【Wireshark】キャプチャファイルの保存（長時間取得）

長時間パケットキャプチャを取るとき、何も設定せずに開始すると、通信量によってはキャプチャファイルが大きくなりすぎます。止めずに続ければ、端末のディスク容量も圧迫します。

Wireshark のキャプチャオプションでは、キャプチャファイルの保存先や分割の条件、自動で止める条件を決められます。この記事では、出力ファイルに関する設定を、実際にキャプチャを取って確かめていきます。

キャプチャオプション

キャプチャオプションは、メニューの キャプチャ ›› オプション（Ctrl+K）で開きます。画面は「入力」「出力」「オプション」の3つのタブに分かれています。

タブ	設定できること
入力	キャプチャするインタフェース、キャプチャフィルタ
出力	保存するファイル、ファイル形式、ファイル分割の条件、圧縮、リングバッファ
オプション	表示や名前解決の設定、キャプチャを自動で止める条件、一時ファイルの保存先

キャプチャする対象のパケットを絞り込みたい場合は、入力タブのキャプチャフィルタを使います。設定方法は次の記事を参考にしてください。

>> 参考記事：【Wireshark】キャプチャ取得するパケットをフィルタする

Wireshark・キャプチャオプション画面イメージ

入力　出力　オプション

保存ファイルにキャプチャ

1ファイル	一時ファイルを使うため空白にしておきます 参照…
2出力形式	◉ pcap-ng形式○ pcap形式

新規ファイルの作成

3☐ 新規ファイルを自動的に作成します…
☐ 後	100000 パケット
☐ 後	1 キロバイト
☐ 後	1 秒
☐ 時刻が複数の	1 時
4圧縮	◉ なし○ gzip
5☐ リングバッファを用いる	2 ファイル

開始閉じるヘルプ

No.	項目	設定内容
1	ファイル	キャプチャを保存するファイル。空白のままだと一時ファイルに保存されます
2	出力形式	pcapng 形式（既定）か pcap 形式を選びます
3	新規ファイルを自動的に作成します	チェックすると、下の条件でファイルを分割します
4	圧縮	分割したファイルを gzip で圧縮します
5	リングバッファを用いる	残すファイルの数を決めます（ファイル分割と組み合わせて使います）

出力タブの設定

出力タブでは、保存するファイルと、ファイルを分割する条件を設定します。

保存ファイルにキャプチャ

キャプチャファイルの保存先を指定します。ファイル欄の横の「参照…」をクリックすると、保存先を選ぶ画面が開きます。今回は、C:¥save_capture フォルダに capture-test.pcap というファイル名で保存します。

キャプチャファイルを指定します画面イメージ

1Windows (C:) ›› save_capture

2ファイル名	capture-test.pcap
ファイルの種類	すべてのファイル

3保存(S)キャンセル

No.	項目	設定内容
1	保存先	C:¥save_capture フォルダを開きます
2	ファイル名	capture-test.pcap と入力します
3	保存	クリックすると、出力タブのファイル欄に保存先のパスが入ります

出力タブのファイル欄に C:/save_capture/capture-test のようにパスが入ったことを確かめて、「開始」をクリックします。キャプチャを止めると、指定したフォルダにキャプチャファイルが保存されています。

エクスプローラー画面イメージ

PC ›› Windows (C:) ›› save_capture

名前	更新日時	種類	サイズ
1capture-test	2022/11/20 0:32	Wireshark capture…	6 KB

No.	表示	意味
1	capture-test	指定したファイル名で、キャプチャデータが1つのファイルに保存されています

ただし、このままでは1つのファイルに書き込み続けるので、長時間キャプチャするとファイルが大きくなっていきます。

ファイル分割

「新規ファイルを自動的に作成します…」にチェックを入れて条件を指定すると、条件を満たすたびに新しいファイルに切り替わり、キャプチャが複数のファイルに分かれて保存されます。分割する条件は次の4つです。

