パケットキャプチャをしよう ① (Ethernet)

　前回のWiresharkのインストールの記事から１週間経ち、Wiresharkの使い方も少しずつ理解してきたので、パケットキャプチャを行い解析をしてみようと思いました。

　今回解析を行うのは、Windowsの初期画面からgoogleを検索したときにキャプチャを行った約830個の中の１つのTCP通信のパケットです。

　この記事では、データリンク層を解析します。

Ethernet2のフレームは、「プリアンブル」、「宛先／送信元MACアドレス」、「タイプ」、「Ethernet ペイロード」、「FCS」から構成されている。

※Wiresharkでは「プリアンブル」と「FCS」は見れません。

　Destinationは、宛先（送りたいPC、サーバー）のMACアドレスが記載されている。

Chongqin_3b:cf:25 (ac:d5:64:3b:cf:25)となっており、Chongqinと調べると中国の重慶市がヒットするので、重慶市にあるサーバーに送信しているのかなと考えました。

　Sourceは、送信元（送ったPC、サーバー）のMACアドレスが記載されている。

Sourceの送信元MACアドレスはセキュリティのため伏せさせていただきます。

　L/G Bitは、記載されているMACアドレスがグローバルアドレスか、ローカルアドレスかを表している。

「０」　：　グローバルアドレス

　図１では、宛先MACアドレスと送信元MACアドレスの両方が「０」を表しているので、どちらもグローバルアドレスとなっている。

　I/G Bitは、記載されているMACアドレスがユニキャストアドレスか、マルチキャストアドレスかを表している。

「０」　：　ユニキャストアドレス

「１」　：　マルチキャストアドレス

※　宛先のMACアドレスがすべて「１」の状態である「ff:ff:ff:ff:ff:ff」かつ、I/G Bitがマルチキャストを表す「１」の時は、ブロードキャストを表している。

　図１では、宛先MACアドレスと送信元MACアドレスの両方が「０」を表しているので、どちらもユニキャストとなっている。

　タイプには、ネットワーク層で使用しているプロトコルを表している。

図１では、IPv4(0x0800)と表記されているので、ネットワーク層でIPv4を使っていると表されている。

※IPv4以外にも、IPv6(0x86DD)や、ARP(0x0806)などもある。

※イーサネットではなく、IEEE802.3を使用するとタイプには、LLC(Logical Link Control)または、SNAP(Sub Network Access Protocol)などの情報が表示される。

　今回の記事では、0と１の数字の列を意味のあるフレームに分けて、複数のシステムを経由した先にある宛先のシステムまでのパスのうちの隣接するシステムとの間の情報の流れの制御を行なうデータリンク層のパケットを解析してみました。

　次回では、ネットワーク層のパケットを解析したいと思います。

泳げないたいやきの日記