物理层与数据链路层：以太网帧结构、MAC地址解析、VLAN原理与Wireshark抓包分析
各位同学，咱们今天聊点实在的。物理层和数据链路层，说白了就是网络通信的「地基」。你想想看，应用层再花哨，最终都得变成比特流在线上跑。我刚开始学网络的时候，总觉得这两层太底层、太枯燥，直到有一次在数据中心排障，被一个诡异的丢包问题折磨了三天——最后发现是网线的一对线序接反了。嗯，从那以后我再也不敢小看物理层了。
2.1 以太网帧结构——数据在线上到底长什么样？
先看一个最基础的问题：数据在以太网上传输时，到底长什么样？
以太网帧，就是数据链路层的「信封」。它把网络层的IP数据包打包好，加上源MAC、目的MAC，再算个校验，然后扔给物理层去发。我习惯把帧结构拆成三部分来看：
- 帧头（14字节）：目的MAC（6字节）+ 源MAC（6字节）+ 类型/长度（2字节）
- 载荷（46~1500字节）：上层数据，通常是IP包
- 帧尾（4字节）：FCS校验，CRC32算法
这里有个细节——前导码和帧起始定界符（SFD）其实属于物理层，Wireshark抓包时通常不显示。我当年做嵌入式网卡驱动时，被这个边界坑过，调试了整整两天才发现是前导码没对齐。
关键点：以太网帧最小64字节，最大1518字节（不含前导码）。为什么是64？因为要保证冲突检测能正常工作。如果帧太小，发送完了冲突信号还没传回来，那就没法检测了。
2.2 MAC地址解析——48位的「身份证」
MAC地址，每个网卡出厂时烧录的全球唯一标识。48位，前24位是OUI（厂商代码），后24位是序列号。我经常跟学员说：MAC地址就像身份证号，IP地址就像你的住址。身份证号基本不变，住址可以换。
但这里有个常见的误解：MAC地址真的全球唯一吗？
其实不是。虚拟机的MAC地址可以随便改，很多网卡也支持本地管理地址（LAA）。我在一次安全审计中遇到过，攻击者把MAC地址伪装成合法设备的OUI，绕过了MAC地址过滤。所以，别把MAC地址当成绝对信任的依据。
| MAC地址类型 | 第1字节最低位 | 说明 |
|---|---|---|
| 单播 | 0 | 发往单个目标 |
| 多播 | 1 | 发往一组设备 |
| 广播 | 全F | FF:FF:FF:FF:FF:FF |
实战技巧：在Wireshark中，如果想快速过滤某个厂商的设备，可以用 wlan.sa[0:3] == xx:xx:xx 来匹配OUI。我排查无线干扰时经常用这招。
2.3 VLAN原理——逻辑隔离的艺术
VLAN，虚拟局域网。说白了，就是把一个物理交换机切成多个逻辑交换机。为什么要这么做？
我举个例子。一个公司有财务部、研发部、行政部。如果不做VLAN，所有部门的广播报文都能互相收到。财务部的打印机广播，研发部也能收到，这不乱套了吗？VLAN就是给每个部门划一个独立的广播域。
VLAN的实现靠的是802.1Q标签。它在标准以太网帧的源MAC后面插入了4个字节：
- TPID（2字节）：固定值0x8100，标识这是VLAN帧
- TCI（2字节）：包含PRI（优先级）、CFI（规范格式指示符）、VID（VLAN ID，12位，范围1~4094）
加了VLAN标签后，帧的最大长度从1518变成了1522字节。有些老旧设备不支持巨型帧，遇到VLAN帧就直接丢弃了。我曾经在项目里遇到过这个问题，排查了很久才发现是交换机端口没开802.1Q透传。
注意：VLAN ID 0和4095是保留的，不能用于用户配置。VLAN 1是默认VLAN，很多交换机默认所有端口都在VLAN 1里。安全建议：把管理VLAN和用户VLAN分开，别用VLAN 1做管理。
2.4 Wireshark抓包分析——眼见为实
理论讲完了，咱们来点实际的。打开Wireshark，抓一个以太网帧看看。
我习惯用 eth 过滤器来定位以太网帧。抓包后，展开第二层（Ethernet II），你会看到：
Ethernet II, Src: 00:1a:2b:3c:4d:5e, Dst: ff:ff:ff:ff:ff:ff
Destination: Broadcast (ff:ff:ff:ff:ff:ff)
Source: 00:1a:2b:3c:4d:5e (Intel_3c:4d:5e)
Type: IPv4 (0x0800)
注意看Type字段。0x0800表示上层是IPv4，0x0806是ARP，0x8100是VLAN标签。我经常用这个字段快速判断流量类型。
如果是VLAN帧，你会看到中间多了一层：
802.1Q Virtual LAN, PRI: 0, CFI: 0, ID: 100
Type: IPv4 (0x0800)
这里ID=100，说明这个帧属于VLAN 100。PRI字段是802.1p优先级，用于QoS。我在做视频会议优化时，就是靠调整这个优先级来保证语音流不卡顿的。
排障技巧：如果抓包看到大量CRC错误或短帧（小于64字节），先检查物理层——网线、光模块、接口协商模式。我遇到过最奇葩的一次，是机房老鼠咬断了光纤，导致大量FCS错误帧。
2.5 知识体系总览
下面这张图，把本章的核心逻辑串起来了。从物理层的比特流，到数据链路层的帧封装，再到VLAN的逻辑隔离，每一步都有对应的Wireshark分析手段。
这张图把本章的四个核心模块串起来了。从上往下看：物理层提供传输基础，数据链路层在其上封装帧，帧结构里包含了MAC地址和可能的VLAN标签，最后通过Wireshark把这些信息可视化出来。每个环节都环环相扣，缺一不可。
好了，这一章的内容就到这里。记住：物理层和数据链路层是网络通信的基石，搞懂了它们，上层协议的分析才能得心应手。下次遇到网络问题，先看看帧结构对不对，MAC地址对不对，VLAN标签有没有丢——往往问题就出在这些「基础」环节上。