如何使用 StrongSwan 日志信息在 Wireshark 中解密 IKVe2？

Question

Wireshark 有解密 IKEv2 的能力，如果你做 Preferences，选择 ISAKMP，它提供了一个 IKEv2 解密表，它需要发起者和响应者的 SPI、加密和认证密钥（SK_ei、SK_er、SK_ai、SK_ar）以及加密和认证算法. 使用 Strongswan 的 charon 调试日志记录所有这些都可用。

我有一个可用的 IKEv2 SA，可以传输 ESP 流量。

然而，每次我尝试使用 Wireshark 解密时，它都会产生不连贯的解密结果，例如 166 字节的数据包中的字段长度为 65000，并报告格式错误的数据包。

我也无法解密 ESP 数据包。谷歌搜索说这只是使用来自“ip xfrm state”的信息是可能的，但 Wireshark 要么不解密，要么再次产生无效的结果。

显然我遗漏了一些东西，有人这样做过吗？

我在 Ubuntu 12.04 上使用 Wireshark 1.8.3、StrongSwan 5.0.1。

谢谢， RichK

Answer 1

也许您输入了错误的密钥。

AFAIK，其中有 2 个：

• IKE 密钥 - 使用这些密钥加密密钥
• ESP 密钥 - 使用这些密钥对网络流量进行加密

我总是使用ip xfrm state密钥中的密钥来解密 Wireshark 中的 ESP 流量。