这操作666啊，用Wireshark查看IPsec加密报文
IPsec 封装安全负载（IPsec ESP）报文，因为是加密封装报文，wireshark打开后无法查看封装内容。有时候我们需要查看封装的报文内容，以定位一些问题。wireshark支持对ESP的解析，只是需要做一些相应配置。一、抓取并打开ipsec报文通过tcpdump或者wireshark等方式抓取到ipsec报文。打开后，过滤4500端口(ESP标准端口)，可以看到如下所示封装后的报文。
https://pic2.zhimg.com/80/v2-4469b7ecc336b05209fe66763a149da9_720w.jpg
此时报文会提示是 UDP Encapsulation of IPsec Packets。并告知 ESP SPI: 0xc0a7ebd8 (3232230360)。ipsec是双向加密，且使用了不同的key，所以反向也有ESP SPI: 0x0caa055e (212469086)。二、获取esp配置有了SPI，我们就可以在系统上查询相关配置了。
linux系统可以通过ip xfrm state命令获取到esp相应配置。#ip xfrm statesrc 172.16.23.34 dst 124.64.17.33proto esp spi 0x0caa055e reqid 55 mode tunnelreplay-window 0 flag af-unspecauth-trunc hmac(sha256) 0x795cf1a66058a9b7e3004a89417699b815676c0e28d450b4d322b52a3fcfc85b 128enc cbc(aes) 0x6580c3bc833a509132b3e2fb32af88fac3cc25984ee2300a32072f7ec0c3a87aencap type espinudp sport 4500 dport 19765 addr 0.0.0.0src 124.64.17.33 dst 172.16.23.34proto esp spi 0xc0a7ebd8 reqid 55 mode tunnelreplay-window 0 flag af-unspecauth-trunc hmac(sha256) 0x0448794e814a9250e0e8f6e822b889fe4702d4455b915b5665339f93d59122c5 128enc cbc(aes) 0x3fe4c7cf0a73240e02751e1304da3558e8754d633390a11126960eb60477f5e8encap type espinudp sport 19765 dport 4500 addr 0.0.0.0
通过配置可知三、wireshark上配置espwireshark界面操作如下：1. "Encapsulating Security Payload"右键–>“协议首选项”–>“ESP SAs …”https://pic1.zhimg.com/80/v2-9ccce879bc9314f9a03d0ded7bb87518_720w.jpg2. ESP SAs界面操作在ESP SAs界面上点击"+"，创建一个选项如下。
https://pic3.zhimg.com/80/v2-bebf037a65d4b2418bb0e1bfbbcf3876_720w.jpg
这里的SrcIP和DstIP自然是wireshark里显示的 192.168.43.102和 49.235.117.117。
[*]SPI：0xc0a7ebd8
[*]Encryption加密方式: AES-CBC
[*]加密key：0x6580c3bc833a509132b3e2fb32af88fac3cc25984ee2300a32072f7ec0c3a87a
[*]Authentication：HMAC-SHA-256-128
[*]Authentication Key：0x795cf1a66058a9b7e3004a89417699b815676c0e28d450b4d322b52a3fcfc85b
同样步骤配置 49.235.117.117–>192.168.43.102 方向的SA。
配置完毕后如下图：
https://pic4.zhimg.com/80/v2-947926172870e4012e9831341f068fa7_720w.jpg
3. 解密后的报文一般来说，这回就可以看到解密后的报文了。
部分wireshark需要显式打开 "Attempt to detect/decode encrypted ESP payloads"选项。
https://pic1.zhimg.com/80/v2-3349a25c0faa59079d6767e90c525cb8_720w.jpg
然后就可以看到解密后的报文内容，进行相应的查看分析了。
https://pic3.zhimg.com/80/v2-8fa945bcbb51eea146578a78b50e9396_720w.jpg
以上就是今日份的内容，更多的问题 大家可以在评论区留言讨论哦！超感谢小伙伴们的支持！如果你现在是在校大学生，对未来迷茫，如果你是初入职场的小白，对职业没有规划，如果你目前从事网工但是不知道如何提升，都欢迎你们加小老虎微信，小老虎可以拉你进群一起学习，讨论，拒绝焦虑！
最后太阁老师的个人微信添加太阁老师个人微信领取：太阁免费视频资料、NA综合实验配置文件拓扑图及模拟器、太阁独家实验手册、网工必读书籍等
https://bbs.hh010.com/data/attachment/forum/202108/12/152306f0rn90ir97qeeh7h.jpg
页:
[1]