皆さん、こんにちは！ NOCシニアエンジニアの○○です。
今日も元気にネットワークの海を泳いでいますか？ 私はもう、パケットの脈動を肌で感じるくらい、この仕事にどっぷり浸かっています（笑）。
さて、インフラやネットワークの世界に足を踏み入れたばかりの皆さんにとって、ネットワークの診断って「なんか魔法みたい」に感じることもありますよね。特にコマンドラインツールを使って「あ、繋がった！」「あれ、繋がらない！」と一喜一憂する日々、懐かしいなぁ。私もそうでした。
今回は、そんな皆さんがきっと一度は経験するであろう、「え、このコマンド、sudoつけないと動かないの！？」という疑問に、NOCの現場目線でズバッと答えていきたいと思います。
特に、pingやtracerouteといったおなじみのコマンドが、なぜ「特別な許可証」を必要とするのか。その裏側にあるLinuxカーネルの仕組み、「ケーパビリティ」というちょっと小難しい概念を、皆さんに優しい言葉と身近な例え話で紐解いていきましょう。
大丈夫、一歩ずつ理解していけば、皆さんも立派な「パケットの旅人」になれますよ！
—
ネットワーク診断コマンド、いつも使ってるよね？
ネットワークに何か異常があったとき、まず最初に何をしますか？ そう、多くの場合、pingですよね！
# Webサーバーへの疎通確認
ping google.com
# サーバー間の経路確認
traceroute your_server_ip
# ドメイン名の解決
nslookup example.com
# ネットワーク接続状況の確認
netstat -tuln # もしくは ss -tulnこれらのコマンドは、ネットワークの疎通確認、経路の特定、名前解決、ポートの利用状況など、日々の運用監視やトラブルシューティングに欠かせない、まさに「ネットワークエンジニアの七つ道具」とも言えるツール群です。
でも、たまにこんな経験、ありませんか？
# pingを打ったら...
ping: socket: Operation not permitted「あれ？さっきまで動いてたのに…」「なんで急に怒られるの！？」って、焦っちゃいますよね。私も新人の頃は何度か経験しました。まさに「Operation not permitted」というメッセージに、心が折れそうになったものです。
この「許可されていない操作です！」というメッセージは、一体何を意味しているのでしょうか？ それを理解するために、まずはpingがどうやって通信しているのか、その裏側を覗いてみましょう。
—
「特別なチケット」が必要な理由 – rawソケットとICMP
ネットワーク通信を、皆さんがよくご存知の「郵便配達」に例えてみましょう。
- IPアドレス: 郵便物の「住所」
- ポート番号: マンションの「部屋番号」や、会社の「受付窓口」
- データ: 郵便物の「手紙」や「荷物」
普段、Webブラウザでサイトを見たり（HTTP）、ファイルをダウンロードしたり（FTP）、SSHでサーバーに接続したり（SSH）するときに使われる通信は、だいたいTCPかUDPというプロトコル（通信規約）に乗って運ばれます。これは、例えるなら「一般的な手紙」や「宅配便」のようなものです。これらは、特定の住所と部屋番号（IPアドレスとポート番号）宛てに送られます。
ICMPは「特別な郵便局員向け連絡票」
しかし、pingやtracerouteが使うのは、TCPでもUDPでもありません。彼らが使うのはICMP (Internet Control Message Protocol)という、ちょっと特殊なプロトコルなんです。
ICMPは、例えるなら「郵便局員同士が使う特別な連絡票」のようなもの。
- 「この住所、本当に存在しますか？」（
pingのEcho Request/Reply） - 「この住所まで、どんな経路を辿ってきましたか？」（
tracerouteのTime Exceeded） - 「送った荷物、途中で壊れちゃいました…」（Destination Unreachable）
といった、ネットワークの状態やエラーを報告し合うために使われます。これは、一般の利用者が手紙を出すのとは少し違う、「ネットワークの基盤そのもの」に関わる情報交換なんです。
rawソケットは「郵便局のバックヤードパス」
さて、このICMPという「特別な連絡票」を自分で作成したり、受け取ったりするためには、rawソケットという特殊な仕組みが必要になります。
一般的なTCP/UDP通信は、OSが用意してくれた「一般的な窓口」を通じて行われます。皆さんが手紙を出すとき、郵便局の窓口に行きますよね？ それが一般的なソケットです。
