【Windows】netsh trace コマンドによるパケットキャプチャ（採取/解析/変換方法）

netsh trace start capture=yes

トレース構成:

ステータス: 実行中
トレース ファイル: C:\Users\Administrator\AppData\Local\Temp\NetTraces\NetTrace.etl
追加: オフ
循環: オン
最大サイズ: 250 MB
レポート: オフ

netsh trace stop

C:\Users\Administrator>netsh trace stop
トレースを関連付けています… 完了
トレースの結合中… 完了
データ収集を生成しています … 完了
トレース ファイルと追加のトラブルシューティング情報は、
"C:\Users\Administrator\AppData\Local\Temp\NetTraces\NetTrace.cab" としてコンパイルされました。
ファイルの場所 = C:\Users\Administrator\AppData\Local\Temp\NetTraces\NetTrace.etl
トレース セッションは正常に停止しました。

netsh trace start capture=yes maxsize=300

netsh trace start capture=yes traceFile="C:\test\NetTrace.etl"

netsh trace start capture=yes IPv4.Address=192.168.10.10

netsh trace start capture=yes IPv4.Address=(192.168.10.10,192.168.10.20)

netsh trace start capture=yes CaptureInterface="ローカルエリア接続"

netsh trace start capture=yes CaptureInterface={716A7812-4AEE-4545-9D00-C10EFD223551}

netsh trace show interfaces

netsh trace show capturefilterHelp

  キャプチャ フィルター:
        キャプチャ フィルターは、capture=yes でキャプチャが明示的に
        有効になっているときにだけサポートされます。サポートされる
        キャプチャ フィルターは次のとおりです:

        CaptureInterface=<インターフェイス名または GUID>
         指定されたインターフェイス名または GUID のパケット キャプチャが有効に
         なります。使用可能なインターフェイスを一覧表示するには、
         'netsh trace show interfaces' を使用します。
        例 CaptureInterface={716A7812-4AEE-4545-9D00-C10EFD223551}
        例 CaptureInterface=!{716A7812-4AEE-4545-9D00-C10EFD223551}
        例 CaptureInterface="ローカル エリア接続"

        Ethernet.Address=<MAC アドレス>
         指定されたフィルターを、ソースと適用先の両方の Mac アドレスと
         一致させます。
        例 Ethernet.Address=00-0D-56-1F-73-64

        Ethernet.SourceAddress=<MAC アドレス>
         指定されたフィルターをソースの MAC アドレスと一致させます。
        例 Ethernet.SourceAddress=00-0D-56-1F-73-64

        Ethernet.DestinationAddress=<MAC アドレス>
         指定されたフィルターを、適用先の MAC アドレスと一致させます。
        例 Ethernet.DestinationAddress=00-0D-56-1F-73-64

        Ethernet.Type=<イーサネットの種類>
         指定されたフィルターを、MAC イーサネットの種類と一致させます。
        例 Ethernet.Type=IPv4
        例 Ethernet.Type=NOT(0x86DD)
        例 Ethernet.Type=(IPv4,IPv6)

        Wifi.Type=<Management|Data>
         指定されたフィルターを、Wifi の種類と一致させます。指定できる値は
         Management と Data です。指定されなかった場合、Wifi.Type フィルターは
         適用されません。
         注意: このキャプチャ フィルターは範囲、リスト、否定をサポートしません。
        例 Wifi.Type=Management

        Protocol=<プロトコル>
         指定されたフィルターを、IP プロトコルと一致させます。
        例 Protocol=6
        例 Protocol=!(TCP,UDP)
        例 Protocol=(4-10)

        IPv4.Address=<IPv4 アドレス>
         指定されたフィルターを、ソースと適用先の両方の
         IPv4 アドレスと一致させます。
        例 IPv4.Address=157.59.136.1
        例 IPv4.Address=!(157.59.136.1)
        例 IPv4.Address=(157.59.136.1,157.59.136.11)

        IPv4.SourceAddress=<IPv4 アドレス>
         指定されたフィルターを、ソース IPv4 アドレスと一致させます。
        例 IPv4.SourceAddress=157.59.136.1

