本次实验背景:
本想为学员抓取一下trunk的isl封装和802.1q封装,用于学习了解,两种不同的封装模式的区别以便于更好的理解dot1q,eve中并无法抓取到isl的封装,下午就用了真机抓,然而非常奇怪的是当时isl的抓取非常正常,可以明显的看到ISL的VLAN ID插入在以太II之前
802.1q却无法抓取,这非常不符合逻辑,一度怀疑理论知识出现了问题,交换机的trunk链路不可能发不出802.1q封装的数据包。换了华为和思科两台设备均抓取不到,怀疑802.1q标签已经被剥离。
排错过程:
经历CSDN一顿查找,原来抓取不到802.1q标签的原因是这样
问题描述:
1.用sniffer/Ethereal(WireShark)/EtherPeek等软件,在接入层设备的以太网口镜像抓包是分析问题的基本方法之一,然而很多维护人员在实际操作时发现,自己的台式机或笔记本抓到的数据报看不到VLAN标记。难以区分数据流是从哪个vlan过来的。给问题分析造成不便。
2.Window的网卡大多数情况下默认会剥离802.1q tag,所以在利用wireshark等抓包工具抓包时,都看不到tag字段,有时候这给实验带来很多不便。
3.近几年的笔记本电脑,尤其是带千兆以太网卡的电脑,所采用的千兆网卡不仅10/100/1000M自适应、直联/交叉自适应,而且网卡驱动会自动识别并剔除数据包中的vlan标记。功能是很强大的,但却给我们二层网络抓包的数据分析造成了不便之处。
4.因为VLAN是软件级别的功能,理论上只要驱动支持,任何网卡都可以支持VLAN。所以原理上可以通过修改windows系统的注册表来实现;经验证,该方法也确实可行。
新的痛苦过程:
1号坑:CSDN的资料都较为久远,什么是2013,2016和2018年的资料,要不就是WinXP或者Win7的资料,没有Win10的注册表配置资料。经历了将近1个小时的排查和测试终于解决
网卡:Intel® 82579LM网卡
操作系统:Win10 64位 企业版 版本号1909
操作步骤:
1)首先查找本机网卡的驱动程序关键字,此电脑-右键-属性-设备管理器-网络设备器-物理网卡
2)右键-属性-进入网卡,查看物理网卡的驱动程序关键字
本案例中该值为:{4d36e972-e325-11ce-bfc1-08002be10318}\0002
3)打开注意表。
按键盘的WIN+R键(WIN键是小窗户按键,不行自动百度如果进入注册表),然后输入regedit,回车打开注册表
4)查找驱动程序关键字
计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class{4d36e972-e325-11ce-bfc1-08002be10318}\0002
其中红底部分的驱动程序关键字根据不同的电脑不同有所不同
主要根据DeviceDesc找到和自己网卡相同的表项。
5)查找注册表字段并修改值
如果有注册表字段MonitorModeEnabled或MonitorMode,并修改其值为1。
如果没有注册表字段MonitorModeEnabled或MonitorMode,则手工添加,并将该值修改为1
2号坑:这里又给CSDN挖了坑,CSDN的历史资料说64位系统使用QWORD 64位值,
然而我个人测试并不可以成功,反倒是使用了DWORD的32位值成功了,所以建议都配置成DWORD值。
3号坑:还有一个其他的CSDN的坑,有的历史资料说是只需要关键字MonitorMode监控模式为1,还有资料说还需要一个关键字MonitorModeEnable监控模式启用为1,看字面意思,我觉得两个都需要为1,所以我都进行了分别进行了添加并修改了值为1
6)禁用物理网卡再启用物理网卡再次wireshark抓包测试
先禁用再启用物理网卡,无需要重启PC
成功抓取到802.1q封装的数据帧.可以明显看到是插入在以太II源目MAC与TYPE类型之间
以上就为ISL与802.1q封装方式上的区别,一个是思科私有,一个是公有的
以上内容引自CSDN的部分贴子,部分自己测试抓取并截图,供后来的学习者进行参考。