インストールガイド · 3 min read · Oct 10, 2025

Ubuntu 22.04にArkime Molochパケットキャプチャツールをインストールする方法

Arkimeは、PCAP形式でネットワークトラフィックを保存およびインデックス化する無料のオープンソースの大規模インデックス付きパケットキャプチャおよび検索ツールです。Molochとしても知られ、複数のクラスタ化されたシステムに展開されるように設計されており、毎秒数ギガビットのトラフィックを処理するためにスケールする能力を提供します。Arkimeには、PCAPをブラウズ、検索、エクスポートするのに役立つ組み込みの管理インターフェースがあります。他のPCAP取り込みツールを使用して、ワークフローを分析できます。

このチュートリアルでは、Ubuntu 22.04にArkimeパケットキャプチャツールをインストールする方法を示します。

前提条件

  • Ubuntu 22.04を実行しているサーバー。
  • サーバーにルートパスワードが設定されていること。

始めに

始める前に、システムパッケージを最新バージョンに更新する必要があります。次のコマンドで更新できます：

apt-get update -y

すべてのパッケージが更新されたら、次のコマンドを使用して必要な依存関係をインストールします：

apt-get install gnupg2 curl wget -y

次に、システムにLibsslおよびLibffiライブラリをインストールする必要があります。次のコマンドを実行して両方をダウンロードしてインストールできます：

wget http://es.archive.ubuntu.com/ubuntu/pool/main/libf/libffi/libffi7_3.3-4_amd64.deb  
wget http://archive.ubuntu.com/ubuntu/pool/main/o/openssl/libssl1.1_1.1.1f-1ubuntu2_amd64.deb  
dpkg -i libffi7_3.3-4_amd64.deb  
dpkg -i libssl1.1_1.1.1f-1ubuntu2_amd64.deb  
ln -s /usr/lib/x86_64-linux-gnu/libssl.so.1.1 /usr/local/lib/  
ln -s /usr/lib/x86_64-linux-gnu/libffi.so.7 /usr/local/lib/

すべてのパッケージがインストールされたら、次のステップに進むことができます。

Elasticsearchのインストール

Arkimeはインデックス作成と検索にElasticsearchを使用します。したがって、システムにElasticsearchをインストールする必要があります。デフォルトでは、最新バージョンのElasticsearchはUbuntuのデフォルトリポジトリには含まれていません。したがって、Elasticsearchリポジトリをシステムに追加する必要があります。

最初に、次のコマンドでGPGキーを追加します：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch --no-check-certificate | apt-key add -

次に、次のコマンドでAPTにElasticsearchリポジトリを追加します：

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | tee -a /etc/apt/sources.list.d/elastic-7.x.list

次に、リポジトリを更新し、次のコマンドでElasticsearchパッケージをインストールします：

apt-get update -y  
apt-get install elasticsearch -y

Elasticsearchがインストールされたら、Elasticsearchの設定ファイルを編集し、Javaメモリを設定します：

nano /etc/elasticsearch/jvm.options

次の行を変更します：

-Xms500m
-Xmx500m

ファイルを保存して閉じたら、次のコマンドでシステム再起動時にElasticsearchサービスが開始されるように有効にします：

systemctl enable --now elasticsearch

デフォルトでは、Elasticsearchはポート9200でリッスンしています。次のコマンドで確認できます：

ss -antpl | grep 9200

次の出力が得られるはずです：

LISTEN 0      4096   [::ffff:127.0.0.1]:9200            *:*    users:(("java",pid=30581,fd=291))                                                                                                                                                                                                                                                                                
LISTEN 0      4096                [::1]:9200         [::]:*    users:(("java",pid=30581,fd=290))

次のコマンドでElasticsearchを確認することもできます：

curl http://localhost:9200

次の出力が得られるはずです：

{
  "name" : "ubuntu2204",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "6QiUfVa4Q9G8lxHjuVLjUQ",
  "version" : {
    "number" : "7.17.5",
    "build_flavor" : "default",
    "build_type" : "deb",
    "build_hash" : "8d61b4f7ddf931f219e3745f295ed2bbc50c8e84",
    "build_date" : "2022-06-23T21:57:28.736740635Z",
    "build_snapshot" : false,
    "lucene_version" : "8.11.1",
    "minimum_wire_compatibility_version" : "6.8.0",
    "minimum_index_compatibility_version" : "6.0.0-beta1"
  },
  "tagline" : "検索のために知っている"
}