        IPv4.DestinationAddress=<IPv4 アドレス>
         指定されたフィルターを、適用先の IPv4 アドレスと一致させます。
        例 IPv4.DestinationAddress=157.59.136.1

        IPv6.Address=<IPv6 アドレス>
         指定されたフィルターを、ソースと適用先の両方の
         IPv6 アドレスと一致させます。
        例 IPv6.Address=fe80::5038:3c4:35de:f4c3\%8
        例 IPv6.Address=!(fe80::5038:3c4:35de:f4c3\%8)

        IPv6.SourceAddress=<IPv6 アドレス>
         指定されたフィルターを、ソース IPv6 アドレスと一致させます。
        例 IPv6.SourceAddress=fe80::5038:3c4:35de:f4c3\%8

        IPv6.DestinationAddress=<IPv6 アドレス>
         指定されたフィルターを、適用先 IPv6 アドレスと一致させます。
        例 IPv6.DestinationAddress=fe80::5038:3c4:35de:f4c3\%8

        CustomMac=<type(オフセット,値)>
         指定されたフィルターを、MAC ヘッダーで始まる
         指定されたオフセットの値と一致させます。
         注意: このキャプチャ フィルターは範囲、リスト、否定をサポートしません。
        例 CustomMac=UINT8(0x1,0x23)
        例 CustomMac=ASCIISTRING(3,test)
        例 CustomMac=UNICODESTRING(2,test)

        CustomIp=<type(オフセット,値)>
         指定されたフィルターを、IP ヘッダーで始まる
         指定されたオフセットの値と一致させます。
         注意: このキャプチャ フィルターは範囲、リスト、否定をサポートしません。
        例 CustomIp=UINT16(4,0x3201)
        例 CustomIp=UINT32(0x2,18932)

        CaptureMultiLayer=<yes|no>
         多層パケット キャプチャを有効にします。
         注意: このキャプチャ フィルターは範囲、リスト、否定をサポートしません。

        PacketTruncateBytes=<値>
         各パケットの、指定されたバイト数だけをキャプチャします。
         注意: このキャプチャ フィルターは範囲、リスト、否定をサポートしません。
        例 PacketTruncateBytes=40

注意:
        複数のフィルターを一緒に使用することはできますが、同じフィルターを
        多重に使用することはできません。
        例 'netsh trace start capture=yes Ethernet.Type=IPv4
              IPv4.Address=157.59.136.1'

        必要な場合は、フィルターを明示的に示す必要があります。フィルターが
        指定されない場合は、"don't-care" として処理されます。
         例 'netsh trace start capture=yes IPv4.SourceAddress=157.59.136.1'
              IPv4 パケットを 157.59.136.1 からだけキャプチャし、
              非 IPv4 イーサネット タイプもキャプチャします。これは、
              Ethernet.Type フィルターが明示的に指定されていないためです。
         例 'netsh trace start capture=yes IPv4.SourceAddress=157.59.136.1
               Ethernet.Type=IPv4'
              IPv4 パケットを 157.59.136.1 からだけキャプチャします。
              他のイーサネット タイプのパケットは破棄されます。これは、
              明示的なフィルターが指定されているためです。

        キャプチャ フィルターは範囲、リスト、および否定をサポートします
        (サポートしないことが示されている場合を除く)。
         例 範囲: 'netsh trace start capture=yes Ethernet.Type=IPv4
                      Protocol=(4-10)'
              プロトコルが 4 以上 10 以下の IPv4 パケットを
              キャプチャします。
         例 リスト: 'netsh trace start capture=yes Ethernet.Type=(IPv4,IPv6)'
              IPv4 と IPv6 のパケットだけをキャプチャします。
         例 否定: 'netsh trace start capture=yes Ethernet.Type=!IPv4'
              すべての非 IPv4 パケットをキャプチャします。

        否定とリストが組み合わされる場合もあります。
         例 'netsh trace start capture=yes Ethernet.Type=!(IPv4,IPv6)'
               すべての非 IPv4 パケットと非 IPv6 パケットをキャプチャします。

        「!」の代わりに「NOT」を使用して否定を示すこともできます。その場合は、
        否定する値をかっこで囲む必要があります。
         例 'netsh trace start capture=yes Ethernet.Type=NOT(IPv4)'