ネットワーク診断コマンドの使い方

読み：ねっとわーくしんだんこまんどのつかいかた　／　英語表記：Network diagnostic commands

• 性能・監視・運用
• IP・IPv6
• ネットワークサービス

ネットワークの不具合を調べるために端末から実行するコマンドと、その使い方をまとめたテーマ。IP設定・疎通・DNS・経路・TCPポート・Webの応答を順に確認し、障害の範囲を絞ることを目的とする。

イマシルちゃんの解説

「ネットがつながらない！」と思ったとき、いきなり設定を変えてしまうと原因がわからなくなることがあるんだ。
まず自分のIPアドレスとデフォルトゲートウェイを確認して、pingで相手まで届くかを調べよう。
次にnslookupでDNSが名前をIPアドレスに変換できるかを確かめて、traceroute（Windowsではtracert）で途中のルータをたどるの。
Webサイトだけが開けないときは、TCPポートへの接続やHTTPの応答も別に調べられるよ。
コマンドには送信回数や待ち時間を指定するオプションがあるので、目的に合わせて使い分けると原因を少しずつ絞り込めるんだ！

より深い解説

目的からコマンドを選ぶ

WindowsのコマンドプロンプトとPowerShellでは実行できる機能が一部異なる。Linux・macOSでも同じ名前のコマンドに異なるオプションがあるため、OS別の例を確認すること。以下のexample.comや1.1.1.1は説明用の宛先である。実際の調査では接続を許可された対象に置き換える。

ping：疎通・往復時間・パケットロス

pingはICMPのエコー要求を送って、応答の有無とRTT（往復時間）を調べるコマンドである。通常のTCPポートが開いているかを調べるものではない。

Windowsの実行例：

ping example.com
ping -n 10 -w 1000 1.1.1.1
ping -4 -n 4 example.com
ping -f -l 1472 1.1.1.1
ping -t 1.1.1.1

Linuxの実行例：

ping -c 4 example.com
ping -4 -c 10 -W 1 1.1.1.1
ping -4 -M do -s 1472 1.1.1.1

macOSの実行例：

ping -c 4 example.com
ping -c 10 -s 1400 1.1.1.1

1,472バイトは、IPv4ヘッダー20バイト＋ICMPヘッダー8バイトを加えると合計1,500バイトになる値である（IPオプションなしの場合）。DFを指定した試験はパスMTUの調査に使えるが、応答がなければMTUが原因だと断定できるわけではない。

結果のtime=...msやtime ... msはRTTを示す。タイムアウトは「応答が得られなかった」という意味であり、ファイアウォールによるICMPの遮断や応答制限でも起こる。pingが成功しても、Webサービスの動作が正常だとまでは判断できない。

nslookup・dig：名前解決を調べる

nslookupは指定した名前についてDNSサーバーへ問い合わせるコマンドである。サーバーとレコード種別を明示すると、DNS設定の違いを比較しやすい。

Windows・Linux・macOSで利用できる代表的な例：

nslookup example.com
nslookup -type=AAAA example.com
nslookup -type=MX example.com 1.1.1.1

対話モードでは次のように設定できる。最初のnslookupを実行したあと、残りの行を順番に入力する。

nslookup
server 1.1.1.1
set type=TXT
set timeout=2
example.com
exit

set timeout=2は応答待ちの初期タイムアウトを2秒にする設定である。Non-authoritative answerという表示は、キャッシュDNSサーバーなどから得た応答であることを示し、それだけで失敗を意味しない。

digはDNSの応答コード、権威情報、問い合わせ時間などを詳しく見たいときに使う。macOSや多くのLinux環境で利用できるが、Linuxでは別途導入が必要な場合があり、Windowsにも標準では用意されていない。

dig example.com A
dig example.com MX
dig @1.1.1.1 example.com AAAA
dig @1.1.1.1 example.com AAAA +short

@1.1.1.1は問い合わせるDNSサーバーを指定する。+shortは答えを簡潔に表示するが、失敗原因の調査では省略し、status: NXDOMAIN（名前が存在しない）やstatus: SERVFAIL（サーバー側で処理に失敗）も確認する。NOERRORでも要求した種類のレコードが存在しない場合がある。

外部のDNSサーバーは社内専用の名前を解決できない場合がある。またnslookupやdigの結果が正常でも、ブラウザやOSが同じ名前解決の経路を使っているとは限らない。

tracert・traceroute：通信の経路を調べる

tracertとtracerouteは、TTL（IPv6ではホップリミット）を小さい値から増やし、途中のルータが返すICMPの時間超過メッセージを手がかりに経路を表示する。

Windowsの実行例：

tracert example.com
tracert /d /h 20 /w 1000 example.com
tracert /6 example.com

Linux・macOSの実行例：

traceroute example.com
traceroute -n -m 20 example.com

Linuxでは試験に使うパケットの種類も変更できる。

traceroute -I -n example.com
traceroute -T -p 443 -n example.com

Windowsのtracertは通常ICMPエコー要求を使う。一方、Linux・macOSの一般的なtracerouteは通常UDPを使うため、ファイアウォールによって結果が異なることがある。

