| 用途 | 过滤 IPsec ESP 报文 |
|---|---|
| 语法 | ip proto esp / ip proto 50 [and host ...] |
常用示例
常用示例
tcpdump -i eth0 -nn 'ip proto 50' -c 10
tcpdump -i eth0 -nn 'ip proto 50 and host 198.51.100.7'AH 协议号为 51；ESP 载荷加密，内容分析要先在两端解密，抓包仅能核对封装与流量存在性。
tcpdump 抓 ESP 加密流量
IPsec 的 ESP（协议号 50）承载加密载荷，抓包只能看到外层地址、SPI 与序列号；用于确认隧道是否建立、报文是否到达。
易错点
- ESP 无端口概念，若发现"看不到内网应用报文"，先确认是否被 IPsec 加密承载
- NAT 环境 ESP 需要 NAT-T（UDP 4500）封装，抓不到 50 号协议不代表隧道没通，检查 4500
数据来源与参考
- man 8 pcap-filter
- RFC 4303（IPsec ESP）