Posted inNetwork

Scapy：Linuxネットワークトラブルシューティングの「強力な武器」

Network tutorial - IT technology blog
Network tutorial - IT technology blog

基本的なネットワークツールが「お手上げ」のとき

DevOpsエンジニアやシステム管理者なら、pingは通るし、telnetでもポートが開いていると表示されるのに、アプリケーションの動作が不安定であるという状況に直面したことがあるでしょう。このような時、curlやnmapといった従来のツールでは、問題の真相を突き止めるのに十分な深さまで到達できないことがよくあります。これらはあらかじめ定義されたシナリオに従って動作するため、特殊なエラーが発生した際の柔軟性に欠けるからです。

以前、トラフィックが800Mbpsに達した際にK8sクラスターでランダムなパケットロスが発生するという難解なケースを処理したことがあります。mtrやtcpdumpを使用しても、パケットが跡形もなく消えているようにしか見えませんでした。最終的に、Scapyを使用してMTUに近い1460バイトのTCPパケットにECN（Explicit Congestion Notification）フラグを付与してシミュレーションを行いました。その結果、ECNの処理時にバッファエラーを起こしていた古いスイッチが特定されました。その時、私は気づきました。難病を治すには、自分の意図通りに「テスト検体」を自ら作り出す必要があるのだと。

ネットワーク介入手法の比較

Scapyを使い始める前に、私たちが普段利用しているツールセットを振り返ってみましょう。

1. コマンドラインツール（Ping, Hping3, Nmap）

このグループは非常に高速で、基本的なテストには非常に便利です。しかし、柔軟性に欠けます。IPヘッダーの各ビットに介入したり、ファイアウォールをテストするために意図的に誤ったチェックサムを作成したりすることはほぼ不可能です。Hping3はある程度のカスタマイズが可能ですが、依然として既存のテンプレートの範囲内に制限されます。

2. ソケットプログラミング（C/Python）

この方法は、最も深い介入が可能であり、パフォーマンスも非常に高いです。その代わり、非常に時間がかかります。深夜に急いでバグを修正する必要があるときに、3ウェイ・ハンドシェイクを手動で実行するためにC言語のコードを書くのは苦行でしかありません。

3. Scapy – ネットワーク界強の「レゴ」

Scapyは、プログラミングの柔軟性とCLIツールの利便性を兼ね備えています。Pythonで書かれたScapyでは、レゴを組み立てるようにプロトコルレイヤーを重ねることができます。ICMPの中にHTTPパケットを入れたいですか？ Scapyなら、わずか1行のコードで実現できます。唯一の弱点は、毎秒数百万個のパケットを送信するようなストレスステストには速度が不十分な点です。

Scapy独自の「スタック」思想

Scapyは単にパケットを送信するだけではありません。インテリジェントにリッスンし、分析し、応答します。最も優れた点は、/ 演算子です。Scapyでは、スラッシュを使用してプロトコルレイヤーを低い方から高い方へと積み重ねます。例えば、Ether()/IP()/TCP() のように記述します。このアプローチは非常に直感的で、コードを見るだけで送信しようとしているパケットの構造がすぐに理解できます。

Linuxへのクイックインストール

Scapyは、OSのパッケージマネージャーまたは pip を通じてインストールできます。迅速なデバッグが目的であれば、システムに直接インストールするのが最も早い方法です。

# Ubuntu/Debianの場合
sudo apt update && sudo apt install python3-scapy -y

# または、すべてのディストリビューションでpipを使用
pip3 install scapy

コンソールに入るには sudo scapy と入力します。RAWソケットへの介入には、ネットワークカードと直接「対話」するためのroot権限が必要なため、sudo を忘れないでください。

Scapyによる3つの実践的なデバッグテクニック

1. ICMPパケットに「秘密の手紙」を挿入する

退屈なpingの代わりに、ペイロードにデータ文字列を挿入して、IDS/IPSシステムがコンテンツをフィルタリングしているかどうかを確認してみましょう。

# カスタムペイロードを持つパケットを作成
pkt = IP(dst="192.168.1.1")/ICMP()/"Test_IDS_Signature_001"

# 送信して1つの応答を待機
reply = sr1(pkt, timeout=2)

if reply:
    reply.show()

2. TCP SYNによるファイアウォールの確認

ファイアウォールが異常なフラグを持つパケットをドロップするかどうかを確認するために、特別なオプションを使用してTCPハンドシェイクの最初のステップをシミュレートできます。

# MSSオプション付きでポート443にSYNパケットを送信
syn_pkt = IP(dst="10.0.0.5")/TCP(dport=443, flags="S", options=[('MSS', 1460)])
ans = sr1(syn_pkt, timeout=2)

# flags='SA' (SYN-ACK) を受信すればポートは開いている
if ans: print(f"応答元: {ans.src} フラグ: {ans.getlayer(TCP).flags}")

3. ボトルネックを探すための「手動」Traceroute

通常の traceroute コマンドがブロックされている場合、TTL（Time To Live）を自分で制御できます。この方法により、どのルーターが密かにパケットをドロップしているかを正確に特定できます。

for i in range(1, 10):
    pkt = IP(dst="8.8.8.8", ttl=i)/UDP(dport=33434)
    reply = sr1(pkt, timeout=1, verbose=0)
    if reply:
        print(f"Hop {i}: {reply.src}")
    else:
        print(f"Hop {i}: * ")

重要な注意点：カーネルとの競合を避ける

Scapyを使用する際によくある問題は、Linuxカーネルの介入です。ScapyがSYNパケットを送信すると、サーバーはSYN-ACKを返します。しかし、カーネルはこのセッションについて何も知りません（Scapyがカーネルをバイパスして送信するため）。そのため、カーネルは即座に RST パケットを送信し、この「未知の」接続を閉じてしまいます。

Scapyを円滑に動作させるには、iptablesを使用してカーネルがRSTパケットを送信するのを一時的にブロックする必要があります。

sudo iptables -A OUTPUT -p tcp --tcp-flags RST RST -j DROP

おわりに

Scapyは日常的なネットワークチェックのためのツールではありません。それは、絶体絶命の状況のための「強力な武器」です。すべてのツールが正常を示しているのにシステムにエラーが出る、そんな時こそScapyが真価を発揮します。レイヤー2からレイヤー7までのパケット構造をマスターすることは、ネットワークの思考を次のレベルへと引き上げてくれるでしょう。システムに強くなるための近道として、ぜひ大胆に触ってみてください。

Share:
Tags: