为什么回显请求没有显示在 tcpdump 中？

Question

我有两个使用 IPSEC-VPN 隧道连接的网段：

• NET#1：带有 LAN 网关 ab0.1 的 ab0.0/16
• NET#2: xy0.0/16 与 LAN 网关 xy130.1

我启动了从 ab0.1 到 xy130.100 的 ping 并启动了 tcpdump。稍后会显示回显回复数据包，但不会显示回显请求数据包。

正常吗？我怎样才能得到回声请求数据包？

这是一个示例测试会话：

平：

# ping x.y.130.100
PING x.y.130.100 56(84) bytes of data.
64 bytes from x.y.130.100: icmp_seq=1 ttl=63 time=1.87 ms
64 bytes from x.y.130.100: icmp_seq=2 ttl=63 time=1.38 ms
64 bytes from x.y.130.100: icmp_seq=3 ttl=63 time=1.27 ms
64 bytes from x.y.130.100: icmp_seq=4 ttl=63 time=3.93 ms
64 bytes from x.y.130.100: icmp_seq=5 ttl=63 time=1.15 ms
64 bytes from x.y.130.100: icmp_seq=6 ttl=63 time=1.16 ms

TCPDUMP：

# tcpdump -nn 'icmp and (src a.b.0.1 or dst a.b.0.1)'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
13:54:27.607103 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 1, length 64
13:54:28.608433 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 2, length 64
13:54:29.610167 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 3, length 64
13:54:30.614716 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 4, length 64
13:54:31.613417 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 5, length 64
13:54:32.615054 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 6, length 64

Answer 1

这个答案假设 Linux 作为操作系统。

tcpdump无法将输出捕获为纯文本：在tcpdump有机会看到它之前它已经加密，并且它的icmp过滤器将不匹配。加密到达的输入作为明文有效负载循环返回：tcpdump捕获两者，但其icmp过滤器将匹配第二个段落。

Netfilter 和 General Networking 中的数据包流提供了有关此的线索（您必须单击以获取详细信息）：

在右侧（输出）：

• 明文数据包到达xfrm 查找，并通过xfrm 编码作为加密有效负载环回

• tcpdump稍后在 AF_PACKET 处捕获最终结果。这与 ICMP 不匹配，过滤器将不显示任何内容

在左侧（输入）：

• 加密的有效负载到达并被tcpdump在 AF_PACKET 捕获：这与 ICMP 不匹配，不会显示
• 数据包到达 xfrm/socket 查找并通过xfrm 解码进行解码
• 现在解码的明文payload是专门通过AF_PACKET发送的：这次tcpdump会看到一个ICMP包
• 明文有效负载遵循现在通常的路由

实际上在某些情况下（当启用 IPSec 压缩并且数据包是短数据包时）可能存在另一个循环，中间内部数据包作为ipip协议。

如果您想获得传出流量，这里有一些建议：

• 你必须添加一些类似的东西or esp，但当然它不会被解码，除非-E设定了适当的秘密的正确选择（我不太了解）。我不知道tcpdump 是否也可以通过udp port 4500这种方式解码 NAT-T( )。
• 使用iptables或nftables将数据包复制到虚拟接口。tcpdump可以在此接口上进行捕获。
• 使用iptables或nftables将整个数据包记录到nflog工具中。tcpdump可以在这个伪接口上捕获。