5.2Wiresharkによるパケットキャプチャ

これまでの節で学ぶ ping や nslookup は「つながるか」「名前を引けるか」を確かめる道具ですが、実際にどんなパケットがやり取りされているのかそのものは見せてくれません。ここで登場するのがパケットアナライザで、代表的なのが無償で広く使われるWiresharkです。この節では、通信を1パケットずつ捕まえて中身（送信元・宛先・プロトコル・内容）を可視化するパケットアナライザの目的と、キャプチャを.pcapファイルとして保存し後から開いて解析するという基本的な使い方を、入門レベルで学びます。

5.2.1パケットアナライザの目的

• パケットアナライザ＝ネットワークを流れる通信を1パケットずつ捕まえて中身を見せるソフト。送信元/宛先のアドレス、使われているプロトコル（TCP/UDP/DNSなど）、やり取りの内容まで確認でき、Wiresharkが代表格。
• 目的は「実際に何が起きているか」を目で確かめること。ping は通/不通しか分からないが、キャプチャを見れば「要求は出ているのに応答が返っていない」「途中で別のプロトコルが割り込んでいる」など、症状の一段深い原因が見える。
• 取得にはキャプチャ対象のインターフェースを選んで開始する。大量のパケットが流れるため、フィルタ（例：ip.addr 192.168.1.10 や dns）で見たい通信だけに絞り込むのが実務の基本。

5.2.2.pcapファイルの保存とオープン

• .pcapファイル＝キャプチャした通信を保存する標準的なファイル形式（packet captureの略）。その場で見るだけでなくファイルに保存しておけば、後から何度でも開いて解析でき、他の人にも渡せる。
• 現場で捕まえた通信を.pcapで保存して上位のエンジニアやベンダーに送る、という使い方が典型。自分では原因が分からなくても、証跡としての.pcapがあれば専門家が同じ通信をそのまま追試できる。
• 保存した.pcapは別のPCのWiresharkでも開ける。つまりキャプチャする場所（問題の起きている現場）と解析する場所（詳しい人の手元）を分けられるのが、ファイルに残す大きな利点。