パケットキャプチャのツールは使えても、実際にキャプチャしたデータをどう読み解くかという解析スキルを持っていないと、取得したデータを問題解決に活かすことができません。
本記事では、パケットキャプチャデータの読み方・ヘッダー情報の解釈・プロトコルの識別・送信元・宛先の確認方法・タイムスタンプの活用方法について詳しく解説していきます。
パケットキャプチャデータの基本的な読み方
それではまず、パケットキャプチャデータの基本的な読み方について解説していきます。
Wiresharkでキャプチャしたデータは主に3つのパネルで表示され、それぞれが異なる情報を提供します。
Wiresharkの3つのパネルの役割：
①パケットリストパネル（上部）：キャプチャされた全パケットの一覧表示
②パケット詳細パネル（中部）：選択したパケットのプロトコル階層ごとの詳細
③パケットバイトパネル（下部）：パケットの生データ（16進数・テキスト）
パケットリストパネルの各列の意味
パケットリストパネルには各パケットの主要な情報が列として表示されます。
| 列名 | 意味 | 確認のポイント |
|---|---|---|
| No. | パケット番号（キャプチャ順） | 参照・引用に使用 |
| Time | タイムスタンプ（経過時間） | 処理の遅延・タイムアウトの確認 |
| Source | 送信元IPアドレス | 通信の発信元の特定 |
| Destination | 宛先IPアドレス | 通信の宛先の特定 |
| Protocol | プロトコル種別 | 通信に使われているプロトコル |
| Length | パケットサイズ（バイト） | 大きなパケットの断片化確認 |
| Info | パケットの概要情報 | 通信の内容・ステータスの把握 |
タイムスタンプの読み方と活用
パケットキャプチャのタイムスタンプはネットワーク問題の診断において非常に重要な情報です。
Wiresharkでは「Time」列に表示される値はデフォルトではキャプチャ開始からの経過時間ですが、「View」→「Time Display Format」から絶対時刻（UTC・ローカル時刻）に変更することもできます。
2つのパケット間の時間差（デルタタイム）を確認することで、処理の遅延が発生している区間を特定できるでしょう。
IPアドレスとポート番号の読み方
パケットの送信元・宛先情報はネットワーク通信の主役となる情報です。
IPアドレスはLayer 3（ネットワーク層）の情報であり、どのホストからどのホストへの通信かを示します。
ポート番号はLayer 4（トランスポート層）の情報であり、どのアプリケーションへの通信かを示します。
例えば宛先ポートが80はHTTP・443はHTTPS・53はDNS・22はSSHという対応関係を覚えておくと、パケットリストを素早く読み解けるでしょう。
プロトコル階層の解析方法
続いては、プロトコル階層の解析方法を確認していきます。
パケット詳細パネルでは通信が複数のプロトコル階層として表示され、各層の詳細情報を確認できます。
パケット詳細パネルの読み方
パケット詳細パネルでは、選択したパケットがプロトコルスタック（階層）として展開して表示されます。
一般的なWebアクセスのパケットは「Frame→Ethernet→Internet Protocol→Transmission Control Protocol→Hypertext Transfer Protocol」という階層構造で表示され、各層を展開することで詳細な情報が確認できます。
各階層のヘッダーフィールドにはフィールド名と値が表示されており、クリックすることでパケットバイトパネルの対応する箇所がハイライトされるでしょう。
TCPヘッダーの重要なフィールド
TCP通信の解析でよく確認するヘッダーフィールドについて理解しておくことが重要です。
「Sequence Number（シーケンス番号）」はデータの順序管理に使われ、「Acknowledgment Number（確認応答番号）」は受信した最後のバイトの次の番号を示します。
「Flags（フラグ）」のSYN・ACK・FIN・RSTがそれぞれ何を意味するかを理解することで、TCPコネクションの確立・正常切断・異常切断を読み取ることができます。
「Window Size（ウィンドウサイズ）」が非常に小さい値になっている場合は受信側のバッファが満杯に近い状態（TCP Window Full）を示すため、パフォーマンス問題の原因となることがあるでしょう。
HTTPパケットの読み方
HTTPパケットはWiresharkで最も解析しやすいプロトコルの一つです。
HTTPリクエストパケットではGET/POST等のメソッド・リクエストURI・Hostヘッダー・User-Agentなどが確認できます。
HTTPレスポンスパケットではステータスコード（200・404・500等）を確認することで、サーバーがリクエストを正常に処理したか・リソースが見つからなかったか・サーバーエラーが発生したかを把握できるでしょう。
問題解決に向けたパケット解析の実践
続いては、問題解決に向けたパケット解析の実践を確認していきます。
実際の問題診断でどのようにパケットを解析するかの実践的なアプローチを説明します。
TCPコネクション確立の確認
接続できないという問題を診断する際は、まずTCPの3ウェイハンドシェイクが正常に完了しているかを確認します。
正常な3ウェイハンドシェイクは「クライアント→サーバー：SYN」→「サーバー→クライアント：SYN-ACK」→「クライアント→サーバー：ACK」という3つのパケットシーケンスで構成されます。
SYNを送ってもSYN-ACKが返ってこない場合はサーバー側の問題やファイアウォールによるブロック、SYNに対してRSTが返ってきた場合はサーバーが接続を拒否していることを示すでしょう。
DNS解決の問題確認
ホスト名でアクセスできないという問題では、DNS解決が正常に行われているかをパケットで確認します。
Wiresharkのフィルターで「dns」を入力してDNSパケットのみ表示し、クエリパケット（DNSリクエスト）とレスポンスパケットが正しく対になっているかを確認します。
DNSレスポンスのステータスが「No such name（NXDOMAIN）」の場合はドメイン名が存在しないことを示し、「Server failure（SERVFAIL）」の場合はDNSサーバー側の問題を示しているでしょう。
パケットロスと再送の検出
ネットワークのパフォーマンス問題でよく見られるパケットロスと再送は、Wiresharkで赤や黒で色付けされた「TCP Retransmission」「Duplicate ACK」「Out-Of-Order」などの表示で確認できます。
大量の再送が発生している場合はネットワーク品質の問題（回線の品質不良・ネットワーク機器の問題）が疑われます。
「Statistics→Summary」でキャプチャ全体の再送率を確認することで、ネットワーク全体の品質状態を数値で把握できるでしょう。
まとめ
本記事では、パケットキャプチャデータの読み方・ヘッダー情報の解釈・プロトコル解析・実践的な問題診断の方法について詳しく解説しました。
Wiresharkの3つのパネルの役割・タイムスタンプの活用・IPアドレス・ポート番号・プロトコル階層の読み方を理解することで、キャプチャデータから有用な情報を引き出せるようになります。
TCPコネクション確立の確認・DNS解決の問題診断・パケットロスの検出という実践的な解析手法を習得することで、ネットワーク障害の原因を効率的に特定できるでしょう。
パケット解析スキルを継続的に磨くことが、ネットワークエンジニアとしての問題解決能力の向上につながります。
