【パケット解析】Wiresharkのpcapとpcapngの違いとは？ファイルサイズ比較とログ保存で失敗しない選び方

Wiresharkなどのツールでパケット解析（パケットキャプチャ）を行う際、ログの保存フォーマットに .pcap と .pcapng の2種類があって「どちらを選べばいいの？」と迷ったことはありませんか？

結論から言うと、特別な互換性の理由がない限りは最新規格の pcapng を使うのがベストです。

この記事では、インフラエンジニアやWebエンジニア向けに、パケット解析におけるpcapとpcapngの根本的な違い、ファイルサイズやデータの保持効率の差、そして実務でどちらを選ぶべきかを分かりやすく解説します。

1. pcap と pcapng の基本概要

まずは両者の立ち位置と主なスペックの違いを確認しておきましょう。

項目	pcap (Packet Capture)	pcapng (Packet Capture Next Generation)
世代	従来規格（レガシー）	次世代規格（現行推奨）
標準拡張子	`.pcap`	`.pcapng`
Wireshark標準	過去のデフォルト	現在のデフォルト
ファイル構造	固定ヘッダ＋パケット順の単純構造	ブロック構造（拡張性に優れたメタデータ対応）
ファイルサイズ	メタデータがない分、極小キャプチャではやや小さめ	メタデータ領域があるが、大容量ログ圧縮・保存効率に優れる

パケット解析ログを保存する際、「メタデータが多いなら pcapng の方がファイルサイズが大きくなるのでは？」と疑問に思うかもしれません。実際のサイズ感と優位性は以下の通りです。

pcap の方がわずかに小さい:pcapng はファイル先頭に「セクションヘッダブロック（SHB）」や「インタフェース記述ブロック（IDB）」などのメタデータブロックを書き込みます。そのため、パケット数が数個程度の極端に小さなキャプチャでは、pcapng の方が数KBほどサイズが大きくなります。

実質的な差は誤差レベル（パケットデータ自体のサイズが支配的）:数万〜数十万パケットを超えるような実際のトラブルシューティングログでは、パケットデータ本体が占める割合が99%以上となるため、ヘッダによるサイズ差はほとんど影響しません。
圧縮時の効率（Gzip / pcapng圧縮）:Wiresharkや editcap 等で圧縮（.pcapng.gz や Gzip 形式）して保存する場合、構造化された pcapng はメタデータの共通ブロックが多く含まれるため、高効率で圧縮されやすいというメリットがあります。

ファイルサイズだけでなく、パケット解析の実務面においても pcapng には大きな優位性があります。

pcap: 1つのファイルに 1つのネットワークインタフェース のログしか保存できません。
pcapng: 1つのファイルの中に 複数のインタフェース（例: eth0 と wlan0） のキャプチャ結果を混在して保存できます。「どのインタフェースで受信したパケットか」という情報も保持されます。

キャプチャしたパケットに対して、Wireshark上で「このパケットがエラーの原因」「〇〇送信タイミング」といったコメント（Comment）を追記できます。

pcap: コメント情報をファイル内に保存できません。
pcapng: パケット単位やファイル全体に対して残したコメントがファイル内部にそのまま保存されます。チームでログを共有する際に非常に強力です。

キャプチャを実施したインターフェース名、OS、キャプチャフィルタの条件、さらにはキャプチャ中に発生したパケットドロップ数などのメタデータが自動的に記録されます。後からログを見返した際に「どんな環境・条件で取ったログか」が即座に分かります。

pcap: 基本的にマイクロ秒（10の-6乗秒）精度までの対応です。
pcapng: ナノ秒（10の-9乗秒）精度のタイムスタンプに対応しており、超高速通信や精密なネットワーク遅延解析にも耐えうる精度を持っています。

「すべてにおいてpcapngが勝っているなら、pcapは不要では？」と思うかもしれません。しかし、パケット解析ツールの互換性の面でpcapが必要になる場面があります。

古い解析ツールやサードパーティ機器の制約
- 古いNW機器、古いネットワーク解析ツール、商用のセキュリティアナライザーの中には、.pcapng フォーマットの読み込みに対応していないものがあります。
スクリプト・自作プログラムの互換性
- 独自のパケット解析Pythonスクリプト（Scapyなど）やC言語のLibpcapライブラリで独自処理を行う場合、シンプルな .pcap 構造しか受け付けないケースがあります。

基本的には以下の基準で選択するのがスムーズです。

通常業務・トラブルシューティング・チームでのログ共有:👉 pcapng を選択（コメント記載、マルチインタフェース、詳細なメタデータの恩恵を受けるため）
古いツールへのインポート・特定スクリプトとの連携:👉 pcap を選択（必要に応じてWiresharkの「名前を付けて保存」で .pcap に変換）