でも、ICMPのような「郵便局員同士の連絡票」を、システム（OSのカーネル）に直接指示して、自分で内容を細かく指定して送ったり、届いた生の連絡票を読み取ったりするには、もっと特別な権限が必要になります。これが、rawソケットです。
rawソケットは、例えるなら「郵便局のバックヤードに直接入って、郵便局員専用の連絡票を自分で作成・送信・受信するための特別なパス」のようなもの。
普通、そんなこと、誰でも好き勝手にやられたら困りますよね？ 重要な郵便局のシステムが混乱したり、悪用されたりする可能性だってあります。だから、Linuxカーネルは「おいおい、勝手にそんなことするなよ！」と、デフォルトではこのrawソケットの利用を制限しているんです。
—
Linuxの「警備員」：ケーパビリティとcap_net_raw
ここでようやく、本題の「権限昇格」の話に繋がります。
sudoは「何でもできる社長パス」
皆さんがpingを打って「Operation not permitted」と言われたときに、たいていどうしますか？ そう、sudoを頭につけますよね。
sudo ping google.comsudoは、ご存知の通り「管理者（rootユーザー）の権限でコマンドを実行する」ためのコマンドです。例えるなら、「郵便局の社長が持っている、何でもできるオールマイティなパス」のようなもの。このパスがあれば、バックヤードに入るどころか、郵便局のシステム設定だって自由にいじれます。
確かにsudoを付ければpingは動きます。しかし、これは「ICMPを使いたいだけなのに、システム全体を管理できるほどの強大な権限を一時的に与えている」ということになります。本当にICMP通信のためだけに、そんなに大きな権限が必要なのでしょうか？
ケーパビリティは「特定の業務に特化したプロフェッショナルパス」
そこで登場するのが、Linuxカーネルの「ケーパビリティ (Capabilities)」という概念です。
ケーパビリティは、rootユーザーが持つ「何でもできる権限」を、もっと細かく、特定の機能に限定して分割したものです。例えるなら、「郵便局の各部署が持つ、特定の業務にだけ使えるプロフェッショナルパス」のようなもの。
例えば、
- 「ネットワークデバイスを設定変更できるパス」（
cap_net_admin） - 「ファイルシステムの所有者を変更できるパス」（
cap_chown） - 「システム時刻を変更できるパス」（
cap_sys_time）
など、様々なケーパビリティが存在します。
そして、rawソケットを生成してICMP通信を行うために必要なのが、まさに今日のお題であるcap_net_rawというケーパビリティなんです。
cap_net_rawは、例えるなら「郵便局のバックヤードで、ICMPのような生のネットワークパケットを直接扱える、ネットワークプロフェッショナル専用のパス」です。このパスがあれば、他のシステム設定には一切触れずに、必要なICMP通信だけを行うことができます。
つまり、pingやtracerouteがsudoを必要とするのは、rawソケットを使うためにcap_net_rawというケーパビリティが必要だから、ということになります。sudoを付けると、すべてのケーパビリティが付与されたroot権限で実行されるため、cap_net_rawも自動的に含まれて、無事にコマンドが実行できるようになる、というわけですね。
—
現場での対応策：sudoとsetcap
では、この「特別な許可証」をどうやって手に入れて、コマンドを実行すれば良いのでしょうか？ 現場では主に以下の2つの方法が取られます。
1. sudoを使う（簡単だが広範な権限）
最も手軽で一般的な方法が、sudoを使って一時的にroot権限で実行することです。
# google.comへのpingをroot権限で実行
sudo ping google.com
# サーバーまでのtracerouteをroot権限で実行
sudo traceroute your_server_ipこれは、ICMP通信だけでなく、そのコマンドが実行する可能性のあるあらゆる操作をroot権限で行うことを意味します。手軽ではありますが、セキュリティ的にはやや広範な権限を与えすぎている、という側面も理解しておく必要があります。信頼できるコマンドや、一時的な診断目的での利用に限定するのが賢明です。
2. setcapを使って特定のコマンドにcap_net_rawを付与する（よりセキュア）
