無線LANをwiresharkでキャプチャ（mac）

無線LANのヘッダには、アドレス情報が４つもある、と聞いて（知らなかった）
自宅のtime capsule環境で、wiresharkでキャプチャしてみることにした。
まず、wiresharkいれるのに一苦労。
macでwireshark調べるとインストール方法に一癖あることがわかった。
まず、finkでいれる。

sudo fink install wireshark

このまま、wiresharkを起動すると、インターフェースが見えない。キャプチャできない。なので、結局mac用のwiresharkのdmgファイルをダウンロードして、中に入っている、ChmodBPF（単なるシェルスクリプト）と、StartupParameters.plistを、/Library/StartupItems/ChmodBPF/以下にコピーする。パーミッションに気をつけること。

ls -l /Library/StartupItems/ChmodBPF/
total 16
-rwxr-xr-x@ 1 root  wheel  954  8 30 07:24 ChmodBPF*
-rw-r--r--@ 1 root  wheel   84  8 30 07:24 StartupParameters.plist

この後、sudo wiresharkでようやくキャプチャ出来る状態になった。
よーし、と、張り切って、キャプチャした無線LANのethernetヘッダ（この言い方変だね）を見てみると、、、あれ？見慣れたethernetと同じヘッダに見える、、アドレスには、見なれたdistination MAC address、source MAC addressの順に見える。アドレス４個ってのはガセか？
で、しばらく悩むこと数時間、やっと理由判明。
http://wiki.wireshark.org/CaptureSetup/NetworkMedia
ここによると、

On some platforms: WLAN non-control frames only, with fake Ethernet headers, and only traffic to and from the machine doing the capturing

とあるので、無線LANの制御用のヘッダは表示できないため、fake ethernet headersで我慢してな。ということなのだろうか。
残念、、と、思ったところ、キャプチャのインターフェースの選択の画面で出すことができた。

802.11 plus radiotap headerを選択してみたら、スゴイ量のキャプチャが取れた。
やたらと、ブロードキャストが多いのは、ビーコンというAP（time capsule）が出す信号らしい、こんなにブロードキャストしてるのか。。。
確かにアドレスは多い、、というかヘッダの読み方がわからん、、、取り方が変わると途端に見づらくなってしまった。
このへんで勉強してから再度トライしてみよう。
http://www.infraexpert.com/study/wireless7.html
http://www.n-study.com/network/2007/08/lan_lan_4.html
データ長が、少しだけ長い、全体で1514を超えるデータがある、無線LANのmtuは長いのか。
いろいろ面白いが、ネットワークスペシャリストまでに覚えられるのか、不安になった。

---

検察捜査は「魔術のような怖さ」村木・厚労省元局長語る
良い国策捜査は「執行猶予がついて実刑がつかない」と国家の罠には書いてあった。国策捜査かどうかは別として、同じ流れになるのだろうか。