确定MAC地址是路由器的还是目标计算机的？

Question

在包含HTTP消息的给定以太网帧中，我们能区分目的地的MAC地址是路由器还是终端主机吗？

以太网-以太式跟踪:：https://drive.google.com/open?id=1zdKxyxEz0zXVLX_GWVroZp58YPTuBxm3的链接

Answer 1

在包含HTTP消息的给定以太网帧中，我们能区分出解除时间的mac地址是路由器还是终端主机吗？

而不是单靠框架。但是，如果目标IP地址是捕获主机的本地地址(=位于同一子网内)，那么MAC地址就是目标主机的地址。主机本地子网以外的目的地需要路由器，因此目标MAC地址将是适当网关的地址。

如果您已经通过镜像/SPAN捕获了框架，请将“捕获主机”替换为“捕获端口”。

当然，您也可以使用MAC的OUI进行合理的猜测，确定哪种节点被寻址。但是，许多供应商构建了不同的设备类型，因此您可能无法区分它们。

编辑:在检查完整(或者更长的)跟踪时，还可以根据ARP (或NDP)交换进行猜测。发送给本地节点和网关的数据包需要目标IP的先前ARP。以远程节点为目的地的数据包由针对其中一个网关的MAC帧封装，并且之前没有针对目标IP本身的ARP。但是，在同一个L2段中使用多个IP子网以及静态ARP条目也是可能的--这不是太常见，而是可能的。

Answer 2

MAC地址可能是路由器的地址。终端主机的MAC地址停留在局域网的边界内。您所知道的是，如果终端主机没有使用某种代理，那么数据包中的IP地址是他的，但是您正在谈论的是一个帧。

如果您考虑封装/解除封装过程，这将更有意义，因为从终端主机的lan (通过路由器)离开的网络数据包是从MAC地址(网络OSI级别)解除封装。