📚 课程目录第2章以太网与MAC层

以太网与MAC层：从物理信号到数据帧的旅程

说实话，很多人学网络协议都是从TCP/IP三层或四层模型开始的，但真正让我觉得「这玩意儿有意思」的，恰恰是最底层的以太网和MAC层。你想想看，一堆设备怎么在同一个线缆上不打架？怎么知道哪段数据是发给自己的？这些问题，MAC层都给出了优雅的答案。

我个人习惯把MAC层看作「快递分拣中心」——它不管快递怎么运输（那是物理层的事），只管贴标签、核对地址、决定要不要收件。今天我们就来拆开这个分拣中心，看看里面的门道。

MAC地址结构：设备的身份证

每个以太网设备出厂时，都会被烧录一个48位的全球唯一标识符——MAC地址。我见过不少刚入行的朋友把MAC地址和IP地址搞混，其实很简单：MAC是硬件地址，IP是逻辑地址。MAC就像你的身份证号，IP就像你现在的住址。

MAC地址长这样：00:1A:2B:3C:4D:5E。48位，通常用12个十六进制数表示，每两个一组用冒号或连字符隔开。它的结构分两部分：

字段	长度	说明
OUI（组织唯一标识符）	24位（前3字节）	由IEEE分配给厂商，比如00:1A:2B是思科
NIC（网络接口控制器）	24位（后3字节）	厂商自行分配，保证同一OUI内不重复

小技巧： 我经常用MAC地址的前三位来快速判断设备厂商。比如在抓包时看到一堆 00:50:56 开头的地址，基本可以确定是VMware虚拟机。这在排查虚拟化环境问题时特别管用。

MAC地址还有一个特殊位——第40位（从高位算起第7位）是单播/多播标志位：0表示单播，1表示多播。全1的MAC地址 FF:FF:FF:FF:FF:FF 是广播地址，所有设备都必须接收。

注意： 虽然理论上MAC地址全球唯一，但实际中可以通过软件修改（MAC地址欺骗）。我在做安全测试时就遇到过攻击者伪造MAC地址绕过接入控制的案例。所以，不要完全信任MAC地址作为安全凭证。

以太网帧格式：数据在线上怎么跑

以太网帧就是MAC层的数据单元。我刚开始抓包时，看着那一串十六进制完全懵了。后来自己画了个帧结构图，一下子就清晰了。来，我们看看经典的Ethernet II帧格式：

前导码	目标MAC	源MAC	类型/长度	数据	FCS
8字节	6字节	6字节	2字节	46-1500字节	4字节

这里有几个关键点：

前导码：用于同步时钟，实际抓包时通常看不到（被网卡过滤了）
类型字段：标识上层协议，比如0x0800是IPv4，0x0806是ARP
数据段：最少46字节，不够要填充。为什么是46？因为帧最小长度64字节，减去头部14字节和尾部4字节，剩下46
FCS：循环冗余校验，保证数据完整性。我曾经遇到过网卡故障导致FCS一直报错，排查了好久才发现是硬件问题

实战经验： 有一次在数据中心排查丢包问题，发现交换机上CRC错误计数器一直在涨。抓包一看，很多帧的FCS字段都是错的。最后定位到是一根劣质网线导致信号衰减。所以，FCS错误往往是物理层问题的第一信号。

ARP协议原理与抓包分析

ARP（地址解析协议）解决的是「我知道IP地址，但不知道MAC地址」的问题。说白了，就是问一句：「谁有这个IP？请告诉我你的MAC。」

ARP的工作流程很简单：

主机A广播一个ARP请求：「IP 192.168.1.2，你的MAC是什么？」
所有主机收到广播，但只有IP匹配的主机B回应：「我是192.168.1.2，我的MAC是00:1A:2B:3C:4D:5E」
主机A收到回应，把IP-MAC映射写入ARP缓存

来，我们看一个实际的ARP抓包：

// ARP请求帧（Wireshark格式）
Ethernet II, Src: 00:0c:29:ab:cd:ef, Dst: ff:ff:ff:ff:ff:ff
    Type: ARP (0x0806)
Address Resolution Protocol (request)
    Hardware type: Ethernet (1)
    Protocol type: IPv4 (0x0800)
    Hardware size: 6
    Protocol size: 4
    Opcode: request (1)
    Sender MAC address: 00:0c:29:ab:cd:ef
    Sender IP address: 192.168.1.1
    Target MAC address: 00:00:00_00:00:00
    Target IP address: 192.168.1.2

// ARP回应帧
Ethernet II, Src: 00:1a:2b:3c:4d:5e, Dst: 00:0c:29:ab:cd:ef
    Type: ARP (0x0806)
Address Resolution Protocol (reply)
    Opcode: reply (2)
    Sender MAC address: 00:1a:2b:3c:4d:5e
    Sender IP address: 192.168.1.2
    Target MAC address: 00:0c:29:ab:cd:ef
    Target IP address: 192.168.1.1

抓包技巧： 在Wireshark中过滤ARP包，直接用 arp 就行。想看某个IP的ARP交互，用 arp and ip.addr==192.168.1.2。我个人习惯在排查网络连通性问题时，第一步就是看ARP有没有解析成功。

ARP有一个经典的安全问题——ARP欺骗。攻击者发送伪造的ARP回应，告诉受害者「网关的MAC是我」，然后所有流量都经过攻击者。我曾经在客户现场遇到过这种情况，整个办公室的网络时断时续，最后发现是有人私自接了无线路由器，开启了DHCP和ARP代理。

避坑指南： 我曾经在配置静态ARP时，把IP和MAC写反了，结果那台设备直接断网。所以，静态ARP一定要双端检查。另外，ARP缓存默认超时时间在Windows上是2分钟，Linux上是30秒，调试时要注意这个时间窗口。

VLAN标签与802.1Q

VLAN（虚拟局域网）解决了什么问题？说白了，就是让一台交换机可以当多台用。没有VLAN时，广播域太大，一个ARP请求整个网络都能收到，效率极低。有了VLAN，广播被隔离了，不同VLAN之间必须通过三层设备通信。

802.1Q就是VLAN的标签标准。它在标准以太网帧的源MAC和类型字段之间，插入了4字节的VLAN标签：

字段	长度	说明
TPID（标签协议标识符）	2字节	固定值0x8100，表示这是802.1Q帧
TCI（标签控制信息）	2字节	包含PRI（3位优先级）、CFI（1位规范格式）、VID（12位VLAN ID）

VLAN ID的范围是0-4095，其中0和4095保留，实际可用的是1-4094。我见过有人问为什么VLAN号最大是4094，现在你知道了——12位能表示4096个值，去掉两个保留的，正好4094。

802.1Q帧的最大长度从1518字节变成了1522字节（多了4字节标签）。有些老旧设备不支持巨型帧，遇到802.1Q帧可能会直接丢弃。嗯，这里要注意兼容性问题。

实战场景： 有一次帮客户做网络割接，核心交换机上配置了trunk口允许所有VLAN通过，但接入交换机只配了access口。结果VLAN 10的流量到了核心就丢了。排查后发现是trunk口没有配置native VLAN，导致不带标签的帧被丢弃。加上 switchport trunk native vlan 1 后问题解决。

最后，我用一张图来总结本章的核心知识体系：

好了，这一章的内容就到这里。MAC地址、以太网帧、ARP、VLAN——这四个概念是网络入门的基石。你把这些搞懂了，后面学IP路由、TCP传输就会轻松很多。记住，网络排障的第一步，永远是先看MAC层。