有没有什么比较好的工具用来解析 IPSec 的 ISAKMP 握手包

[feast]

首先说不是用来富强一类的，IPSec 这东西配置参数极为复杂，android 和 ubuntu 上的 strongswan 和 racoon 经过多次修改 ipsec.conf 配置，主机侧依然提示 No proposal found, 并且 strongswan 这货费尽周折开启 VERBOSE log 后发现 log 输出的内容基本也是无可读性的的 Binary 数据，实在不想花大笔时间去研究 ipsec 那复杂的参数了，有没有什么工具能够解析 INIT 阶段的 ISAKMP SA 数据包的，直观展示一下加密方式,DH,认证方式等等，尽量做到可视化直接方便配成一致,wireshark 就不用说了，那货给的信息也极为有限

[Seumi]

https://github.com/quericy/one-key-ikev2-vpn
你试试这个，基于 strongswan 的一键配置

[feast]

@Seumi 我感觉我还是没把日志调到最高，你这个日志是使用 strongswan 什么版本搭配各种命令行开启这种 verbose log 的

[feast]

@zhaoxiting1997 那个的确挺丰富，但是那只是客户端好像

[feast]

@Seumi 这个我很早就用过了，之前研究 IKEV2 的时候，这个脚本算是兼容性比较好的，但是我手上的终端并非一般意义上的标准 android 终端

[Seumi]

The IKE daemon knows different numerical levels of logging, ranging from -1 to 4:

-1: Absolutely silent
0: Very basic auditing logs, (e.g. SA up/SA down)
1: Generic control flow with errors, a good default to see whats going on
2: More detailed debugging control flow
3: Including RAW data dumps in hex
4: Also include sensitive material in dumps, e.g. keys

输出级别最高就是 4 了

[feast]

@Seumi 我上面的 log 就是 4 级输出，然而没用

[Seumi]

不解密可以看到 SA 负载里的内容的啊

[feast]

@Seumi 我已经看到了 proposal 里的内容了，明日我再修改服务器配置看一下，谢谢老兄了，SA_INIT 阶段是否会验证 AUTH 方法？目前看起来是 SA 建立后才进行 AUTH 协商的吧

[ladeo]

1.racoon 就别用了太老了
2.你应该补一下最基本的 ipsec 概念，ike v1，ike v2，main mode，aggresive mode 的握手都不一样。
3.ipsec 最主要的就是 2 端匹配，匹配了肯定能起来
4.strongswan 和 juniper 是能连的，我自己就在用
5.换个运营商的线路看看，有时是背墙了
6.NAT 问题，NAT 次数太多。或者 n 没有开 NAT-T

[cwbsw]

IPSec 配置还好吧，简单的场景还是蛮简单的，严格照着 Strongswan 官网 wiki 上的来就可以了。我在 OpenWrt 路由器上配置了 IPSec 网关，iOS、Android、Windows 都没问题。

[zxq2233]

您好，我是苏州思杰马克丁的法务专员，本内容有侵犯我司软件著作权之嫌，故烦请贴主将本文删除，谢谢！