Windows10 64位企业版 1909真机中使Wireshark可以抓取802.1q封装携带tag的数据帧

本次实验背景：
本想为学员抓取一下trunk的isl封装和802.1q封装,用于学习了解,两种不同的封装模式的区别以便于更好的理解dot1q,eve中并无法抓取到isl的封装,下午就用了真机抓，然而非常奇怪的是当时isl的抓取非常正常，可以明显的看到ISL的VLAN ID插入在以太II之前

802.1q却无法抓取,这非常不符合逻辑，一度怀疑理论知识出现了问题，交换机的trunk链路不可能发不出802.1q封装的数据包。换了华为和思科两台设备均抓取不到,怀疑802.1q标签已经被剥离。

排错过程:
经历CSDN一顿查找,原来抓取不到802.1q标签的原因是这样
问题描述：
1.用sniffer/Ethereal(WireShark)/EtherPeek等软件，在接入层设备的以太网口镜像抓包是分析问题的基本方法之一，然而很多维护人员在实际操作时发现，自己的台式机或笔记本抓到的数据报看不到VLAN标记。难以区分数据流是从哪个vlan过来的。给问题分析造成不便。

2.Window的网卡大多数情况下默认会剥离802.1q tag，所以在利用wireshark等抓包工具抓包时，都看不到tag字段，有时候这给实验带来很多不便。

3.近几年的笔记本电脑，尤其是带千兆以太网卡的电脑，所采用的千兆网卡不仅10/100/1000M自适应、直联/交叉自适应，而且网卡驱动会自动识别并剔除数据包中的vlan标记。功能是很强大的,但却给我们二层网络抓包的数据分析造成了不便之处。

4.因为VLAN是软件级别的功能，理论上只要驱动支持，任何网卡都可以支持VLAN。所以原理上可以通过修改windows系统的注册表来实现；经验证，该方法也确实可行。

新的痛苦过程:
1号坑:CSDN的资料都较为久远，什么是2013，2016和2018年的资料，要不就是WinXP或者Win7的资料，没有Win10的注册表配置资料。经历了将近1个小时的排查和测试终于解决
网卡：Intel® 82579LM网卡
操作系统：Win10 64位企业版版本号1909

操作步骤：
1)首先查找本机网卡的驱动程序关键字，此电脑-右键-属性-设备管理器-网络设备器-物理网卡

2)右键-属性-进入网卡,查看物理网卡的驱动程序关键字
本案例中该值为:{4d36e972-e325-11ce-bfc1-08002be10318}\0002

3)打开注意表。

按键盘的WIN+R键（WIN键是小窗户按键,不行自动百度如果进入注册表），然后输入regedit，回车打开注册表

4)查找驱动程序关键字

计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class{4d36e972-e325-11ce-bfc1-08002be10318}\0002
其中红底部分的驱动程序关键字根据不同的电脑不同有所不同
主要根据DeviceDesc找到和自己网卡相同的表项。

5)查找注册表字段并修改值

如果有注册表字段MonitorModeEnabled或MonitorMode，并修改其值为1。

如果没有注册表字段MonitorModeEnabled或MonitorMode,则手工添加,并将该值修改为1

2号坑:这里又给CSDN挖了坑,CSDN的历史资料说64位系统使用QWORD 64位值,
然而我个人测试并不可以成功,反倒是使用了DWORD的32位值成功了,所以建议都配置成DWORD值。
3号坑:还有一个其他的CSDN的坑,有的历史资料说是只需要关键字MonitorMode监控模式为1,还有资料说还需要一个关键字MonitorModeEnable监控模式启用为1,看字面意思,我觉得两个都需要为1,所以我都进行了分别进行了添加并修改了值为1

6)禁用物理网卡再启用物理网卡再次wireshark抓包测试

先禁用再启用物理网卡,无需要重启PC

成功抓取到802.1q封装的数据帧.可以明显看到是插入在以太II源目MAC与TYPE类型之间
以上就为ISL与802.1q封装方式上的区别，一个是思科私有,一个是公有的

以上内容引自CSDN的部分贴子,部分自己测试抓取并截图，供后来的学习者进行参考。

Windows10 64位企业版 1909真机中使Wireshark可以抓取802.1q封装携带tag的数据帧相关推荐

Go在windows10 64位上安装过程
1. 从 https://golang.org/dl/ 下载最新的发布版本go1.10即go1.10.windows-amd64.msi; 2. 双击go1.10.windows-amd64.msi ...
windows10 64位 Tensorflow安装--CUDA 9.1+cuDNN7.1.1+python3.6.4+tf1.6+vs2017
原文:https://blog.csdn.net/qq_36556893/article/details/79433298 windows10 64位 Tensorflow安装--CUDA 9.1+c ...
Windows10 64位 + caffe + Matlab -- cpu版本
Windows10 64位 + caffe + Matlab – cpu版本最近需要用到 windows 下 matlab 的 caffe 接口.所以进行环境配置,配置也花了一点时间,记录一下配置过 ...
sqlserver200864位下载_sqlserver2008 64位|sql server 2008 R2 64位企业版下载 - 121下载站
sql server 2008 R2 64位企业版是微软官方发布的64位版本,支持win7.win8等操作系统.sql server 2008 R2是最新版本的数据库软件,可以有效地提升企业内部数据库 ...
求助高手：惠普HP NC523FSP 网卡在Windows10 64位系统下的驱动程序
这里写求助高手:惠普HP NC523FSP 网卡在Windows10 64位系统下的驱动程序自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题,有助于目录的生成如何 ...
Windows10 64位繁体中文专业版
名称;Windows10 64位繁体中文专业版版本:1.0 软件大小:3.75GB 软件语言:繁体中文软件授权:免费版应用平台:Win2000/WinXP/Win2003/Vista/Win7 ...
windows10 64位 OpenVINO安装教程
OpenVINO安装的必要步骤: windows10 64位 OpenVINO安装的必要步骤 OpenVINO安装的可选步骤: windows10 64位 OpenVINO安装的可选步骤目录系统要 ...
在windows10 64位系统上使用debug命令
在windows10 64位系统上使用debug命令方法/步骤说明:在课堂上学习汇编语言时,由于64位系统不能直接使用debug,故把老师的方法写在这里供大家参考方法/步骤 debug命令在64 ...
arm linux 64位,微软准备让Linux作为64位ARM Hyper-V客户机运行
原标题:微软准备让Linux作为64位ARM Hyper-V客户机运行虽然微软的Hyper-V虚拟化管理程序和他们的Azure云在很大程度上是以x86_64为中心的,但随着Linux 5.13内核的 ...

Windows10 64位企业版 1909真机中使Wireshark可以抓取802.1q封装携带tag的数据帧

Windows10 64位企业版 1909真机中使Wireshark可以抓取802.1q封装携带tag的数据帧相关推荐

最新文章

热门文章