WireShark でパケットをキャプチャする方法

Wireshark は、ネットワークを通過するデータを読み取り可能な形式に変換する、非常に貴重なネットワーク分析ツールです。Wireshark でパケットをキャプチャすることで、ネットワークやセキュリティの問題を特定したり、プロトコル実装をデバッグしたり、単にトラフィックを監視したりできます。

必要な情報を正確に取得して、ネットワーク内で何が起こっているかを詳しく調べます。Wireshark でさまざまな種類のパケットをキャプチャする方法は次のとおりです。

パケットをキャプチャする方法

Wireshark でキャプチャプロセスを開始するには、数回クリックするだけです。キャプチャモードを開始するだけで、データがフィルタリングされずに流れ込み始めます。このフィルタなしモードは、何が起こっているかに関する完全なレポートが必要な場合に最適ですが、このように取得されるデータの量は膨大になる可能性があります。管理しやすくするために、フィルターを使用して特定の種類のデータのみをキャプチャできます。その手順については以下で説明します。

ここでは、Wireshark ですべてのパケットのキャプチャを開始する方法を見てみましょう。

最新バージョンの Wireshark がインストールされていることを確認してください。このプログラムは、 Wireshark の公式 Web サイトから無料で入手できます。
プログラムを起動します。検出されたネットワークのリストを含むようこそ画面が表示されます。
次のいずれかの方法でパケットのキャプチャを開始します。
- リスト上で選択したネットワークをダブルクリックします。
- 1 つ以上のネットワークインターフェイスを選択し、ツールバーのフカヒレアイコンをクリックするか、メニューバーの「キャプチャ」をクリックしてから「開始」をクリックします。

注: 開始する前に、[キャプチャ]、[オプション] の順にクリックして、無差別モードなどのキャプチャオプションを調整することもできます。

ネットワークインターフェイスまたはスタートボタンをクリックすると、すぐにキャプチャ画面が表示されます。Wireshark がリアルタイムでデータパケットを取得しているのがわかります。収集されたデータの量に満足したら、上部のツールバーにある赤い停止ボタンをクリックしてキャプチャを停止できます。すぐにデータの分析を開始するか、メニューバーの [ファイル] をクリックしてから [名前を付けて保存…] をクリックして後で保存します。

UDPパケットをキャプチャする方法

上記の手順に従うと、プログラムはすべてのパケットをキャプチャするように求められます。Wireshark では色分けのおかげでさまざまな種類のトラフィックを簡単に区別できますが、それでも大量のデータを選別する必要があります。特定のパケットに関する情報のみを探している場合は、フィルターを使用すると作業が容易になります。

Wireshark は、キャプチャフィルタと表示フィルタの両方をサポートします。キャプチャフィルタを使用すると、プログラムは定義したパケットのみをキャプチャすることになります。表示フィルタは、すでにキャプチャされたパケットをフィルタリングするだけです。2 つのフィルターは動作が異なり、使用するコマンドも異なるため、どちらがニーズに最も適しているかを決定する必要があります。

UDP トラフィックのみをキャプチャする場合は、キャプチャプロセスを開始する前にキャプチャフィルタを使用します。

Wiresharkを起動します。
ようこそ画面でキャプチャフィルターバーを探してください。これは、ネットワークリストのすぐ上にあるものです。
キャプチャフィルタバーに「udp」と入力し、Enter キーを押して UDP トラフィックのキャプチャを開始します。フィルターをさらに指定したい場合は、「udp」の後に特定のポートを追加することもできます。

ヒント: キャプチャフィルタを調整するもう 1 つの方法は、メニューで [キャプチャ] をクリックし、次に [オプション] をクリックすることです。フィルターバーはキャプチャインターフェイスの下部にあります。

Wireshark DHCP パケットをキャプチャする方法

DHCP パケットを排他的にキャプチャするには、キャプチャフィルタに対応するポート番号を入力する必要があります。DHCP パケットをキャプチャするには、キャプチャフィルタ「ポート 67」または「ポート 68」、または 2 つの「ポート 67 またはポート 68」の組み合わせを使用します。

同様に、表示フィルタを使用すると、キャプチャ画面内の DHCP パケットをフィルタリングして除外できます。ただし、表示フィルターはキャプチャフィルターとは異なる構文を使用することに注意してください。表示フィルターバーに「udp.port == 68」と入力する必要があります。

Pingパケットをキャプチャする方法

Wireshark で ping パケット (インターネット制御メッセージプロトコル (ICMP) エコートラフィックとも呼ばれる) をキャプチャする最良の方法は、キャプチャモードで表示フィルタを使用することです。プロセスは次のとおりです。

Wireshark を開き、上記の説明に従ってキャプチャプロセスを開始します。
コマンドプロンプトを開き、選択したアドレスに ping を実行します。
Wireshark に戻り、キャプチャプロセスを停止します。
表示フィルターバーに「icmp」と入力し、Enter キーを押して、ping パケットのフィルターを作成します。

パケットリストには、ping に対するリクエストと応答の両方が表示されます。

Wireshark 特定の IP アドレスからパケットをキャプチャする方法

特定の IP アドレスに焦点を当ててキャプチャを行う場合は、キャプチャを開始する前に「host [記録する IP アドレス]」というキャプチャフィルタを入力します。たとえば、IP アドレス 111.11.1.1 に関連するパケットをキャプチャするには、キャプチャフィルタバーにフィルタ「ホスト 111.11.1.1」が必要です。

「host:」の代わりに先頭に送信元の「src」または宛先の「dst」を追加することで、特定の IP アドレスとの間のトラフィックをキャプチャするかどうかを定義することもできます。

問題の IP アドレスからのパケットに対して「src 111.11.1.1」と入力します。
問題の IP アドレスにパケットが送信される場合は、「dst 111.11.1.1」と入力します。

当然のことながら、これらのフィルタを組み合わせて、さらにキャプチャしたいトラフィックを指定できます。2 つのフィルタを「and」で接続すると、定義した 2 つの IP アドレス間を通過するパケットが取得されます。たとえば、「src 111.11.1.1 and dst 222.22.2.2」は、111.11.1.1 から 222.22.2.2 に送信されたパケットのみをキャプチャします。

表示フィルタを使用して、すでに取得されたデータセット内の特定の IP アドレスに関連するパケットをフィルタリングします。上記の IP アドレスについては、表示フィルターバーに「ip.addr == 111.11.1.1」と入力します。

よくある質問

Wireshark でルーターパケットをキャプチャするにはどうすればよいですか?

Wireshark でルーターパケットをキャプチャできるのは、ポートミラーリングをサポートするルーターがある場合のみです。まず、トラフィックを LAN ポートにミラーリングする必要があります。デバイスによってプロセスが異なる場合があります。

1. [LAN]、[LAN ポートミラー]の順に移動します。

2. ポートミラーリングを有効にします。

3. ソースポイントと宛先ポイントを設定します。

この方法でトラフィックをミラーリングできれば、Wireshark のキャプチャモードでルーターパケットを通常どおりキャプチャできるようになります。

Wireshark でパケットをキャプチャできないのはなぜですか?

Wireshark がパケットをキャプチャしていない場合は、次の可能性を調べて問題のトラブルシューティングを行ってください。

• 過度に限定的なキャプチャフィルタが有効になっていないことを確認してください。

• [ヘルプ] メニューで Wireshark のアップデートを探します。