この時点で、Elasticsearchはインストールされ、実行中です。次のステップに進むことができます。

Arkimeのインストールと設定

最初に、次のコマンドでArkimeの最新バージョンをダウンロードします：

wget https://s3.amazonaws.com/files.molo.ch/builds/ubuntu-20.04/arkime_3.4.2-1_amd64.deb

パッケージがダウンロードされたら、次のコマンドでダウンロードしたパッケージをインストールします：

apt install ./arkime_3.4.2-1_amd64.deb

Arkimeがインストールされたら、次のコマンドを実行して設定します：

/opt/arkime/bin/Configure

ネットワークインターフェースを指定するように求められます。以下のように表示されます：

Found interfaces: lo;eth0;eth1
Semicolon ';' seperated list of interfaces to monitor [eth1] eth0

ネットワークインターフェース名を入力し、Enterを押して続行します。設定が完了すると、次の出力が得られるはずです：

Install Elasticsearch server locally for demo, must have at least 3G of memory, NOT recommended for production use (yes or no) [no] no
Elasticsearch server URL [http://localhost:9200] 
Password to encrypt S2S and other things, don't use spaces [no-default] password
Arkime - Creating configuration files
Installing systemd start files, use systemctl
Arkime - Installing /etc/logrotate.d/arkime to rotate files after 7 days
Arkime - Installing /etc/security/limits.d/99-arkime.conf to make core and memlock unlimited
Download GEO files? You'll need a MaxMind account https://arkime.com/faq#maxmind (yes or no) [yes] no
Arkime - NOT downloading GEO files

Arkime - Configured - Now continue with step 4 in /opt/arkime/README.txt

 4) The Configure script can install elasticsearch for you or you can install yourself
      systemctl start elasticsearch.service
 5) Initialize/Upgrade Elasticsearch Arkime configuration
  a) If this is the first install, or want to delete all data
      /opt/arkime/db/db.pl http://ESHOST:9200 init
  b) If this is an update to a moloch/arkime package
      /opt/arkime/db/db.pl http://ESHOST:9200 upgrade
 6) Add an admin user if a new install or after an init
      /opt/arkime/bin/arkime_add_user.sh admin "Admin User" THEPASSWORD --admin
 7) Start everything
      systemctl start arkimecapture.service
      systemctl start arkimeviewer.service
 8) Look at log files for errors
      /opt/arkime/logs/viewer.log
      /opt/arkime/logs/capture.log
 9) Visit http://arkimeHOST:8005 with your favorite browser.
      user: admin
      password: THEPASSWORD from step #6

IP -> Geo/ASNを機能させるには、maxmindアカウントとgeoipupdateプログラムを設定する必要があります。
https://arkime.com/faq#maxmindを参照してください。

設定変更は/opt/arkime/etc/config.iniに行うことができます。
問題についてはhttps://arkime.com/faq#moloch-is-not-workingを参照してください。

追加情報は次の場所で見つけることができます：
  * https://arkime.com/faq
  * https://arkime.com/settings

完了したら、次のステップに進むことができます。

Elasticsearch Arkime設定の初期化

次に、Elasticsearch Arkime設定を初期化する必要があります。次のコマンドで行えます：

/opt/arkime/db/db.pl http://localhost:9200 init

次に、次のコマンドでArkimeの管理ユーザーアカウントを作成します：

/opt/arkime/bin/arkime_add_user.sh admin "Moloch SuperAdmin" password --admin

次に、次のコマンドでGeoデータベースを更新します：

/opt/arkime/bin/arkime_update_geo.sh

完了したら、次のステップに進むことができます。

Arkimeサービスの開始と管理

Arkimeは、キャプチャ、ビューワー、Elasticsearchの3つのコンポーネントで構成されています。したがって、各コンポーネントのサービスを開始する必要があります。

