FORMAT COMPARISON
PCAP vs PCAPNG
pcapは広いツール互換性を持つ従来のパケットキャプチャ形式、pcapngは複数インターフェースや追加のキャプチャ情報に対応する拡張形式です。
PCAPとPCAPNG、どちらを選ぶ？
古い解析ツールとの互換性を優先するならpcapを検討し、複数インターフェースやコメント、インターフェース別タイムスタンプ精度などを保持したい場合はpcapngを使います。変換後は保持された情報とタイムスタンプ精度を確認してください。
PCAP向き
ネットワークパケットの記録と解析・広い互換性を必要とするキャプチャデータの交換
- tcpdumpなどlibpcap対応ツールで扱う単一形式のキャプチャ
- 既存ツールとの互換性を優先する用途
PCAPNG向き
ネットワークパケットの記録と解析・複数インターフェースやキャプチャ情報を含む調査データの保存
- Wiresharkなどでパケットを詳しく調べる用途
- タイムスタンプやインターフェース情報を含めて記録する用途
基本情報を比較
PCAPとPCAPNGの主な違いを確認できます。
| 項目 | PCAP | PCAPNG |
|---|---|---|
| 拡張子 | .pcap、.cap | .pcapng |
| MIME Type | application/octet-stream | application/octet-stream |
| 主な用途 | ネットワークパケットの記録と解析・広い互換性を必要とするキャプチャデータの交換 | ネットワークパケットの記録と解析・複数インターフェースやキャプチャ情報を含む調査データの保存 |
| 圧縮 | 該当なし | 該当なし |
| 開く方法 | Wireshark、tcpdumpなどの対応ツールで開きます。拡張子が.capの場合もあるため、拡張子だけで形式を決めつけず、キャプチャ解析ソフトで確認してください。 | Wiresharkで開くのが一般的です。対応ツールで読み込めない場合は、そのツールが必要とするキャプチャ形式を確認して変換します。 |
| 書き出し・変換 | 複数インターフェースやコメントなどを保持したい場合はpcapngを検討します。pcapngからpcapへの変換は対応ソフトを広げる一方、インターフェース情報、コメント、時刻精度などを失う可能性があるため、変換後の内容を確認します。 | pcapへ変換すると互換性が高まる場合がありますが、複数インターフェースの情報、コメント、タイムスタンプ精度などを保持できない可能性があります。変換後の解析結果も確認します。 |
用途別の選び方
作りたいものや使う場面から選べます。
tcpdumpなどlibpcap対応ツールで扱う単一形式のキャプチャ
ネットワークパケットの記録と解析・広い互換性を必要とするキャプチャデータの交換
PCAP向き既存ツールとの互換性を優先する用途
ネットワークパケットの記録と解析・広い互換性を必要とするキャプチャデータの交換
PCAP向きWiresharkなどでパケットを詳しく調べる用途
ネットワークパケットの記録と解析・複数インターフェースやキャプチャ情報を含む調査データの保存
PCAPNG向きタイムスタンプやインターフェース情報を含めて記録する用途
ネットワークパケットの記録と解析・複数インターフェースやキャプチャ情報を含む調査データの保存
PCAPNG向き確認ポイント 1
pcapはパケットリンク種別、タイムスタンプ、パケット長とデータを持つ単純な広く対応された形式です。pcapngはブロック構造で、インターフェース記述やコメントなど拡張情報を持てます。
使い分け確認ポイント 2
pcapngは複数インターフェースやインターフェースごとのタイムスタンプ解像度などに対応できます。一般的なpcapは単一のキャプチャ設定とマイクロ秒またはナノ秒の固定解像度を使います。
使い分け選ぶ理由を詳しく
- pcapngをpcapへ変換すると、コメント、キャプチャ環境、複数インターフェースの区別やナノ秒精度などが失われる可能性があります。両形式のパケット内容にも認証情報や個人情報が含まれ得るため、安全に扱ってください。