表示される*は、その試行で応答が得られなかったことを意味する。途中に*があっても、その先のホップや宛先に到達していれば、そこが通信断の場所だとは判断できない。中継ルータがICMPの応答を制限している場合もある。表示される各ホップのRTTはそのホップからの応答までの時間であり、隣り合う2台の間の遅延をそのまま表す値ではない。

ipconfig・ip・ifconfig：端末のIP設定

調査の最初に、自分のIPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバーを確認する。

Windows：

ipconfig
ipconfig /all
ipconfig /displaydns

/allは各アダプターの詳細を表示する。/displaydnsはWindowsのDNSクライアントキャッシュを表示する。

Linux：

ip -br address
ip route

-brはIPアドレスの表示を短くする指定である。ip routeはIPv4の経路表を表示する。DNSサーバーの確認には環境に応じてresolvectl statusなどを使用する。

macOS：

ifconfig
route -n get default
scutil --dns

ifconfigでアドレスとインタフェース状態を、route -n get defaultでデフォルト経路を、scutil --dnsでDNSリゾルバー設定を調べられる。

Windowsのipconfig /flushdnsはDNSキャッシュを消去する操作である。また/releaseや/renewはDHCPのリースを解放・更新し、一時的に通信が切れる可能性がある。調査のための表示コマンドと、状態を変更するコマンドは区別する。

route・ip route：宛先への出口を調べる

自分の端末がどのインタフェースから、どのゲートウェイへ通信を送るかは、ルーティングテーブルによって決まる。

route print

上はWindowsで経路表を表示する例である。

ip route get 1.1.1.1

上はLinuxで、指定した宛先についてカーネルが選ぶ経路と送信元アドレスを表示する。確認のために実際のIPパケットを宛先へ送信する必要はない。

route -n get 1.1.1.1

上はmacOSで指定した宛先の経路を調べる例である。

経路表では宛先プレフィックス、ネクストホップ（次に渡すルータ）、出力インタフェースなどを見る。複数の経路に一致するときはプレフィックス長が最も長い経路が優先される。VPNが有効な端末では通常時と経路が変わる場合もある。

arp・ip neigh：隣接機器のアドレスを調べる

同じリンク上のIPv4アドレスとMACアドレスの対応は、ARPテーブルで確認できる。

Windows・macOS：

arp -a

Linux：

ip neigh show

Linuxのip neighではIPv4のARPとIPv6の近隣探索に関するエントリを扱える。INCOMPLETEやFAILEDが続く場合は隣接先のアドレス解決を疑う。STALEは再確認が必要な状態であり、それだけで故障を意味しない。

Test-NetConnection・nc：TCPポートの接続確認

pingが通っても、WebのTCP/443やSSHのTCP/22が利用可能とは限らない。特定のTCPポートまで接続できるかは別に確認する。

Windows PowerShell：

Test-NetConnection example.com -Port 443
Test-NetConnection example.com -Port 443 -InformationLevel Detailed

TcpTestSucceeded : Trueは、指定したTCPポートへの接続試行に成功したことを示す。-InformationLevel Detailedでは名前解決の結果や使用したインタフェースなどを追加で確認できる。

Linux・macOS（ncが導入されている場合）：

nc -vz example.com 443

-zは通常のデータ送受信を行わず接続を確かめる指定、-vは詳細表示である。接続成功はアプリケーションの認証やHTTPの正常性を保証しない。対象の管理者が許可したポートを調べる。

netstat・ss・lsof：自分の端末の待受ポート

「相手につながらない」のではなく「自分のサーバーが待ち受けていない」場合は、端末内のソケットを調べる。

Windows：

netstat -ano

-aは待受中のポートなども含めて表示、-nはアドレス・ポートを数値で表示、-oはPID（プロセスID）を表示する指定である。

Linux：

ss -lntp

-lは待受中、-nは数値表示、-tはTCP、-pはプロセス情報である。UDPも含める場合はss -tulnpを使用する。

macOS：

lsof -nP -iTCP -sTCP:LISTEN

TCPの待受ソケットと、それを使うプロセスを表示する例である。自分以外のプロセス情報の取得には管理者権限が必要になる場合がある。

curl：HTTPの応答を確認する

Webの不具合では、IP到達性とポート接続だけでなく、HTTPステータスやリダイレクト、TLS接続を確認する。

Linux・macOSでの例：

curl -I https://example.com
curl -L -I https://example.com
curl -v --connect-timeout 5 --max-time 15 https://example.com

WindowsのPowerShellでは環境によってcurlが別のコマンドの別名になることがある。curl本体を指定したいときはcurl.exe -I https://example.comと入力する。

-IはGETではなくHEADを送るため、HEADを許可していないWebサービスではエラーになる場合がある。HTTP 200が表示されたとしてもページの中身や操作が正常であるとは限らない。-vの結果に認証情報やCookieが含まれることがあるため、ログを共有する前に確認する。

pathping：経路を調べながら応答を集計する

Windowsのpathpingは、経路上のルータを調べたあとで複数回のICMPエコー要求を送り、応答率などを集計する。

pathping /n /q 20 example.com

/nは名前への逆引きを省略し、/q 20は各ホップへの問い合わせ回数を20回にする。集計にはある程度の時間がかかる。

途中のルータがICMPへの応答を制限していると、そのルータの応答率だけが低く見えることがある。中継する通常の通信に同じ割合の損失が起きているとは限らない。

つながらないときの確認順序

実務では、1回のコマンドの成功・失敗で結論を出さず、別の方法で仮説を確かめる。

例えば「IPアドレス宛ての通信はできるが名前を使うと失敗する」場合、DNSなどの名前解決を重点的に調べる。一方で「pingは成功するがTCP/443への接続だけ失敗する」なら、ファイアウォールの許可ルールや相手の待受状態を調べる。

結果を読み間違えないために

午後での問われ方

この用語が出てくる記事

• ping