Meraki トラフィック分析その2(表示編)

前回はMeraki トラフィック分析機能に関する基本的な設定と設定毎に表示される内容に関してまとめました。

candm-network.hatenadiary.jp

今回は、実際に表示される内容に関して注意しなくてはいけないポイントをまとめておきたいと思います。

一番最初に通過するMerakiデバイスにて可視化機能が行われる

Merakiを使って企業のネットワークを構築する場合にはLAN Switch(MS)、無線アクセスポイント(MR)、Router(MX)と複数のデバイスを組み合わせて実現されていると思います。
今回フォーカスしているトラフィック分析機能は基本的にはクライアントが一番最初に通過するMerakiデバイスにて分析が行われることに注意が必要です。

無線クライアントはMRにて分析が行われますし、有線クライアントではそのクライアントが直接接続されるMSにて分析が行われます。
例えば全ての無線APがWifi6対応となっていた場合、NBARに対応していることになりますので詳細なアプリケーション情報を分析することが可能となりますが、MSにおいてはMS390のみがNBAR対応となっていますのでAccess SwitchとしてMS390以外を使われている場合にはNBARによる分析は行えないということになります。

クライアントページでのアプリケーション表示

クライアントページにおけるアプリケーションの情報を見てみたいと思います。
この環境においてはMRはWifi6対応となっていますがMSはNBAR未対応のMS120となっています。

デフォルトでは表示条件で「全て」となっていますので無線クライアントはMRで、有線クライアントはMSで分析された情報が表示されています。
繰り返しとなりますが、MS120はNBARに対応していないので、多くのトラフィックがMiscellaneous secure webや単純にUDPとして分類されてしまうことが分かると思います。

クライアントの表示を「全て」から「アクセスポイントのクライアントのみ」に変更してみます。
これによりMRを通過するトラフィックのみが表示されることになります。

全てでは未分類扱いだったものが消えぐGoogleやicloud等の具体的な通信として表示されます。

今度は「スイッチのクライアントのみ」に変更してみます。
逆に今度は殆どがMiscellaneous secure web等未分類として表示されてしまうことがわかります。

ネットワーク全体のトラフィックの可視化をしたい場合は「セキュリティアプライアンスのクライアントのみ」を選択すると良いと思います。
MXを通過しないLAN内折り返し通信はカウントされないものの有線、無線クライアント問わずMXにてトラフィックの分析が行われますので拠点から抜けていく通信の可視化を行うことができます。