パケットモニター（PktMon）とは？Windows 10標準搭載のパケットスニファーの使い方

Packet Monitor（PktMon.exe）は、Windows 10 1809およびWindows Server 2019から標準搭載されているネットワークトラフィックアナライザー（パケットスニファー）です。Windows 10 May 2020 Update（バージョン2004）では、リアルタイムのパケットキャプチャへの対応や、Wiresharkへ簡単に取り込めるPCAPNG形式のサポートなど、多くの新機能が追加されました。これにより、WindowsにもLinuxのtcpdumpに相当するパケットキャプチャ機能が備わり、システム管理者やネットワーク管理者はネットワークの動作やパフォーマンスの診断に活用できるようになりました。

PktMonでできること

Packet Monitorを使えば、コンピューターのネットワークインターフェースを通過するすべての通信を、ネットワークパケットレベルで把握できます。以前のWindowsでは、netsh traceコマンドを使ってネットワークトラフィックをキャプチャし、パケットを調査していました。

pktmon.exeのオプションや構文については、コマンドプロンプトでツールを実行するとヘルプを確認できます。

Packet Monitorの基本コマンド一覧

• filter — パケットフィルターの管理
• comp — 登録済みコンポーネントの管理
• reset — パケットカウンターのリセット
• start — パケット監視の開始
• stop — パケット監視の停止
• format — トラフィックログファイルをテキスト形式に変換
• pcapng — PCAPNG形式への変換
• unload — PktMonドライバーのアンロード

サブコマンドのヘルプを表示するには、その名前を入力します。

pktmon filter

パケットフィルターの作成例

ここでは、Windows 10デバイス上で稼働している特定のサービスに届くトラフィックのダンプを収集してみましょう。例として、FTP（TCPポート20、21）とHTTP（ポート80、443）のトラフィックを分析したいケースを想定します。

TCPポート用のパケットフィルターを作成します（UDPやICMPのトラフィックも追跡できます）。

pktmon filter add -p 20 21
pktmon filter add HTTPFilter -p 80 443

アクティブなフィルターの一覧を表示するには、次のコマンドを実行します。

pktmon filter list

パケットキャプチャの開始と停止

バックグラウンドでトラフィックのキャプチャを開始するには、次のコマンドを実行します。

pktmon start --etw

Log file name: C:\Windows\System32\PktMon.etl
Logging mode: Circular
Maximum file size: 512 MB
Active measurement started.

このモードでは、pktmonはすべてのネットワークインターフェースからデータを収集しますが、記録されるのは各パケットの先頭128バイトのみです。特定のネットワークインターフェース上でパケット全体をキャプチャするには、次のコマンドを使用します。

pktmon start --etw -p 0 -c 9

ここでcの値はネットワークインターフェースのIDです。IDは次のコマンドで確認できます。

pktmon comp list

パケットフィルターは、設定した条件に一致したすべてのトラフィックをC:\Windows\System32\PktMon.etl（最大ファイルサイズ512MB）に書き込みます。ダンプの記録を停止するには、次のコマンドを実行します。

pktmon stop

なお、Windowsを再起動すると、パケットの収集は自動的に停止されます。

ログファイルの変換と解析

収集したトラフィックダンプファイル（ETL形式）は、プレーンテキスト形式に変換できます。

pktmon format PktMon.etl -o c:\ps\packetsniffer.txt

または、PCAPNG形式に変換することも可能です。

pktmon PCAPNG PktMon.etl -o c:\ps\packetsniffer.pcapng

テキスト形式のダンプを直接確認してもよいですし、ETLファイルをMicrosoft Network Monitorに取り込んだり、PCAPNG形式に変換したファイルを管理者のコンピューターにインストールされたWiresharkで解析したりすることもできます。

作成したPacket Monitorのフィルターをすべて削除するには、次のコマンドを実行します。

pktmon filter remove

リアルタイムでトラフィックを監視する

PktMonはネットワークトラフィックをリアルタイムで追跡することもできます。その場合は、-l real-timeパラメーターを使用します。このモードでは、キャプチャしたパケットがコンソールに表示され、ログファイルには書き込まれません。

pktmon start --etw -p 0 -l real-time

トラフィックの収集を停止するには、Ctrl+Cを押します。

パケットロス（ドロップ）原因の調査

ネットワークインターフェースでパケットロス（ドロップ）が発生している場合、PacketMonを使えばその理由を確認できます（例：MTUの設定不備やVLANの問題など）。

また、PktMonはWindows Admin Centerの拡張機能経由でも利用できます。ネットワーク問題の診断時にコンピューターやサーバーから収集したデータは、Microsoft Network MonitorやWiresharkなど、より強力なネットワークトラフィック分析ソフトウェアでの詳細な調査に活用できます。