Wireshark

Wireshark を使うと、パソコンが送受信しているパケットを 1 つずつ開いて読めます。最初は自分で通信を記録せず、公式が配っているサンプルファイルを開くところから始めると安全です。

この記事は、ネットワークの勉強を始めたばかりの人に向けています。読み終えると、次のことができるようになります。

• サンプルのキャプチャファイルを開いて、HTTP のやり取りを読む
• 表示フィルタで、見たいパケットだけに絞り込む
• 自分のパソコンの通信を記録する

##Wireshark でできること

公式ガイドは、主な使い道として次のものを挙げています。

• ネットワーク管理者がネットワークの不具合を調べる
• セキュリティ担当者がセキュリティの問題を調べる
• 開発者がプロトコルの実装をデバッグする
• 学習者がプロトコルの仕組みを学ぶ

##安全な試し方：サンプルファイルを開く

自分の通信を記録すると、パスワードや閲覧履歴が含まれることがあります。練習には、公式 Wiki の SampleCaptures にあるファイルを使いましょう。

1. Wireshark の公式ダウンロードページから、使っている OS 用のインストーラーを入手してインストールします。
2. SampleCaptures の「HyperText Transport Protocol (HTTP)」の項目から http.cap をダウンロードします。HTTP のリクエストとレスポンスが 1 往復だけ入った小さなファイルです。
3. Wireshark を起動し、File>Open で http.cap を開きます。
4. 一覧から 1 行選ぶと、下のペインにそのパケットの中身が層ごとに表示されます。Ethernet、IP、TCP、HTTP の順に開いていくと、1 つのパケットが何重にも包まれていることが分かります。

##表示フィルタで絞り込む

パケットが多いときは、画面上部の表示フィルタ欄に条件を入れます。

条件は and や or でつなげられます。使えるプロトコルとフィールドの一覧は、View>Internals>Supported Protocols で確認できます。

##自分の通信を記録する

サンプルに慣れたら、自分のパソコンの通信を記録してみます。対象は、自分のパソコンと自分が管理するネットワークに限ってください。

Windows では、パケットの記録に Npcap というソフトが必要です。Wireshark のインストーラーに Npcap が含まれているので、インストール時の設定をそのまま使えば一緒に入ります。Npcap がなくても、保存済みのファイルを開くことはできます。

記録するパケットを最初から絞りたいときは、キャプチャフィルタを使います。キャプチャフィルタは表示フィルタとは書き方が違い、libpcap の形式で書きます。たとえば tcp port 23 and host 10.0.0.5 は、10.0.0.5 との telnet 通信だけを記録します。

##HTTPS の中身は読めない

HTTPS の通信は TLS で暗号化されているので、記録しても中身はそのまま読めません。Wireshark は、鍵の情報（キーログファイルなど）を渡したときだけ TLS を復号できます。詳しい手順は公式 Wiki の TLS のページにあります。

##注意点

##次に読む

• cd ../nmapNmapネットワーク上の機器と開いているポートを調べるツール
• cat ~/guides/lab-setup.md安全な検証環境の作り方