如何解码Wireshark捕获的SSH传输Netconf加密报文？

Netconf通过SSH子通道传输，SSH本身的加密特性导致直接抓包只能看到加密的SSH/TCP数据。以下是三种可行的解码方法：

方法1：利用Wireshark的SSH解密功能（推荐测试/生产排查用） #

无需修改服务端或客户端配置，通过获取SSH会话密钥解密流量：

• 启动SSH客户端前，设置环境变量让OpenSSH输出会话密钥到日志文件：

  export SSH_KEYLOG_FILE=/tmp/ssh_netconf_keys.log
  

• 正常启动Netconf SSH客户端（例如ssh -s user@confd-server netconf），客户端会将SSH会话的对称密钥写入指定日志文件。
• 打开Wireshark，进入编辑 > 首选项 > 协议 > SSH，在SSH keylog file选项中选择生成的/tmp/ssh_netconf_keys.log文件。
• 重新加载抓包文件或继续抓包，Wireshark会自动解密SSH流量，并识别其中的Netconf报文（可通过过滤netconf快速查看）。

方法2：使用无加密的SSH连接（仅测试环境用） #

通过禁用SSH加密获取明文Netconf报文，生产环境绝对禁止使用：

• 修改Confd的SSH服务配置（通常在confd.conf的netconf或ssh模块下），添加允许无加密的加密套件：

  <ssh>
    <ciphers>none,aes256-ctr</ciphers>
  </ssh>
  

• 重启Confd服务使配置生效。
• 客户端连接时指定无加密套件：

  ssh -o Ciphers=none -s user@confd-server netconf
  

• 此时Wireshark抓包可直接看到明文SSH流量，Netconf报文会被自动解析。

方法3：利用Confd内置日志记录Netconf报文 #

若无需抓包，可直接通过Confd的日志功能获取报文内容：

• 修改confd.conf中的日志配置，启用Netconf trace日志：

  <logs>
    <netconfTrace>
      <file>/var/log/confd/netconf_trace.log</file>
      <enabled>true</enabled>
    </netconfTrace>
  </logs>
  

• 重启Confd后，所有Netconf的请求、响应报文都会被完整记录到指定日志文件中，无需抓包即可查看。

内容的提问来源于stack exchange，提问作者Bhuvan