古法网络入门

• MAC 地址 ── 6 字节的构成、厂商编号、本地与全球、发给所有人
• 交换机 ── 记住目的地，只发往需要的口。记住之前发往所有口
• ARP ── 从 IP 地址查 MAC 地址。答案记住 30 秒左右
• MTU、VLAN、STP ── 一次能运多大、把一台分开的技术、防止环路的技术

数据链路层的工作，是在同一个网络里，送到相邻的设备。第 1 讲看到，MAC 地址每经过一台路由器就被换掉。数据链路层负责的只是“这条线上的下一台”。

为此，数据链路层把比特流切成叫帧的单位，写上收件人（目的和源 MAC 地址）和内容的种类，最后加上第 2 讲的 FCS，丢弃损坏的帧。代表是 Ethernet（有线）和 Wi-Fi（IEEE 802.11），两者都使用同样格式的 MAC 地址。

MAC 地址是 6 字节（48 位）的编号，通常用“:”连接十六进制来写。前 3 字节是 IEEE 分配给厂商的编号（OUI），后 3 字节是厂商给每台设备定的编号。

第一个字节的最低两位有含义。最低位是 1 表示发给一组（组播）。全部为 1 的 ff:ff:ff:ff:ff:ff 是发给所有人（广播）。倒数第二位是 1，表示不是厂商给的编号，而是自己定的本地编号。本系列的 MAC 以 02 开头，是为了易读而手动设定的。

数一数 Wireshark 4.2.2 自带的厂商编号表，3 字节的 OUI 有 34,621 个。最多的是 Apple，1,193 个，其次是 Cisco 1,111 个、Huawei 1,097 个。一个 OUI 可以生成约 1,678 万台的编号，大公司都持有好几个。

不过，最近的手机和电脑在 Wi-Fi 上越来越多地不用真实 MAC 地址。iPhone 从 iOS 14 起有“私有 Wi-Fi 地址”，Android 从 10 起默认对每个网络使用随机的 MAC 地址。这是为了不让商店 Wi-Fi 等通过 MAC 地址追踪同一个人的行踪。请记住：MAC 地址不一定是“全球唯一的设备编号”。

Ethernet 帧的头部只有 14 字节。

目的地址在最前面，所以交换机只要读完前 6 个字节，就能开始查从哪个口送出去（也有在收完整帧之前就开始转发的交换机）。第三个“类型”（EtherType）是表示内容是什么的 2 字节。0800 是 IPv4 数据包，0806 是 ARP。接收方看这个编号，把内容交给下一个负责者（第 3 层）。

第 2 讲说过，交换机只往目的口送。那么交换机怎么知道哪个口上是谁？答案是看收到的帧的源地址，记下来。

我重新搭了练习网络。用 Linux 网桥做交换机，接上新井（10.0.1.10）、古井（.11）、山田（.12）的电脑和路由器（.1）。在 4 台上同时记录，从新井向古井 ping 3 次。

# 交换机（网桥）记住的表。ping 之前是空的
$ bridge fdb show br br0
    （什么都没有）
# 新井 ping 古井之后（MAC 以及对方所在的口）
$ bridge fdb show br br0
    02:00:00:00:01:10  p1
    02:00:00:00:01:11  p2
# 记住的内容 300 秒不用就会忘掉（ageing_time 的默认值）

在①中，到达山田和路由器的只有 1 个发给所有人的 ARP。之后的 6 个 ping，交换机只发往记住的口。在②中，新井不做 ARP 就直接发给古井，交换机还不知道古井在哪个口，于是把第 1 个 ping 发往所有口（不认识的目的地就发给所有人）。有意思的是，之后古井的电脑不知道新井的 MAC，又反过来向所有人发了 ARP 询问。

应用知道的是对方的 IP 地址（第 1 讲中是 10.0.2.20）。但帧的收件人需要 MAC 地址。这时登场的是 ARP（Address Resolution Protocol）。封面照片就是新井电脑发出的 ARP 询问本身。

询问是发给所有人的（目的 ff:ff:ff:ff:ff:ff），里面写着“我是 10.0.1.10、02:00:00:00:01:10，请告诉我 10.0.1.11 的 MAC”。对方的 MAC 还不知道，所以那里填 0。只有 10.0.1.11 的古井回答给新井。答案在 ARP 缓存里记一段时间，下次就不用再问了。

