想查看封装报文内容？教你用Wireshark查看IPsec加密报文！

最新推荐文章于 2024-07-19 16:18:30 发布

6IE闫辉教你考HCIE

最新推荐文章于 2024-07-19 16:18:30 发布

阅读量2.1k

点赞数

文章标签：网络服务器

本文链接：https://blog.csdn.net/ccie21820/article/details/126284154

版权

本文介绍了如何使用Wireshark查看IPsec ESP加密报文内容。首先，通过抓取和过滤ipsec报文，然后利用Linux的`ip xfrm state`命令获取ESP配置。接着，在Wireshark中配置ESP SAs，包括SPI、加密和认证密钥。最后，解密后的报文内容可以被正确解析和分析。

摘要由CSDN通过智能技术生成

IPsec 封装安全负载（IPsec ESP）报文，因为是加密封装报文，wireshark打开后无法查看封装内容。

有时候我们需要查看封装的报文内容，以定位一些问题。wireshark支持对ESP的解析，只是需要做一些相应配置。

一、抓取并打开ipsec报文

通过tcpdump或者wireshark等方式抓取到ipsec报文。打开后，过滤4500端口(ESP标准端口)，可以看到如下所示封装后的报文。

此时报文会提示是 UDP Encapsulation of IPsec Packets。并告知 ESP SPI: 0xc0a7ebd8 (3232230360)。ipsec是双向加密，且使用了不同的key，所以反向也有ESP SPI: 0x0caa055e (212469086)。

二、获取esp配置

有了SPI，我们就可以在系统上查询相关配置了。
linux系统可以通过ip xfrm state命令获取到esp相应配置。

[root@5-326-sh-qq-dcpe yl]#  ip xfrm state
src 172.16.23.34 dst 124.64.17.33
  proto esp spi 0x0caa055e reqid 55 mode tunnel
  replay-window 0 flag af-unspec
  auth-trunc hmac(sha256) 0x795cf1a66058a9b7e3004a89417699b815676c0e28d450b4d322b52a3fcfc85b 128
  enc cbc(aes) 0x6580c3bc833a509132b3e2