TCP Viewer：Mac 向け Wireshark の最適な代替ツール

Wireshark はほぼあらゆる種類のネットワーク通信を解析できます。ただ、Mac でパケットをキャプチャして特定の接続を見つけ、調べたいだけの場合には、機能が多すぎると感じることもあります。

TCP Viewer は、よりシンプルで用途を絞ったアプローチを採用しています。Proxyman チームが開発した、ネイティブな macOS 用のパケットビューアです。パケット解析でおなじみの要素は残しつつ、その周辺にある煩雑な設定の多くは取り除いています。

だからこそ、多くの Mac 開発者にとって TCP Viewer は Wireshark の最適な代替ツールだと考えています。Wireshark の高度なツールをすべて置き換えようとするものではなく、日々のパケット作業をより簡単にすることを目指しています。

1. Wireshark ライブラリをベースにしたネイティブな macOS アプリ

これが TCP Viewer の最大の魅力です。

• TCP Viewer はネイティブな macOS アプリです。
• インターフェースは、Mac でおなじみの操作パターンに沿っています。
• パケット解析のために、Wireshark のライブラリをベースに構築されています。
• 同梱の Wireshark エンジンが、プロトコル、フィールド、値、バイト範囲をデコードします。
• デコードされたフィールドを選択すると、対応する生のバイト列がハイライトされます。

複数のプラットフォームにまたがる、情報量の多いインターフェースで一日中作業しなくても、Wireshark 並みのパケット詳細を得られます。パケットリスト、サイドバー、インスペクタ、Follow Stream ウィンドウは、どれも macOS にしっくり馴染みます。

2. アプリとドメインごとにパケットをグループ化

パケットリストが長くなると、すぐに見づらくなります。TCP Viewer のサイドバーでは、すでに把握している情報を基準に通信をグループ化できます。

• アプリを開くと、そのアプリが接続したドメインと IP アドレスを確認できる
• ドメインを選択すると、関連するパケットが表示される
• パケットの行を一つずつ読む代わりに、サイドバーを検索できる
• TCP Viewer PRO では、重要なアプリやドメインをピン留めして素早くアクセスできる
• 選択したグループ内の通信だけを書き出せる

Safari、Docker、または自分のアプリがリクエストを送ったと分かっていても、送信元のアドレスやポートはまだ分からない場合に便利です。

アプリとドメインによるグループ化の仕組みを確認する

3. Wireshark のフィルタを使って結果を調べる

TCP Viewer は Wireshark の表示フィルタ構文に対応しています。普段使っているフィルタを、次のように貼り付けられます：

tcp.port == 443 and ip.addr == 192.168.1.10

フィルタで変わるのは表示内容です。キャプチャからパケットが削除されるわけではありません。

よく使う作業には、次のようなシンプルな操作も使えます：

• TCP、UDP、DNS、TLS などのプロトコルでフィルタする
• アプリ、ドメイン、アドレス、ポート、ストリーム、デコードされたフィールドで絞り込む
• デコードエラーのあるパケットを見つける
• フィルタを解除して、非表示になっていたパケットをすべて戻す

目的のパケットが見つかったら、プロトコルツリーを開きます。フィールドを検索したり、値をコピーしたり、生のバイト列を調べたり、役立つフィールドをパケット一覧の列として追加したりできます。

4. TCP の通信全体を追跡する

1 つのアプリケーションメッセージが、複数のパケットに分割されることがあります。それらの行を一つずつ読むのは大変です。

TCP Viewer の Follow Stream ウィンドウは、通信を元どおりにまとめて表示します。

• 双方向の通信をまとめて表示する
• クライアントからサーバー、またはサーバーからクライアントへのデータだけを表示する
• 読みやすいテキスト表示と、正確な 16 進数のバイト列表示を切り替える
• ストリームを検索し、一致箇所を順に移動する
• ストリームのレコードから、元のパケットへジャンプする
• トランスクリプトを保存する、または生のバイト列を書き出す

同じウィンドウで UDP フローも確認できます。暗号化された TLS、QUIC、DTLS のデータは暗号化されたままのため、テキスト表示には暗号文が表示されることがあります。

TCP および UDP ストリームの追跡方法を確認する

5. キャプチャファイルを開く、確認する、書き出す

TCP Viewer は標準的なパケットファイルに対応しているため、キャプチャデータを一つのアプリに閉じ込めることはありません。

• PCAP または PCAPNG ファイルをドラッグして読み込む
• 同じサイドバー、フィルタ、パケットインスペクタを使って確認する
• キャプチャ全体、または小さなグループを書き出す
• 書き出したファイルを、TCP Viewer、Wireshark、またはその他の互換ツールで開く

概要画面では、キャプチャの全体像をすばやく把握できます。パケットの合計数、時間ごとの通信量、プロトコルの使用状況、最も通信量の多いアプリや宛先が表示されます。

それでも Wireshark を使うべきとき

Wireshark は優れたツールであることに変わりはありません。次のようなものが必要な場合は、Wireshark を使ってください。

• 多数のプロトコルにまたがる、詳細な専門分析
• 幅広い統計情報とエキスパートビュー
• macOS、Windows、Linux にまたがる作業
• ネットワークチームやセキュリティチームがすでによく知っている共有ツール

次のような日常的な作業であれば、TCP Viewer のほうが適しています。

• Apple シリコン搭載の Mac でパケットをキャプチャする
• アプリやドメインごとに通信を見つける
• すっきりした Mac のインターフェースを使う
• Wireshark 並みのパケット詳細を調べる
• より深い調査が必要なときだけ、小さめの PCAP ファイルを Wireshark に渡す

この最後の点は重要です。ツールを一つに決め続ける必要はありません。TCP Viewer で手早くキャプチャして最初の確認を行い、まれに必要になる詳しい調査は Wireshark に任せることができます。

TCP Viewer を試す

TCP Viewer は、macOS 15 以降を搭載した Apple シリコン Mac で動作します。

1. TCP Viewer をダウンロード。
2. ネットワークインターフェースを選択します。
3. キャプチャを開始します。
4. アプリ、ドメイン、またはプロトコルを選択します。
5. パケットを開いて、デコードされたフィールドを調べます。

Mac での日常的なパケットデバッグに、私たち自身が使いたいと考えていた Wireshark の代替ツールがこれです。