Debian dumpcap如何解密流量

在 Debian 上用 dumpcap 解密流量，核心思路并不是 dumpcap 本身“解密”，而是 dumpcap 负责抓包，Wireshark/tshark 利用密钥对抓到的 pcap 进行解密。dumpcap 只是抓包后端，解密能力来自 Wireshark 套件。

下面按常见场景说明。

一、前提条件（非常重要）

解密流量必须满足以下之一：

拥有加密密钥
- TLS：RSA Private Key（仅 RSA key exchange，不支持完全前向保密 PFS）
- TLS：TLS 1.3 / ECDHE 需要 SSLKEYLOGFILE
- IPsec / WPA：对应密钥
抓到的数据是完整的握手过程
没有遇到 PFS 却又没有 RSA 私钥

二、Debian 安装 dumpcap / Wireshark

sudo apt update
sudo apt install wireshark-common

dumpcap 通常随 wireshark-common 安装：

which dumpcap

赋予抓包权限（推荐方式）：

sudo dpkg-reconfigure wireshark-common
# 选择 "yes"，把用户加入 wireshark 组
sudo usermod -aG wireshark $USER
newgrp wireshark

三、方式一：使用 SSLKEYLOGFILE（最推荐）

✅ 支持 TLS 1.2 / 1.3 / ECDHE

1️⃣ 设置环境变量

export SSLKEYLOGFILE=$HOME/tls_keys.log

2️⃣ 启动支持该变量的客户端

例如浏览器或 curl：

curl -v https://example.com

Chrome / Firefox 会自动写入密钥。

3️⃣ 用 dumpcap 抓包（或 tcpdump）

dumpcap -i any -w capture.pcap

4️⃣ 用 tshark 解密

tshark -r capture.pcap -o "tls.keylog_file:${SSLKEYLOGFILE}" -Y http2

或用 Wireshark GUI：

Edit → Preferences → Protocols → TLS → (Pre)-Master-Secret log filename

四、方式二：使用 RSA 私钥（仅限非 PFS）

⚠️ 现代 TLS 基本不可用

1️⃣ 准备私钥

server.key

2️⃣ 用 tshark 解密

tshark -r capture.pcap \
  -o "tls.keys_list:0.0.0.0,443,http,server.key"

或在 Wireshark 中：

TLS → RSA keys list
IP: 0.0.0.0
Port: 443
Protocol: http
Key File: server.key

五、方式三：IPsec / WPA 解密

IPsec

tshark -r capture.pcap \
  -o "esp.decryption_key:1234567890abcdef"

WPA

tshark -r wifi.pcap \
  -o "wlan.wep_key1:wpa-pwd:密码:SSID"

六、dumpcap 本身不能解密

dumpcap 只负责：

抓包
保存 pcap / pcapng

解密必须：

tshark
Wireshark
editcap（部分场景）

七、常见错误排查

问题	原因
仍然显示 TLS	使用了 ECDHE + 没有 SSLKEYLOGFILE
解密失败	抓包不完整（缺握手）
找不到 TLS 选项	未安装 wireshark
dumpcap 没权限	未加入 wireshark 组

八、推荐方案总结

✅ 最佳实践

SSLKEYLOGFILE + dumpcap + tshark/Wireshark

❌ 不推荐

靠 RSA 私钥解密现代 HTTPS
指望 dumpcap 直接解密

如果你愿意，可以告诉我：

是 HTTPS / QUIC / IPsec / Wi‑Fi
是 服务器还是客户端
Debian 版本

我可以给你一套 完全可执行的命令示例。