Wiresharkでよく使うフィルタ・設定方法

検索窓が赤い場合は構文の失敗なので注意

検索方法

IPv4アドレス「X.X.X.X」指定

ip.addr == X.X.X.X

宛先IPv4アドレス「X.X.X.X」指定

ip.dst == X.X.X.X

送信元IPv4アドレス「X.X.X.X」指定

ip.src == X.X.X.X

MACアドレス指定

eth.addr == xx:xx:xx:xx:xx

宛先MACアドレス指定

eth.dst == xx:xx:xx:xx:xx

送信元MACアドレス指定

eth.src == xx:xx:xx:xx:xx

プロトコル指定

icmp　tcp　udp　http　ftp　・・・など

TCP・UDPでポート番号「XX」指定

tcp.port == XXXX　　udp.port == XXXX

宛先TCP・UDPでポート番号「XX」指定

tcp.dstport == XXXX　　udp.dstport == XXXX

送信元TCP・UDPでポート番号「XX」指定

tcp.srcport == XXXX　　udp.srcport == XXXX

MACアドレスのマルチキャスト・ブロードキャスト指定

eth.ig == 1 　　　：マルチキャスト・ブロードキャスト指定
eth.dst==ff:ff:ff:ff:ff:ff　　　：ブロードキャストのみを指定
eth.ig == 1 && !(eth.dst==ff:ff:ff:ff:ff:ff)　　：マルチキャストのみを指定　　

複数条件「and・&&」の場合

ip.addr == X.X.X.X and http and tcp ・・・
p.addr == X.X.X.X && http && tcp ・・・

構文をand・&&のどちらかで繋げることにより、複数検索が可能です。
andの場合はすべての条件にマッチしたものが表示されます。

複数条件「or・||」の場合

ip.addr == X.X.X.X and http and tcp ・・・
ip.addr == X.X.X.X || http || tcp ・・・

構文をorで繋げることにより、複数検索が可能です。
orの場合はどれか1つの条件にマッチしたものが表示されます。

除外条件「！・not」の場合

表示させたい情報の前に！かnotを付与する

表示項目の追加

例として表示カラムにMACアドレスを追加する場合

表示されました

表示順番も変更可能です
移動したい項目を左クリックでつまんで、移動させたい項目まで持って行きます