と宛先を区別できます。
  • [フィルターの表示] では、適用後に削除および編集して、ログの表示を変更することができます。
  • 保存されたログの場合、[フィルターの表示] が逆になります。

Display filters screen

保存機能

[保存] ボタンを使用すると、ローカル コンピューター、リモート コンピューター、またはその両方にログを保存できます。 保存されたログの場合、[フィルターの表示] が逆になります。

  • ログがローカル コンピューターに保存されている場合は、さまざまな形式でそれを保存できます。
    • Microsoft ネットワーク モニターを使って分析できる ETL 形式。 注: 詳細については、このページを確認してください。
    • TextAnalysisTool.NET のようなテキスト エディターを使用して分析できるテキスト形式。
    • Wireshark などのツールを使用して分析できる pcapng 形式。
    • この変換中、ほとんどのパケット モニターのメタデータは失われます。 詳細については、このページを確認してください。

Saving a local copy of the capture

開く機能

[開く] 機能を使うと、最後に保存した 5 つのログを再度開いて、ツールで分析することができます。

Opening a recent log