Wireshark・キャプチャオプション画面イメージ

入力　出力　オプション

1☑ 新規ファイルを自動的に作成します…
2☐ 後	100000 パケット
3☐ 後	1 キロバイト
4☐ 後	1 秒
5☐ 時刻が複数の	1 時
圧縮	◉ なし○ gzip
☐ リングバッファを用いる	2 ファイル

No.	条件	新しいファイルに切り替わるタイミング	検証で 設定した値
1	新規ファイルを自動的に作成	チェックすると、下の条件が使えるようになります	―
2	取得パケット数	ファイルに入ったパケットが指定した数になったとき	100000 パケット
3	ファイルサイズ	ファイルが指定したサイズに達したとき	1 メガバイト
4	取得時間	そのファイルに書き始めてから、指定した時間がたったとき	3 分
5	時刻が複数の	時計の時刻が、指定した間隔の倍数になったとき	5 分

分割したファイルの名前は、指定したファイル名のあとに通番と作成日時が付いた capture-test_00001_20221120004151 のような形になります。以下、条件ごとに結果を確かめます。

取得パケット数

設定したパケット数をキャプチャすると、新しいファイルに切り替わります。今回は 100000 パケットにチェックを入れて、キャプチャを開始しました。保存先フォルダを見ると、ファイルが分割されて保存されています。

エクスプローラー画面イメージ

PC ›› Windows (C:) ›› save_capture

名前	更新日時	サイズ
1capture-test_00001_20221120004151	2022/11/20 0:48	88,865 KB
capture-test_00002_20221120004822	2022/11/20 0:48	247 KB

通番 00001 のファイルを Wireshark で開くと、最後のパケットの番号が 100000 になっていて、100000 パケット分が1つのファイルに入っていることがわかります。

capture-test_00001_20221120004151（Wireshark）画面イメージ

No.	Time	Source	Destination
99996	390.347078	（伏せています）	（伏せています）
99997	390.350529	（伏せています）	（伏せています）
99998	390.350529	（伏せています）	（伏せています）
99999	390.350529	（伏せています）	（伏せています）
100000	390.350529	（伏せています）	（伏せています）

ファイルサイズ

ファイルが指定したサイズに達すると、新しいファイルに切り替わります。今回は 1 メガバイトにチェックを入れて、キャプチャを開始しました。

エクスプローラー画面イメージ

PC ›› Windows (C:) ›› save_capture

名前	更新日時	サイズ
1capture-test_00001_20221120005346	2022/11/20 0:53	978 KB
capture-test_00002_20221120005356	2022/11/20 0:53	978 KB
capture-test_00003_20221120005357	2022/11/20 0:54	977 KB
⋮

capture-test_00001_20221120005346 のプロパティ

2サイズ	977 KB (1,000,876 バイト)

No.	表示	意味
1	978 KB、977 KB	約 1MB ごとにファイルが分かれています
2	1,000,876 バイト	1 メガバイト（1,000,000 バイト）を超えたところで、次のファイルに切り替わっています

取得時間

そのファイルに書き始めてから指定した時間がたつと、新しいファイルに切り替わります。今回は 3 分にチェックを入れて、キャプチャを開始しました。

エクスプローラー画面イメージ

PC ›› Windows (C:) ›› save_capture

名前	更新日時
1capture-test_00001_20221120010717	2022/11/20 1:10
capture-test_00002_20221120011017	2022/11/20 1:13
capture-test_00003_20221120011318	2022/11/20 1:16

capture-test_00001_20221120010717 のプロパティ

サイズ	11.4 MB (12,003,088 バイト)
2作成日時	2022年11月20日、1:07:17
更新日時	2022年11月20日、1:10:17

No.	表示	意味
1	1:10、1:13、1:16	3 分おきにファイルの書き込みが終わっています
2	作成 1:07:17 更新 1:10:17	1つ目のファイルは 1:07:17 に作成され（キャプチャ開始）、3 分後の 1:10:17 に書き込みが終わっています

