追加ソフトをインストールすることなく、Windows の自マシン間の通信をキャプチャーする方法

概要

Windows の標準コマンドであるroute を使って、自マシン間の通信をキャプチャーする方法を紹介します。

内容

Windows では、自マシン間の通信をWireshark やNetwork Monitor、netsh でキャプチャーする事ができません。
RawCap やMessage Analyzer を使用すれば、自マシン間の通信をキャプチャーすることも可能ですが、今回は、追加ソフトをインストールしないで、自マシン間の通信をキャプチャーする方法を紹介します。

追加ソフトをインストールすることなく、自マシン間の通信をキャプチャーする方法
1. ipconfig を実行し、自マシンのIP アドレス、デフォルトゲートウェイのIP アドレスを確認します。

2. 管理者権限のコマンドプロンプトで、以下のroute コマンドを実行します。
route add <自マシンのIP アドレス> mask 255.255.255.255 <デフォルトゲートウェイのIP アドレス> metric 1

これにより、自マシンのIP アドレスへの通信が、デフォルトゲートウェイ経由で通信されるようになり、パケットキャプチャーが可能な状態となります。

3. 管理者権限のコマンドプロンプトで、以下のnetsh コマンドを実行し、パケットキャプチャーを開始します。
netsh trace start capture=yes

4. 自マシンのIP アドレスに対して、通信を行います。
ここでは、”ping –n 1 <自マシンのIP アドレス>” を実行しました。
(-n 1 は、一回だけping を実行するという意味です。)

5. 以下のnetsh コマンドを実行し、パケットキャプチャーを終了します。
netsh trace stop

結果、NetTrace.etl が C:\Users\<ユーザー名>\AppData\Local\Temp\NetTraces に出来上がります。
それにネットワークトレース情報が格納されています。

6. 作成されたNetTrace.etl をMessage Analyzer (もしくはNetwork Monitor)で開きます。
わかりやすさのため、フィルターを用いてICMP のみを表示させてみます。

すると、自マシンへの通信がキャプチャーされていることが確認できます。
パケットが重複しているのは、デフォルトゲートウェイ経由で通信されているためです。