パケットキャプチャ

パケットキャプチャとは

パケットキャプチャ は、ネットワークを実際に流れているパケットを捕まえ、その中身を1つずつ観察する手法です。ログやアプリの挙動だけでは分からない「実際に何が送受信されたか」を、生のデータとして確認できます。

トラブルの原因を推測で当てるのではなく、事実そのものを見る のが最大の価値です。

代表的な道具は2つで、役割を分担して使うのが一般的です。

実務では 「サーバで tcpdump して .pcap に保存 → 手元の Wireshark で開いて解析」 という流れがよく使われます。GUIを直接サーバに入れずに済むためです。

何も指定せずキャプチャすると、膨大なパケットに埋もれて目的のものが見つかりません。フィルタ で対象を絞るのが必須です。フィルタには2種類あります。

# 443番ポート宛/発の通信だけを採取し、ファイルに保存
tcpdump -i eth0 'tcp port 443' -w capture.pcap

# 特定ホストとの通信だけを画面に表示
tcpdump -n host 203.0.113.10

Wiresharkの表示フィルタでは http、tcp.port == 443、ip.addr == 203.0.113.10 のように、後から自在に絞り込めます。

まず採取、解析は後で

本番環境では「とりあえずファイルに保存（-w）し、解析は別マシンでじっくり」が安全です。画面表示の処理が重いと採取側に負荷がかかり、取りこぼす原因にもなります。採取と解析を分けるのがコツです。

「アプリのログ上は正常なのに、なぜか遅い・つながらない」という場面で威力を発揮します。

ログでは「失敗した」しか分からないことが、キャプチャでは「SYNは送ったが応答が来ていない」など、原因の場所まで特定できます。

セキュリティ分野でも重要な道具です。

他人の通信の取得は権限とプライバシーに配慮

パケットキャプチャは通信の中身を見られる強力な手段です。自分の管理外のネットワークや他人の通信を無断で採取するのは、プライバシー侵害や法令違反になり得ます。必ず正当な権限の範囲で、対象を限定して行います。

「推測する前に、まず流れているものを見る」。この習慣が身につくと、見えなかった原因が一気に見えるようになります。