時計の倍数間隔（時刻が複数の）

時計の時刻が指定した間隔の倍数になったときに、新しいファイルに切り替わります。たとえば 5 分にすると、1時35分、1時40分といった 5 分の区切りでファイルが分かれます。今回は 5 分にチェックを入れて、キャプチャを開始しました。

エクスプローラー画面イメージ

Windows (C:) ›› save_capture

名前	更新日時
1capture-test_00001_20221120013124	2022/11/20 1:35
capture-test_00002_20221120013500	2022/11/20 1:40
capture-test_00003_20221120014000	2022/11/20 1:45

1つ目のファイル（capture-test_00001_20221120013124）のプロパティ

2作成日時	2022年11月20日、1:31:24
更新日時	2022年11月20日、1:35:00

2つ目のファイル（capture-test_00002_20221120013500）のプロパティ

3作成日時	2022年11月20日、1:35:00
更新日時	2022年11月20日、1:40:00

No.	表示	意味
1	1:35、1:40、1:45	時計の 5 分区切りでファイルの書き込みが終わっています
2	作成 1:31:24 更新 1:35:00	1:31 に開始したので、1つ目のファイルは最初の区切りの 1:35:00 までの約 3 分半で終わっています
3	作成 1:35:00 更新 1:40:00	2つ目からは、区切りから区切りまでの 5 分ずつになります

取得時間と時計の倍数間隔は、どちらも時間で分割しますが、切り替わるタイミングが違います。取得時間は開始した時刻から数え、時計の倍数間隔は時計の区切りに合わせます。ファイル名の時刻がそろうので、障害の発生時刻からファイルを探すときは、時計の倍数間隔のほうが探しやすくなります。

圧縮とリングバッファ

ファイル圧縮

分割したファイルを自動で圧縮することもできます。圧縮するときは、圧縮の「gzip」を選びます。今回は 1 メガバイトでファイルを分割し、gzip を選んでキャプチャを開始しました。

エクスプローラー画面イメージ

Windows (C:) ›› save_capture

名前	更新日時	種類
1capture-test_00001_20221120014912.pcap.gz	2022/11/20 1:49	GZ ファイル
capture-test_00002_20221120014928.pcap.gz	2022/11/20 1:49	GZ ファイル
capture-test_00003_20221120014930.pcap.gz	2022/11/20 1:49	GZ ファイル
capture-test_00004_20221120014948.pcap.gz	2022/11/20 1:50	GZ ファイル
capture-test_00005_20221120015005.pcap.gz	2022/11/20 1:50	GZ ファイル
capture-test_00005_20221120015005	2022/11/20 1:50	Wireshark capture…

No.	表示	意味
1	.pcap.gz	分割したファイルが gzip で圧縮されて保存されています。画面の最後の行には、通番 00005 の圧縮前のファイルも表示されています

Wireshark は gzip で圧縮されたキャプチャファイルもそのまま開けます。

リングバッファ

保存するファイルの数を制限したいときは、リングバッファを使います。リングバッファを使うと、指定した数の最新のファイルだけが残り、古いファイルから消えていきます。リングバッファは、ファイル分割と組み合わせて使う設定です。今回は 1000 キロバイトでファイルを分割し、リングバッファを 3 にしてキャプチャを開始しました。

Wireshark・キャプチャオプション画面イメージ

入力　出力　オプション

☑ 新規ファイルを自動的に作成します…
⋮　（中略）
1☑ 後	1000 キロバイト
⋮　（中略）
2☑ リングバッファを用いる	3 ファイル

エクスプローラー（Windows (C:) ›› save_capture）

名前	更新日時	サイズ
3capture-test_00019_20221120015658	2022/11/20 1:57	978 KB
capture-test_00020_20221120015733	2022/11/20 1:57	978 KB
capture-test_00021_20221120015733	2022/11/20 1:57	177 KB