# ping 之后的 ARP 缓存（IP 与 MAC 的对应表）
$ ip neigh show
    10.0.1.11 dev eth0 lladdr 02:00:00:00:01:11 REACHABLE
# 就这样等着……（每秒查看一次）
# 32 秒后变成 STALE（可能过期）
$ ip neigh show
    10.0.1.11 dev eth0 lladdr 02:00:00:00:01:11 STALE
# 30 秒左右（15〜45 秒之间）就会变。并不会被删掉

对方在别的网络时，问对方的 MAC 也得不到回答。于是电脑去问出口路由器（默认网关）的 MAC。第 1 讲中新井的电脑问的不是 10.0.2.20 而是 10.0.1.1，就是这个原因。

Ethernet 帧能运的内容最多 1,500 字节。这个上限叫 MTU（Maximum Transmission Unit）。加上头部 14 和 FCS 4，帧最大 1,518 字节。再结合第 2 讲的“最少 64 字节”，帧的大小在 64〜1,518 字节之间。

我实际发了一个正好填满 MTU 的 ping，和一个只多 1 字节的 ping。

# 内容 1472 字节＋ICMP 8＋IP 20＝1500。加上“不要分片（-M do）”发送
$ ping -c 1 -M do -s 1472 10.0.1.11
    PING 10.0.1.11 (10.0.1.11) 1472(1500) bytes of data.
    1480 bytes from 10.0.1.11: icmp_seq=1 ttl=64 time=0.053 ms
# 多 1 字节变成 1501……
$ ping -c 1 -M do -s 1473 10.0.1.11
    PING 10.0.1.11 (10.0.1.11) 1473(1501) bytes of data.
    ping: local error: message too long, mtu=1500

大的数据由 TCP 切成 MTU 以内的块来发送（第 6 讲）。需要注意的是途中有 MTU 较小的区间时。家用光纤的 PPPoE（1,492）或 VPN 隧道，因为头部增加，MTU 会变小。如果只有大数据包过不去，就会出现“小页面能打开，只有大文件卡住”的怪故障（第 12 讲讨论）。

办公室里“财务的电脑和访客 Wi-Fi 想接在同一台交换机上，但不想混在一起”时，不必买好几台交换机，而是用 VLAN。这是把一台交换机的口按编号当作不同局域网来处理的技术。

在交换机之间或通往路由器的线上，为了一根线运送多个 VLAN（Trunk），会在帧里插入 4 字节的标签。81 00 是“有标签”的记号，接下来的 12 位是 VLAN 号。

本来也想在练习网络里搭 VLAN，但写这篇文章用的云端 Linux 没有 VLAN 功能，设置不了。所以照片里的帧，是把标签手工插进记录到的 ARP 里，再让 Wireshark 读取的。

交换机会把“不认识的目的地和发给所有人的帧”发往所有口。那么，用两根线连接两台交换机，形成一个环（环路），会怎样？想当备用线接上去，就真的会发生。我测了一下。

从 hA 只发一个发给所有人的帧，两台交换机就互相转发，帧在环里不停地转。hB 1 秒内收到约 55 万个（测了 3 次，556,079〜582,306 个），不拔掉一根线就停不下来。帧没有像第 3 层 TTL 那样的“寿命”，所以不会自然消失。这叫广播风暴，在真实的办公室里，整个网络都会瘫痪。

防止它的是 STP（Spanning Tree Protocol，生成树协议）。交换机之间互相联络，为了不形成环，让一根线停用。

# 启用 STP 的两台交换机的端口状态（收敛用了 5.0 秒）
# SW1
    pa   forwarding
    l1   forwarding
    l2   forwarding
# SW2：第二根线（l2）是 blocking＝被阻断
    pb   forwarding
    l1   forwarding
    l2   blocking

启用 STP 后，同样一个帧只到达 hB 一次。再切断正在使用的线，切换到被阻断的线花了 4.2 秒，期间 39 个 ping 没有回应。这是把老式 STP（802.1D）的等待时间设短后的值，默认设置要 30 秒左右。现在的企业交换机通常使用切换快得多的 RSTP（802.1w）。

看 arp -a，一定能看到家里路由器（默认网关）的 IP 地址和 MAC 地址。因为所有发往互联网的通信，帧都是发给它的。

Wi-Fi 接入点也是数据链路层的设备。它作为连接无线一侧和有线一侧的“桥”（网桥），看 MAC 地址进行转发。电波上的帧（802.11）最多有 4 个地址，格式不同，但在电脑里会被转成和 Ethernet 一样的格式，所以在 Wireshark 里看起来几乎没区别。