為什麼回應要求不顯示在 tcpdump 中？

我有兩個使用 IPSEC-VPN 隧道連接的網段：

• NET#1：帶有 LAN 網關 ab0.1 的 ab0.0/16
• NET#2：帶有 LAN 網關 xy130.1 的 xy0.0/16

我啟動從 ab0.1 到 xy130.100 的 ping 並啟動 tcpdump。這稍後會顯示回顯回複數據包，但不會顯示回應要求數據包。

正常嗎？我怎樣才能得到迴聲請求數據包呢？

這是一個範例測試會話：

平：

# ping x.y.130.100
PING x.y.130.100 56(84) bytes of data.
64 bytes from x.y.130.100: icmp_seq=1 ttl=63 time=1.87 ms
64 bytes from x.y.130.100: icmp_seq=2 ttl=63 time=1.38 ms
64 bytes from x.y.130.100: icmp_seq=3 ttl=63 time=1.27 ms
64 bytes from x.y.130.100: icmp_seq=4 ttl=63 time=3.93 ms
64 bytes from x.y.130.100: icmp_seq=5 ttl=63 time=1.15 ms
64 bytes from x.y.130.100: icmp_seq=6 ttl=63 time=1.16 ms

TCPDUMP：

# tcpdump -nn 'icmp and (src a.b.0.1 or dst a.b.0.1)'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
13:54:27.607103 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 1, length 64
13:54:28.608433 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 2, length 64
13:54:29.610167 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 3, length 64
13:54:30.614716 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 4, length 64
13:54:31.613417 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 5, length 64
13:54:32.615054 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 6, length 64

這個答案假設 Linux 作為作業系統。

tcpdump無法將輸出擷取為明文：在tcpdump有機會看到它之​​前它已經被加密，並且它的icmp過濾器將不匹配。到達加密的輸入作為明文有效負載循環回：tcpdump擷取兩者，但其icmp過濾器將匹配第二個段落。

Netfilter 和 General Networking 中的數據包流提供了有關此的線索（您必須點擊以獲取詳細資訊）：

在右側（輸出）：

• 明文數據包到達xfrm 查找並通過xfrm 編碼作為加密有效負載環回
• tcpdump稍後在 AF_PACKET 擷取最終結果。這與 ICMP 不匹配，過濾器不會顯示任何內容

在左側（輸入）：

• 加密的有效負載到達並由tcpdump在 AF_PACKET 擷取：這與 ICMP 不匹配，不會顯示
• 數據包到達 xfrm/socket 查找並通過xfrm decode進行解碼
• 現在解碼的明文payload是專門通過AF_PACKET發送的：這次tcpdump會看到一個ICMP包
• 明文有效載荷遵循現在通常的路由

實際上，在某些情況下（當啟用 IPSec 壓縮並且數據包是短數據包時）可能存在另一個循環，其中中間內部數據包作為ipip協議。

如果您想獲得傳出流量，這裡有一些建議：

• 您必須添加類似or esp的內容，但它當然不會被解碼，除非-E設置了具有足夠秘密的適當選項（我不太了解）。我不知道tcpdump是否也可以通過這種方式解碼 NAT-T ( udp port 4500)。
• 使用iptables或nftables將數據包複製到虛擬介面。tcpdump可以改為在此介面上擷取。
• 使用iptables或nftables將整個數據包記錄到nflog工具。tcpdump可以改為在此偽介面上擷取。

引用自：https://serverfault.com/questions/1042158