No.	項目・表示	内容
1	1000 キロバイト	分割の条件。約 1MB ごとに新しいファイルに切り替えます
2	リングバッファ 3	残すファイルの数を 3 にします
3	通番 00019〜00021	通番は 00021 まで進んでいますが、残っているのは最新の 3 ファイルだけです

ファイル分割とリングバッファを組み合わせると、ディスクの使用量の上限が「1ファイルの大きさ × ファイル数」で決まります。障害が再発するのを待つときなど、止めずにキャプチャし続けたい場合に便利です。

キャプチャの自動停止

オプションタブで停止の条件を決める

オプションタブの「…後に自動的にキャプチャを停止」で、条件を満たしたときにキャプチャを自動で止められます。条件は、取得パケット数、作成されたファイル数、ファイルサイズ、取得してからの経過時間の4つです。

Wireshark・キャプチャオプション画面イメージ

入力　出力　オプション

表示オプション／名前解決

⋮　（中略）

…後に自動的にキャプチャを停止

1☐ 1	パケット
2☐ 1	ファイル
3☐ 1	キロバイト（グレー表示）
4☐ 1	秒

一時ファイルのディレクトリ

ディレクトリ

C:¥Users¥（伏せています）¥AppD… 参照…

開始閉じるヘルプ

No.	条件	キャプチャが止まるタイミング
1	パケット	指定した数のパケットをキャプチャしたとき
2	ファイル	指定した数のファイルを作成したとき
3	ファイルサイズ	ファイルが指定したサイズに達したとき。ファイルを分割せず1つのファイルに保存するときに使える条件で、分割を設定していると、画面のようにグレー表示になります
4	経過時間	キャプチャを始めてから、指定した時間がたったとき

たとえば、ファイル分割と「ファイル」の条件を組み合わせると、決めた数のファイルを作ったところでキャプチャが止まります。リングバッファのように古いファイルを消さずに、最初から一定の量だけ取りたいときに使えます。

コマンドで設定する場合（dumpcap）

Wireshark に同梱されているコマンドラインのキャプチャツール dumpcap でも、同じ条件を指定できます。サーバなどで GUI を使わずに長時間キャプチャするときに使います。

オプション	キャプチャオプションの画面での項目
-w ファイル名	保存ファイルにキャプチャ（出力タブ）
-b packets:値	新規ファイルの作成：パケット数
-b filesize:値	新規ファイルの作成：ファイルサイズ（単位は kB）
-b duration:値	新規ファイルの作成：取得時間（単位は秒）
-b interval:値	新規ファイルの作成：時刻が複数の（単位は秒。3600 なら毎時0分）
-b files:値	リングバッファ
-a packets:値 -a files:値 -a filesize:値 -a duration:値	自動停止の条件（パケット数／ファイル数／ファイルサイズ／経過時間）

まとめ

やりたいこと	場所	設定
キャプチャをファイルに保存する	出力タブ	保存ファイルにキャプチャ（ファイル名）
ファイルを分割する	出力タブ	新規ファイルを自動的に作成（パケット数・サイズ・取得時間・時刻）
時計の区切りでファイルを分ける	出力タブ	時刻が複数の（例：5 分）
ディスクの使用量を抑える	出力タブ	圧縮（gzip）、リングバッファ（残すファイル数）
キャプチャを自動で止める	オプションタブ	…後に自動的にキャプチャを停止（パケット・ファイル・サイズ・時間）

長時間キャプチャするときは、「ファイル分割＋リングバッファ」で上限を決めておくと、ディスクがいっぱいになる心配がなくなります。障害の発生時刻からファイルを探すことが多いなら、時計の倍数間隔で分割しておくと便利です。

Wireshark の関連記事：【Wireshark】キャプチャ取得するパケットをフィルタする ／ 【Wireshark】よく使用する表示フィルタ ／ 【Wireshark】TCP解析（Retransmission/Dup ACK など）
その他の Wireshark の記事は Wireshark カテゴリ から参照できます。