IPsecのデータ転送に使われるESPパケットをどうしても復号化して読みたいときの手順メモ。 だいたい全部ググれば出てくるけどもう一回ググるのダルい。Wiresharkの利用者向け。 1. パケットをキャプチャする IPsecの終端にあたるルータでキャプチャする。全部のパケットを取りたいときはこんな感じ。 オプションはお好みで、MTUは切れてそうだったら指定。 $ sudo tcpdump -w hoge.pcap -i eth0 -X -s 1500ESPパケットだけ取りたいときはこんな感じ。 ESPのプロトコル番号は50、オプションが本当にas you likeすぎて不安になる。 $ sudo tcpdump -i eth0 -n -vvv 'ip proto 50' -w hoge_esp.pcap 2. キャプチャしている間にip-xfrmを取り続けておく ip-xfrmのstat