5.2Wiresharkによるパケットキャプチャ

これまでの節で学ぶ ping や nslookup は「つながるか」「名前を引けるか」を確かめる道具ですが、実際にどんなパケットがやり取りされているのかそのものは見せてくれません。ここで登場するのがパケットアナライザで、代表的なのが無償で広く使われるWiresharkです。この節では、通信を1パケットずつ捕まえて中身（送信元・宛先・プロトコル・内容）を可視化するパケットアナライザの目的と、キャプチャを.pcapファイルとして保存し後から開いて解析するという基本的な使い方を、入門レベルで学びます。

5.2.1パケットアナライザの目的

• パケットアナライザ＝ネットワークを流れる通信を1パケットずつ捕まえて中身を見せるソフト。送信元/宛先のアドレス、使われているプロトコル（TCP/UDP/DNSなど）、やり取りの内容まで確認でき、Wiresharkが代表格。
• 目的は「実際に何が起きているか」を目で確かめること。ping は通/不通しか分からないが、キャプチャを見れば「要求は出ているのに応答が返っていない」「途中で別のプロトコルが割り込んでいる」など、症状の一段深い原因が見える。
• 取得にはキャプチャ対象のインターフェースを選んで開始する。大量のパケットが流れるため、フィルタ（例：ip.addr 192.168.1.10 や dns）で見たい通信だけに絞り込むのが実務の基本。

5.2.2.pcapファイルの保存とオープン

• .pcapファイル＝キャプチャした通信を保存する標準的なファイル形式（packet captureの略）。その場で見るだけでなくファイルに保存しておけば、後から何度でも開いて解析でき、他の人にも渡せる。
• 現場で捕まえた通信を.pcapで保存して上位のエンジニアやベンダーに送る、という使い方が典型。自分では原因が分からなくても、証跡としての.pcapがあれば専門家が同じ通信をそのまま追試できる。
• 保存した.pcapは別のPCのWiresharkでも開ける。つまりキャプチャする場所（問題の起きている現場）と解析する場所（詳しい人の手元）を分けられるのが、ファイルに残す大きな利点。

あるWebアプリでユーザーがログインだけできないというトラブルがあり、ping でサーバへは問題なく到達できることは確認済みだとします。ここで「pingが通るのだからネットワークは正常、これはアプリの問題だろう」と即断するのは早計です。パケットアナライザを使えば、その断定の前に実際の通信の中身を確かめられます。クライアントPCでWiresharkを起動し、対象のインターフェースでキャプチャを開始してから、もう一度ログインを試します。取得したパケットをDNSやHTTPS（TCP443）でフィルタして眺めると、たとえば「ログイン要求（リクエスト）はサーバへ送られているのに、サーバからの応答が特定の段階で返ってきていない」といった、ping だけでは絶対に見えなかった事実が浮かび上がります。ここで大切なのは、原因の断定を急がず、まず何が流れているかを証跡として捕まえるという姿勢です。そして捕まえた通信は.pcapファイルとして保存します。入門段階の技術者は、この.pcapを根拠にして「pingは通るがログインのHTTPS応答が特定段階で欠落している」と具体的な事実を添えて上位担当に引き継ぐことができます。自分ですべてを解析できなくても、.pcapという共有可能な証跡を残せること自体が、切り分けと引き継ぎを大きく前進させるのです。

5.2.3この節のまとめ

• パケットアナライザ（Wireshark）は通信を1パケットずつ捕まえ、送信元/宛先/プロトコル/中身を可視化する
• pingが通/不通しか示さないのに対し、キャプチャは実際に何が流れているかの中身を見せる
• キャプチャは.pcapファイルとして保存でき、後から/別PCで開いて解析・証跡として共有・引き継ぎできる