ネットワーク / 疎通確認

ICMPとは

Internet Control Message Protocol。IP通信の制御やエラー通知に使われるプロトコルです。pingでも使われます。

用語集内のカードを見る

この記事で学べること

ICMPを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。

ICMPを読むときの前提
pingだけではないICMPを見る
MTUと断片化の問題を見る
片方向遮断と戻り経路を見る
変更証跡と引き継ぎ

実務メモ

Echoだけでなく、type/codeとMTU通知を確認する

どこで効くか

ICMPはpingだけでなく、到達不能、TTL超過、Fragmentation Neededなどの制御通知にも使われます。疎通確認、traceroute、Path MTU Discoveryの前提として扱います。

残す証跡

証跡にはICMP type/code、送信元、宛先、FW policy、Security Group、ACL、NAT、戻り経路、MTU確認、ping/traceroute結果、FWログを残します。

避けたい誤解

ICMPを一括遮断すると、pingを止めるだけでなくMTU調整や経路診断の手掛かりも失います。ping失敗が業務通信失敗を意味するとは限らず、ping成功もTCP/UDP成功を保証しません。

まず確認すること

ICMP type/codeをログで確認する
MTU確認時はサイズとDF bitを変える
戻り経路とFW stateを確認する

ICMPを読むときの前提

ICMP（Internet Control Message Protocol）は、IP通信のエラー通知や制御情報を運ぶプロトコルです。pingのEcho Request/Replyだけでなく、Destination Unreachable、Time Exceeded、Fragmentation Neededなど、切り分けに重要なtype/codeがあります。

実務では、ICMPを一括で許可/拒否するのではなく、用途ごとに扱います。pingを落としたい場合でも、Path MTU Discoveryに必要なICMPまで止めると、大きな通信だけ失敗することがあります。

証跡には、ICMP type/code、送信元、宛先、FW policy、ログ、経路、MTU、pingやtracerouteの結果を残します。

pingだけではないICMPを見る

ICMPは疎通確認だけではなく、到達不能やTTL超過などの通知にも使われます。tracerouteではTime Exceeded、MTU問題ではFragmentation Neededが重要になります。

FWやクラウドの制御でICMPを広く遮断すると、障害時の手掛かりが減ります。許可範囲はセキュリティ要件と運用性の両方で判断します。

Echo、Time Exceeded、Destination Unreachableを分ける。
ICMP type/codeをログで確認する。
診断に必要なICMPを遮断していないか見る。

MTUと断片化の問題を見る

小さいpingは通るのに、大きなファイル転送やVPN越し通信が失敗する場合、MTUやPath MTU Discoveryを確認します。ICMP Fragmentation Neededが途中で落ちると、送信側が適切なサイズへ調整できません。

トンネル、PPPoE、VPN、クラウド接続では、ヘッダ分だけ実効MTUが小さくなります。DF bit付きの確認、MSS調整、FWのICMP扱いを合わせて見ます。

サイズとDF bitを変えて確認する。
トンネルやVPNの実効MTUを確認する。
Fragmentation Neededが戻る経路を確認する。

片方向遮断と戻り経路を見る

ICMPの応答が返らない場合、行きが届いていないのか、戻りが遮断されているのかを分けます。FWログ、NAT、戻り経路、Security Group、ACLを同じ時刻で確認します。

ICMPはstatefulに扱われる機器もあれば、typeごとに明示許可が必要な機器もあります。オンプレとクラウドで制御単位が違うため、単純に同じルール名だけで判断しません。

送信側と受信側のログを同じ時刻で見る。
戻り経路、NAT、FW stateを確認する。
オンプレFWとクラウド制御の違いを確認する。

変更証跡と引き継ぎ

ICMP許可を変更する場合は、診断用途、監視用途、業務要件、許可元、許可先、type/code、期限を残します。広いICMP許可は棚卸し対象にします。

引き継ぎでは、pingが失敗したときに次に何を見るか、MTU問題を疑う条件、関連語としてping、traceroute、MTU、Firewallを残すと確認しやすくなります。

許可するICMP type/codeと理由を残す。
監視元と診断元を分けて記録する。
MTU確認の手順と戻し条件を残す。

同じ主要カテゴリの用語

IPアドレス CIDR サブネット VLAN ルーティング NAT MTU MSS

ネットワークの学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。