PCAP und PcapNG · Kostenlos für macOS 26
Cocoa Packet Analyzer öffnet die Aufzeichnungen, die tcpdump, andere Analyseprogramme oder Netzwerkgeräte schreiben, und macht daraus lesbare Unterhaltungen: jedes Feld jedes Pakets, Filter auf jedes davon und HTTPS im Klartext, wenn die Schlüssel in der Datei stecken. Die App ist nativ und kostenlos, und nichts verlässt Ihren Mac.
Die App liest .pcap und .cap (PCAP) sowie .pcapng und .ntar (PcapNG), egal welches Programm die Datei geschrieben hat. Als Link-Typ kommen Ethernet, WLAN mit RadioTap-Headern, Loopback, PPP, Linux Cooked und Raw IP infrage. Auch HAR-Dateien öffnet sie, also die Request-Protokolle, die ein Browser aus seinen Entwicklerwerkzeugen sichert.
Wählen Sie eine Aufzeichnung im Finder aus und drücken Sie die Leertaste. Quick Look zeigt dann die ersten Pakete, den Zeitraum der Aufzeichnung, die häufigsten Protokolle, Gesprächspartner und Apps sowie das Programm, das die Datei geschrieben hat. Die App muss dafür nicht laufen.
Spotlight durchsucht auch den Inhalt Ihrer Aufzeichnungen. Geben Sie einen Hostnamen, eine Adresse, ein Protokoll oder eine App ein, und Spotlight findet die Dateien, in denen sie vorkommen, egal wie diese heißen.
Mehr als 50 Protokoll-Analyzer, von Ethernet bis HTTP/3.
Die Paketliste zeigt Quelle, Ziel und Protokoll jedes Pakets. Wählen Sie eines aus, klappen die Paketdetails Schicht für Schicht auf, und die Hex-Ansicht markiert die Bytes des gewählten Felds. Ein Klick auf ein Feld filtert die Aufzeichnung danach. Abfragen, die Sie öfter brauchen, sichern Sie, und Ihre letzten zehn stehen ohnehin bereit.
Folgen
„TCP-Stream folgen“ setzt eine Verbindung wieder zu Text zusammen, mit Request und Response. „UDP-Flow folgen“ ordnet zusammengehörende Datagramme einander zu, „QUIC-Stream folgen“ macht dasselbe innerhalb von QUIC. Aufzeichnungen mit Millionen von Paketen öffnen ohne Stocken und belegen wenig Speicher.
Verschlüsselter Verkehr
Eine PcapNG-Datei kann die TLS-Schlüssel ihrer eigenen Sitzungen enthalten. Öffnen Sie eine solche Datei, erscheinen HTTPS, HTTP/2 und HTTP/3 sofort als Requests und Responses. Fehlen die Schlüssel, fügen Sie im Fenster „TLS-Schlüssel“ unter „Quellen“ das Keylog hinzu, das während der Aufzeichnung geschrieben wurde. Sie können es auch neben die Aufzeichnung legen, mit deren Namen und der Endung .keys: Dann liest die App es gleich beim Öffnen. Dasselbe Fenster listet alle Sitzungen der Aufzeichnung auf und nennt für jede, die verschlüsselt bleibt, den Grund.
In beiden Formaten stehen die Pakete so, wie sie über die Leitung gingen, jedes mit Zeitstempel. Der Unterschied liegt darin, was sonst noch in die Datei passt.
PCAP ist das ältere und einfachere Format. Alle Pakete einer Datei haben denselben Link-Typ, und außer den Paketen hat nichts Platz.
PcapNG („Next Generation“) ist aus Blöcken aufgebaut. Eine Datei kann Pakete von mehreren Schnittstellen aufnehmen, dazu Kommentare und die Schlüssel, mit denen sich ihre TLS-Sitzungen entschlüsseln lassen. So bleibt eine Aufzeichnung lesbar, wenn Sie sie archivieren oder weitergeben. Zeichnet Cocoa Packet Analyzer mit der App zu jedem Paket auf, landen auch die Apps in der PcapNG-Datei.
Cocoa Packet Analyzer liest und schreibt beide Formate. Unter Ablage ▸ Sichern unter… wählen Sie das Format; für eine Aufzeichnung mit Schlüsseln ist PcapNG vorausgewählt. Wollen Sie eine PcapNG-Datei als PCAP sichern, fragt die App vorher nach, denn Kommentare, Schlüssel und App-Namen gehen dabei verloren.
PCAP-Dateien (.pcap, .cap) und PcapNG-Dateien (.pcapng, .ntar), egal welches Programm sie geschrieben hat. Außerdem HAR-Dateien, also die Request-Protokolle, die Browser aus ihren Entwicklerwerkzeugen sichern.
Nicht direkt. Entpacken Sie die .gz-Datei mit einem Doppelklick im Finder und öffnen Sie dann die .pcap- oder .pcapng-Datei, die darin steckt.
Öffnen Sie die Datei, wählen Sie Ablage ▸ Sichern unter… und dort PCAP oder PcapNG als Format. PCAP hat keinen Platz für Kommentare, TLS-Schlüssel und die App zu jedem Paket. Beim Sichern einer PcapNG-Datei als PCAP fallen sie deshalb weg, und die App fragt vorher nach.
Ja, ohne Testphase, Konto oder Abo. Der Download und die Version aus dem Mac App Store sind beide kostenlos, und beide öffnen PCAP- und PcapNG-Dateien. Der App-Store-Version fehlt nur die Live-Aufzeichnung.
macOS 26 oder neuer, auf Apple Silicon oder Intel. Für Macs mit macOS 10.14.6 bis 15.7.4 gibt es Version 2.1.4 bei den Downloads auf der Startseite.
Nein. Cocoa Packet Analyzer liest die Datei lokal und lädt nichts hoch. Ein Konto oder ein Onlinedienst ist nicht nötig.
