Wiresharkによるネットワークトラフィックのキャプチャと分析による診断

はじめに

このドキュメントでは、Wiresharkを使用してネットワークトラフィックを検出および分析し、診断を行う方法について説明します。

概要

Wiresharkは、パケットキャプチャ（「TCPダンプ」とも呼ばれる）の読み取りと分析に使用できる無料のアプリケーションです。 パケットキャプチャは、ネットワークアダプタを介したすべての通信をパケットレベルで明らかにし、DNS、HTTP、ping、およびその他のトラフィックタイプを表示できるようにします。パケットキャプチャは、詳細なトラブルシューティングの診断ステップとして特に有用であり、SIGの導入により、診断プロセスの基本的な部分となっています。

注:Wiresharkは選択されたアダプタのすべてのトラフィックをキャプチャします。パケットキャプチャには個人を特定できる情報(PII)が含まれていることが多いため、必ずBoxリンクなどの安全な方法を使用して、キャプチャファイルをサポートと共有してください。

Wiresharkの入手

Windows、macOS、またはLinux用のWiresharkは、https://www.wireshark.org/からダウンロードできます。

パケットキャプチャの収集

1. インターネットに接続されているネットワークアダプタを選択し、Wiresharkでキャプチャを開始します。
2. キャプチャ中に、診断したい問題を再現します。
3. 終了したらキャプチャを停止し、ファイルを.pcapとして保存します。

基本的なポートとプロトコル

• ほとんどのパケットは、トランスポート層プロトコルTCPまたはUDPで通信します
  • たとえば、「DNS」はデフォルトでUDPの「上」で実行されます。TCPに障害が発生するとUDPに切り替わる
• HTTPとDNSは、トランスポートプロトコル+ポートの組み合わせで動作する一般的なプロトコルです。

プロトコル名、ポート、およびその使用方法を知っておくと、Wiresharkで関連するトラフィックを特定して分析するのに役立ちます。

基本演算子

Wiresharkでフィルタ文字列を作成する場合は、次の演算子を使用します。

• ==: Equals (例：ip.dst==1.2.3.4)
• !=：等しくない(例：ip.dst!=1.2.3.4)
• &&：および(例：ip.dst==1.2.3.4 && ip.src==208.67.222.222)
• ||：または(例：ip.dst==1.2.3.4 || ip.dst==1.2.3.5)

高度なフィルタオプションについては、Wiresharkのドキュメントを参照してください(6.4)。表示フィルタ式の作成

フィルタ

パケットキャプチャには数千のパケットを含めることができます。フィルタを使用すると、特定のトラフィックタイプに重点を置くことができます。

• プロトコル別：

  • dns— DNSトラフィックのみを表示
  • http || dns— HTTPまたはDNSトラフィックを表示します。

• IPアドレス：

  • ip.addr==<IP>:<IP>との間のすべてのトラフィック
  • ip.src==<IP>:<IP>からのすべてのトラフィック
  • ip.dst==<IP>:<IP>へのすべてのトラフィック

• その他:

  • tcp.flags.reset==1— TCPリセット（タイムアウト）のチェック
  • dns.qry.name contains "[domain]"：ドメインに一致するDNSクエリ
  • tcp.port==80 || udp.port==80：ポート80のTCPまたはUDPトラフィック

パケットの表示と分析

パケットを見つけたら、Wireshark内のセグメントを展開して詳細を分析します。プロトコル構造に精通していると、これらの詳細を解釈し、必要に応じてデータを再構築することもできます。

データストリームの追跡

パケットリストを使用して、要求と応答のペアを検索します。パケットを右クリックし、Follow > TCP Stream、UDP Stream、TLS Stream、またはHTTP Streamを選択して、関連する要求と応答のシーケンスを表示します。

• これは、単一要求プロトコル（DNSなど）よりも、複数の交換（HTTPなど）を含むプロトコルの方が便利です。