データ・パスのデバッグおよびトレース・オプションの構成

データ・パスのデバッグは、SRX5400、SRX5600、および SRX5800 で サポートされています。

データをデバッグ用にデバイスを構成するには:

次の例は、 security flow traceoptions を使用して設定できるオプションを示しています。

• filter1 パケット・フィルタの imap 宛先ポートに一致させるには、以下のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 destination-port imap
  

• filter1 パケット・フィルタに宛先 IPv4 プレフィックス・アドレス 1.2.3.4 を設定するには、以下のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 destination-prefix 1.2.3.4
  

• filter1 パケット フィルタに fxp0 論理インターフェイスを設定するには、次のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 interface fxp0
  

• filter1 パケット・フィルタの TCP IP プロトコルに一致させるには、以下のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 protocol tcp
  

• filter1 パケット・フィルターの HTTP ソース・ポートと一致させるには、以下のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 source-port http
  

• filter1 パケット・フィルタに 5.6.7.8 IPv4 プレフィックス・アドレスを設定するには、以下のステートメントを使用します。

  content_copy zoom_out_map

  [edit]
  user@host# set security flow traceoptions packet-filter filter1 source-prefix 5.6.7.8
  

CLI 設定エディターでセキュリティー・トレース・オプションを構成するには、以下の構成ステートメントを使用します。

• リモート・トレーシングを無効にするには、次のステートメントを入力します。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions no-remote-trace
  

• トレースメッセージをローカルファイルに書き込むには、次のステートメントを入力します。トレースファイルが /var/log/ ディレクトリに保存されます。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions use-local-files
  

• トレース・ファイルの名前を指定するには、次のステートメントを入力します。有効な値の範囲は1から1024文字です。名前にスペース、/、または % 文字を含めることはできません。デフォルトのファイル名はセキュリティです。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file filename
  

• 蓄積できるトレース ファイルの最大数を指定するには、次のステートメントを入力します。有効な値の範囲は2から1000です。デフォルト値は 3 です。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file files 3
  

• 情報をファイルに記録するときにシステムが使用する一致条件を指定するには、次のステートメントを入力します。正規表現を入力します。ワイルドカード (*) 文字を使用できます。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file match *thread
  

• すべてのユーザーがトレース ファイルを読み取れるようにするには、 world-readable ステートメントを入力します。それ以外の場合は、 no-world-readable ステートメントを入力します。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file world-readable
  user@host# set security traceoptions file no-world-readable
  

• トレース・ファイルが拡張できる最大サイズを指定するには、次のステートメントを入力します。ファイルが指定されたサイズに達すると、圧縮されて filename0.gz名前が変更され、次のファイルの名前は filename1.gzというようになります。有効な値の範囲は 10240 から 1,073,741,824 です。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions file size 10240
  

• トレース・オプションをオンにし、複数のトレース操作を実行するには、次のフラグを設定します。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions flag all
  user@host# set security traceoptions flag compilation
  user@host#  set security traceoptions flag configuration
  user@host# set security traceoptions flag routing-socket
  

• これらのトレース・オプション設定を適用するグループまたは適用しないグループを指定するには、以下のステートメントを入力します。

  content_copy zoom_out_map

  [edit]
  user@host# set security traceoptions apply-groups value
  user@host# set security traceoptions apply-groups-except value
  

monitor start コマンドを入力して、システム ログとトレース ファイルへのリアルタイムの追加を表示します。

user@host> monitor start filename

デバイスが filename で指定されたファイルにレコードを追加すると、そのレコードが画面に表示されます。例えば、system-logという名前のシステムログファイルを設定した場合([edit system]階層レベルにsyslogステートメントを含めることで)、monitor start system-logコマンドを入力して、システムログに追加されたレコードを表示することができます。

モニター中のファイルのリストを表示するには、 monitor list コマンドを入力します。指定したファイルのレコードの表示を停止するには、 monitor stop filename コマンドを入力します。

マルチキャスト トレース操作を監視および表示するには、 mtrace monitor コマンドを入力します。

user@host> mtrace monitor

Mtrace query at Apr 21 16:00:54 by 192.1.30.2, resp to 224.0.1.32, qid 2a83aa packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:00:57 by 192.1.30.2, resp to 224.0.1.32, qid 25dc17 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:01:00 by 192.1.30.2, resp to same, qid 20e046 packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)  Mtrace query at Apr 21 16:01:10 by 192.1.30.2, resp to same, qid 1d25ad packet from 192.1.30.2 to 224.0.0.2 from 192.1.30.2 to 192.1.4.1 via group 224.1.1.1 (mxhop=60)

この例では、 mtrace クエリのみを表示します。ただし、デバイスが mtrace 応答をキャプチャすると、表示は似ていますが、完全な mtrace 応答も表示されます( mtrace from-source コマンド出力に表示されるのとまったく同じです)。

表 1 は、ディスプレイの出力フィールドを要約します。

デバイスと指定した宛先ホスト間のデバイスのリストを表示するには、以下の構文で traceroute コマンドを入力します。

user@host> traceroute host <interface interface-name> <as-number-lookup> <bypass-routing> <gateway address> <inet | inet6> <no-resolve> <routing-instance routing-instance-name> <source source-address> <tos number> <ttl number> <wait seconds>

表 2 で、traceroute コマンドのオプションについて説明します。

traceroute コマンドを終了するには、Ctrl-C を押します。

以下に、 traceroute コマンドの出力例を示します。

user@host> traceroute host2

traceroute to 173.24.232.66 (172.24.230.41), 30 hops max, 40 byte packets  1  173.18.42.253 (173.18.42.253)  0.482 ms  0.346 ms  0.318 ms  2  host4.site1.net (173.18.253.5)  0.401 ms  0.435 ms  0.359 ms  3  host5.site1.net (173.18.253.5)  0.401 ms  0.360 ms  0.357 ms  4  173.24.232.65 (173.24.232.65)  0.420 ms  0.456 ms  0.378 ms  5  173.24.232.66 (173.24.232.66)  0.830 ms  0.779 ms  0.834 ms

表示されるフィールドは、J-Web トレースルート診断ツールで表示されるフィールドと同じです。