次のコマンドでArkimecaptureおよびArkimeviewerサービスを開始し、システム再起動時に開始されるように有効にできます：

systemctl enable --now arkimecapture  
systemctl enable --now arkimeviewer

次のコマンドで両方のサービスのステータスを確認できます：

systemctl status arkimecapture arkimeviewer

次の出力が得られるはずです：

? arkimecapture.service - Arkime Capture
     Loaded: loaded (/etc/systemd/system/arkimecapture.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2022-08-15 03:55:10 UTC; 1min 0s ago
    Process: 33704 ExecStartPre=/opt/arkime/bin/arkime_config_interfaces.sh -c /opt/arkime/etc/config.ini -n default (code=exited, status=0/S>
   Main PID: 33724 (sh)
      Tasks: 7 (limit: 2242)
     Memory: 213.2M
        CPU: 806ms
     CGroup: /system.slice/arkimecapture.service
             ??33724 /bin/sh -c "/opt/arkime/bin/capture -c /opt/arkime/etc/config.ini  >> /opt/arkime/logs/capture.log 2>&1"
             ??33725 /opt/arkime/bin/capture -c /opt/arkime/etc/config.ini

Aug 15 03:55:09 ubuntu2204 systemd[1]: Starting Arkime Capture...
Aug 15 03:55:10 ubuntu2204 systemd[1]: Started Arkime Capture.

? arkimeviewer.service - Arkime Viewer
     Loaded: loaded (/etc/systemd/system/arkimeviewer.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2022-08-15 03:08:39 UTC; 47min ago
   Main PID: 31759 (sh)
      Tasks: 12 (limit: 2242)
     Memory: 56.7M
        CPU: 2.127s
     CGroup: /system.slice/arkimeviewer.service
             ??31759 /bin/sh -c "/opt/arkime/bin/node viewer.js -c /opt/arkime/etc/config.ini  >> /opt/arkime/logs/viewer.log 2>&1"
             ??31760 /opt/arkime/bin/node viewer.js -c /opt/arkime/etc/config.ini

Aug 15 03:08:39 ubuntu2204 systemd[1]: Started Arkime Viewer.

次のコマンドでビューワーログを確認できます：

tail -f /opt/arkime/logs/viewer.log

次のコマンドでキャプチャログを確認できます：

tail -f /opt/arkime/logs/capture.log

次の出力が得られるはずです：

Aug 15 03:57:20 http.c:389 moloch_http_curlm_check_multi_info(): 2/3 ASYNC 201 http://localhost:9200/arkime_dstats/_doc/ubuntu2204-1408-5 804/159 0ms 20ms
Aug 15 03:57:20 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=66 798/157 0ms 24ms
Aug 15 03:57:22 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/_bulk 715/221 0ms 10ms
Aug 15 03:57:22 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=67 805/158 0ms 12ms
Aug 15 03:57:24 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/_bulk 1471/253 0ms 24ms
Aug 15 03:57:24 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=68 806/157 0ms 18ms
Aug 15 03:57:25 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 201 http://localhost:9200/arkime_dstats/_doc/ubuntu2204-1409-5 808/159 0ms 10ms

Arkimeウェブインターフェースにアクセス

この時点で、Arkimeは起動し、ポート8005でリッスンしています。次のコマンドで確認できます：

ss -antpl | grep 8005

次の出力が得られるはずです：

LISTEN   0        511                          *:8005                  *:*       users:(("node",pid=11362,fd=20))

今、ウェブブラウザを開き、URL http://your-server-ip:8005を使用してArkimeウェブインターフェースにアクセスします。以下のように、管理者のユーザー名とパスワードを提供するように求められます：

管理者のユーザー名、パスワードを入力し、サインインボタンをクリックします。次のページにArkimeダッシュボードが表示されるはずです：

結論

おめでとうございます！Ubuntu 22.04サーバーにArkimeパケットキャプチャツールを正常にインストールおよび設定しました。これで、Arkimeを探索してさらに機能を利用し、パケットのキャプチャを開始できます。質問があればお気軽にお尋ねください。

Share: X/Twitter LinkedIn
#インストールガイド

新しい投稿を受信箱で受け取る

スパムはありません。いつでも購読を解除できます。