Wireshark で pcap を取る。ダイアログには 2 つの場所がある。取り始める前に 書く欄と、取り終わってから書く欄。両方とも「filter」と呼ばれているが、 実は別の道具だ。

tcp port 80 で取り始めた pcap を後で開いて、「あ、HTTPS の通信も見たい」 と思う。だが、443 のパケットは pcap のどこにも入っていない。取り込みの 段階で捨てられている。これが capture filter の世界だ。

もう一つの場所、tcp.port == 80 の側。こちらは表示を絞る。フィルタを 変えれば 443 も出てくる。pcap には記録されているからだ。

同じ「filter」でも、効く瞬間が違う。取りこぼしと黙ったまま、というふた つの結果がそこから生まれる。