Wireshark zeigt die tatsächliche MAC -Adresse für den lokalen Host, da er die Rahmen in der Netzwerkschnittstelle direkt erfasst. Die Netzwerkschnittstellenkarte (NIC) sieht die physischen MAC -Adressen, die an der Kommunikation beteiligt sind.

Wireshark zeigt jedoch möglicherweise die tatsächliche MAC -Adresse des Remote -Hosts aus mehreren Gründen nicht an:

* ARP -Auflösung: Für die IPv4 -Kommunikation muss Wireshark die IP -Adresse des Remote -Hosts über das ARP -Adressauflösungsprotokoll (ARP) auf seine MAC -Adresse beheben. Wenn die ARP -Anfrage noch nicht gesendet oder empfangen wurde (oder wenn sie zwischengespeichert und abgelaufen ist), enthält Wireshark nicht über die MAC -Adressinformationen. Es wird einfach die IP -Adresse angezeigt. Dies ist bei intermittierenden oder seltenen Verbindungen sehr häufig.

* Netzwerkadressenübersetzung (NAT): Wenn sich der Remote -Host hinter einem NAT -Gerät (wie einem Router) befindet, ist die von Ihrem lokale Netzwerk angezeigte MAC -Adresse die MAC -Adresse des NAT -Geräts, nicht der Remote -Host. Das NAT -Gerät übersetzt die externe IP -Adresse und den Port in die interne IP -Adresse und den Port des Remote -Hosts. Die MAC -Adresse, die in Ihrem lokalen Netzwerk sichtbar ist, ist die des NAT -Gateways.

* Virtualisierung: Wenn entweder der lokale oder der Remote -Host eine virtuelle Maschine ist, ist die angezeigte MAC -Adresse möglicherweise die der Virtual Nic, nicht die MAC -Adresse der zugrunde liegenden physischen Hardware.

* Netzwerksicherheit: Einige Sicherheitsmaßnahmen könnten absichtlich MAC -Adressen verdecken.

* IPv6: Mit IPv6 ersetzt das Neighbor Discovery Protocol (NDP) ARP. NDP hat die IPv6 -Adresse möglicherweise noch nicht auf die MAC -Adresse gelöst, als Wireshark das Paket erfasst. Der Remote -Host verwendet möglicherweise Datenschutzweiterungen, die seine IPv6 -Adresse und die zugehörige MAC -Adresse häufig für eine verbesserte Sicherheit ändern.

* Wiresharks Konfiguration: Stellen Sie zwar weniger wahrscheinlich, dass Wireshark nicht so konfiguriert ist, dass MAC -Adressen oder andere Netzwerkschichtinformationen ausgeblendet werden.

Zusammenfassend: Der Unterschied entsteht, da die lokale MAC -Adresse direkt beobachtet wird, während die Erlangung der Remote -MAC -Adresse von verschiedenen Netzwerkprotokollen und -geräten entlang des Pfades abhängt. Das Fehlen einer Remote -MAC -Adresse zeigt häufig an, dass eine ARP- oder NDP -Auflösung noch nicht stattgefunden hat oder dass ein NAT -Gerät beteiligt ist, was die wahre MAC -Adresse des Remote -Hosts verdeckt.