☰

为什么 wireshark 捕获的数据包不是发往我的主机的？

tag-icon • tag-icon tcpip wireshark tcpdump
为什么 wireshark 捕获的数据包不是发往我的主机的？

wireshark 的截图

我的 IP 配置为 192.168.101.91，我不明白为什么我的主机会收到目标地址为 192.168.87.203（以及我没有捕获的许多其他 IP）的数据包，因为我已经关闭了 KVM 并禁用了 IP 转发。TCP/IP 不应该过滤这些数据包吗？

答案1

Wireshark 是一个网络嗅探器，它将接口固件（如果存在）和驱动程序放入混杂模式，这意味着它指示网络堆栈捕获任何数据包到达您的接口。

所以真正的问题是：为什么来自其他 IP 的数据包会到达您的接口？这是由于无线以太网的工作方式：AP 基本上使用其无线电接口向所有附近的侦听器广播数据包。通常，当接口收到数据包时，它会检查是否应该抓取并处理它，或者是否应该丢弃接收到的帧。这是使用 DST MAC 字段中编码的信息完成的：如果目标 MAC 等于接口 MAC，则接受数据包，否则丢弃数据包。

然而，Wireshark 改变了这一点，它告诉接口固件/驱动程序你实际上希望任何到达它的数据包。这就是您看到不是发给您的数据包的原因。

如果您不想看到这些多余的数据包，您有两个选择：

  • promiscuous mode从 wireshark 中取消选择该选项；
  • 使用 wireshark 的过滤功能过滤掉不感兴趣的数据包

相关内容