-
Notifications
You must be signed in to change notification settings - Fork 0
MS_PacketCapture
- 戻る（監視・パケット解析編、テスト）
- 電文を確認する方法（パケット・キャプチャ）
パケット・キャプチャ・ツールやネットワークのモニタリング・ツールとしては、
- Wireshark
- Network Monitor
- netsh trace
- netstat
- パフォーマンス・カウンタ
- タスク・マネージャ
- システム基盤・ミドルウェア
- 上記以外のフリーツール
- TCP Monitor Plus
- HTTPデバッグ・プロキシ
- Fiddler（HTTP、HTTPS＆クライアント側専用）
などがあるようです。
以下機能の比較表となっています。
| 比較項目 | Wireshark | Network Monitor | netsh trace | netstat | パフォーマンス・カウンタ | タスク・マネージャ | システム基盤・ミドルウェア | TCP Monitor Plus | Fiddler |
|---|---|---|---|---|---|---|---|---|---|
| 使用場所 | 任意（※２） | 任意（※２） | 任意 | 任意 | 任意 | 任意 | サーバ | 任意 | クライアント |
| ライセンス | フリー | フリー | Windows同梱（※１） | Windows同梱 | Windows同梱 | Windows同梱 | 有償 | フリー | フリー |
| インストール | 必要（※２） | 必要（※２） | 不要 | 不要 | 不要 | 不要 | － | 不要 | 必要 |
| マシン負荷 | 有（※２） | 有（※２） | 有 | 低 | 低 | 低 | － | 低 | 低 |
| 通信の監視範囲(セグメント指定等) | 可能 | 可能 | 可能 | 不可能 | 一部可能（※３） | 不可能 | － | 可能 | 不可能 |
| 統計作成 | 可能（※４） | 可能（※４） | 可能（※４） | 可能 -e、-s（※５） | 一部可能 | ほぼ不可能 | 可能 | 可能 | 可能（性能情報） |
| パケット・キャプチャ | 可能 | 可能 | 可能 | 不可能（ログ可） | 不可能（ログ可） | 不可能 | 不可能（SNMP） | 不可能（ログ可） | 可能（HTTP） |
- ※１：Windows 7/Windows Server 2008 R2からの機能
- ※２：プロミスキャス・モードで別ノードからパケットを取得可能。この場合、インストールやマシン負荷の問題をクリアできる。
- ※３：監視範囲はパフォーマンス・オブジェクト、インスタンスで指定可能。しかし、セグメント指定は不可能。平均カウンタ（/sec）、積算値カウンタ（Total）を使い分け可能。
- ※４：パケット・キャプチャを行い別のツールで統計することも可能。
- ※５：インターフェイス・レベル、プロトコル・レベルの統計情報を表示する（IP, TCP, UDP, ICMP, IPv6, TCPv6, UDPv6, ICMPv6）
プロミスキャス・モードで別ノードからパケットを取得するに当たっては、スイッチに対してポートミラーリング等の設定が必要になるため恐らく、ネットワーク屋と連携する必要が出てくるものと思います。まず、これが可能か確認ください。
補足（最新化）: 表に無い現行の選択肢として、Windows 10 1809 以降に標準搭載された pktmon（Packet Monitor）がある。インストール不要で
pktmon start --captureにより ETL / pcapng 形式でキャプチャでき、netsh trace の後継的な位置づけ。
「Wiresharkの操作方法」（MS_WiresharkUsage.md）を参照。
- 概要
- 機能的にはWiresharkと似通っていると思います。
- フリーのものと、製品同梱のものがあるようです。
- また、プロミスキャス・モードも存在する模様。
- データは Netmon 形式（*.cap）で保存し、Wiresharkで分析可能。
- 簡単な使い方の説明
- ネットワーク・モニタ3.1を使う（基本編） － ＠IT
- ＠IT：運用 ネットワーク・プロトコルの理解と検証
- ネットワークのパケットを解析する Microsoft Network Monitorの使用方法
- Microsoft Network Monitor はコマンドラインでも操作できます（MSDN Blogs）
補足（最新化）: Microsoft Network Monitor 3.4 は開発終了。 後継の Microsoft Message Analyzer も 2019年11月に提供終了（ダウンロード停止）している。 現行は pktmon または Wireshark を使う。
netsh traceの使い方については下記を参照下さい。
以下、プレミアサポートで指示された採取手順の例
-
ログ格納用一時フォルダを作成します。以下の例では
c:\tempフォルダです。 -
管理者権限でコマンド プロンプトを起動します。
-
以下のコマンドを実行します。
netsh trace start scenario=InternetClient report=no capture=yes tracefile=c:\temp\http.etl -
再現手順を実施します。エラーが発生することを確認します。
-
コマンド プロンプトに戻り、以下のコマンドを実行します。
netsh trace stop -
以下のコマンドを実行します。
netsh trace convert input=c:\temp\http.etl out=c:\temp\out.txt dump=TXT -
http.etlとout.txtが取得されます。
netstatの使い方については下記を参照下さい。
例えば、netstat /b でTCP/IP接続状態と接続しているプロセス（exe）を特定できる。
- TCP/IP接続状態については下記が参考になります。
パフォーマンス・カウンタの使い方についてはパフォーマンス カウンタを参照下さい。
- Windows TIPS：パフォーマンス・モニタの使い方（基本編） - ＠IT
- 【101シリーズ】パフォーマンスモニタ徹底攻略（基礎編 / パフォーマンスの確認編 / パフォーマンス計測編）
以下は、簡単な要約。
- 監視範囲はパフォーマンス・オブジェクト、インスタンスで指定可能。
- 平均カウンタ（/sec）、積算値カウンタ（Total）は異なるので注意。
- カウンタは沢山ありますので実機確認ください。
（OSのバージョンによっても使用できるカウンタが異なるため）
SNMPでネットワーク機器から情報を収集するタイプのものなどがあるようです。
メジャーなソフトであるようです。
HTTPデバッグ・プロキシ Fiddler の使い方については下記を参照下さい。
- Webセキュリティの小部屋
-
SST なるほど！コーナー 07 Fiddler の少し便利な使い方
- HTTP通信のキャプチャ
- HTTPSの通信をキャプチャする
- リクエストの内容を書き換える
- リクエストを編集して再送する
- 特定のブラウザからの通信だけをキャプチャする
- スマートフォンの通信をキャプチャする
- Fiddler を使って HTTPS トラフィックを確認する | idea.toString();
- HTTPのパケットを確認したり、書き換える事が出来る Web Debugging Proxy「Fiddler」の勉強会に行って来ました - 強火で進め
※ 本ページの Fiddler は現在の Fiddler Classic（Windows 専用・無償）に相当。 Telerik（Progress）からは有償の Fiddler Everywhere も提供されている。 また、ブラウザの開発者ツール（F12）のネットワーク タブでも同等の確認ができる。
-
イーサネットのNICなどにおいて、
- 自ノード宛てだけではなく、
- イーサネット上を流れているすべての
フレーム・パケットを取り込むという動作モード。
-
フレーム・パケットをキャプチャして解析する
ネットワーク型IDS、RMON、パケット キャプチャ ツールなどで利用される。 -
プロミスキャス・モードで動作するパケット キャプチャ ツールは、
- 流れるパケットの内容すべてを見ることができるため、
- 他のノード宛ての通信内容も参照でき、技術的にも盗聴と同様の動作になる。
-
このため、プロミスキャス・モードを利用するためには
特権レベル（Administrator）の権限が必要となっているOS・ツールが多い。
Tags: インフラストラクチャ, 通信技術, 障害対応, 性能, デバッグ, Windows, ツール類
このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。