より洗練された方法が、setcapコマンドを使って、特定の実行ファイル（この場合はpingやtracerouteのプログラム本体）にcap_net_rawケーパビリティを直接付与してしまうことです。
これにより、そのコマンドはroot権限なしでcap_net_rawの機能だけを使えるようになります。
# pingコマンドの現在のケーパビリティを確認（通常は何も表示されないか、既に付与されている）
getcap /usr/bin/ping
# pingコマンドにcap_net_rawケーパビリティを付与
# (E)は"effective"、つまりケーパビリティが実際に有効になることを意味します
sudo setcap cap_net_raw+ep /usr/bin/ping
# tracerouteコマンドにも同様に付与
sudo setcap cap_net_raw+ep /usr/bin/tracerouteこれで、sudoなしでpingやtracerouteが実行できるようになります。
# setcap実行後、sudoなしでpingが実行できるか確認
ping google.com【注意点】
- セキュリティへの配慮:
setcapでケーパビリティを付与されたコマンドは、root権限なしでその特権的な操作が行えるようになります。もしそのコマンドに脆弱性があった場合、悪意のあるユーザーによって悪用されるリスクがあるため、慎重に適用する必要があります。 - パスの確認:
pingやtracerouteの実行ファイルパスは、ディストリビューションや環境によって異なる場合があります（例:/bin/ping,/usr/bin/ping）。which pingなどで正確なパスを確認してから実行しましょう。 - 取り消し方: もしケーパビリティを元に戻したい場合は、
-rオプションを使います。
sudo setcap -r /usr/bin/ping多くのLinuxディストリビューションでは、pingやtracerouteはデフォルトでcap_net_rawケーパビリティが付与されていることが多いです。もし皆さんの環境で最初からsudoなしで動いているなら、このsetcapが既に適用されている可能性が高いでしょう。
—
nslookup/digやnetstat/ssはなぜsudoなしで動くの？
「あれ？でもnslookupとかnetstatはsudoなしで普通に動くけど？」と思った方もいるかもしれませんね。良い質問です！
これらのコマンドは、基本的にTCPやUDPといった「一般的な郵便」の仕組みを使います。
nslookupやdig: DNSサーバーに対して、UDPやTCPを使ってドメイン名の解決を問い合わせます。これは特定のポート（通常は53番）宛てに送る「一般的な手紙」のようなものです。netstatやss: 自分のOSが管理しているネットワーク接続状況やポートの利用状況を表示します。これはOSが既に持っている情報を「教えてもらう」だけなので、特別なソケットや権限は不要なことが多いです。
もちろん、netstatやssでも、例えば他のユーザーが所有しているプロセスの情報を表示したり、Rawソケットの情報を表示したりする場合には、やはりsudoが必要になることもあります。ですが、一般的な利用ではsudoなしで十分な情報を得られるようになっています。
—
まとめ：権限の理解はトラブル解決の第一歩！
今回は、pingやtracerouteといったネットワーク診断コマンドが、なぜ「特別な許可証」を必要とするのかについて、深く掘り下げてきました。
pingやtracerouteは、ICMPという「郵便局員向けの連絡票」を使います。- ICMP通信には、
rawソケットという「郵便局のバックヤードパス」が必要です。 rawソケットを使うための「特定の業務に特化したプロフェッショナルパス」が、Linuxのcap_net_rawケーパビリティです。sudoを使えば一時的にroot権限を得て実行できますが、setcapを使えばよりセキュアに、特定のコマンドに限定してcap_net_rawケーパビリティを付与できます。
ネットワークのトラブルシューティングは、闇雲にコマンドを打つのではなく、そのコマンドが「なぜ動いているのか」「なぜ動かないのか」という裏側の仕組みを理解することが、本当に重要です。今回の内容が、皆さんのネットワークに関する知見を深める一助となれば幸いです。
これからも、パケットが織りなす奥深いネットワークの世界を、一緒に楽しんでいきましょうね！
それではまた、次の記事でお会いしましょう！
コメント