IPSec抓包分析主要分為以下幾個步驟：
確認隧道搭建正常：首先，需要確認VPN路由是否正常學習到。如果路由不正常，需要檢查第二階段出入站配置。如果路由正常，可以在區域網路找一台PC，使用cmd命令長ping對端區域網路業務IP，例如`ping 192.168.10.10 -t -l 400`。
抓包確認ICMP包轉發：在系統排障分析工具的命令控制台中，輸入抓包命令`tcpdump -i any host 192.168.10.10 and icmp -nn -c 100`，抓取區域網路口、vpntun口的icmp包。如果可以看到連續兩個icmp的request包，即可確定區域網路口和vpntun口正常轉發了這個icmp包。
抓取公網口數據包：確認ICMP包是否被加密並發往公網。假設公網口為eth3，對端公網ip為10.2.14.204，輸入抓包命令`tcpdump -i eth3 host 10.2.14.204 and esp -nn -c 100`，抓取公網口加密傳送的esp包。正常情況下，如果公網口抓到了400+長度的esp包，就可以確定這個ICMP包被加密轉發至公網了。
對端配置抓包：最後，需要對端配置抓包，確認數據是否被對端正常收到，對端是否正常回包。
以上步驟可以幫助我們分析IPSec是否正常工作。