核心结论TL;DRIP 与 MACIP 是跨网段的终极目标一般不变MAC 是局域网内“下一跳”的目标一直变化。MTU以太网一帧最大 1500 字节超过会触发 IP 分片严重损耗性能。ARP 协议已知 IP 求 MAC。通过局域网广播请求单播回应并缓存在本地。ARP 欺骗因为 ARP 协议无验证机制黑客可伪造网关 MAC充当中间人截获所有数据。一、 数据链路层的定位数据链路层负责在同一个局域网或同一条链路内的相邻节点之间传输数据。它就像一个快递员只负责自己辖区的配送。二、 核心概念MAC 地址与 IP 地址IP 地址网络层地址。描述的是旅途的“起点和终点”。MAC 地址链路层地址。长度为 48 位烧录在网卡上。描述的是旅途中“每一小段的起点和终点”。结论在数据包跨网段传输时IP 地址不变但每经过一个路由器目标 MAC 地址就会改变。三、 ARP 协议已知 IP求 MAC主机 A 想和主机 B同网段通信但在以太网帧中必须填目标 MAC。A 发起ARP 广播“谁是192.168.1.2”B 收到广播后回一个ARP 单播“我是我的 MAC 是xx:xx:xx:xx:xx:xx。”A 将映射关系存入本机的ARP 缓存表可通过arp -a查看。四、 致命漏洞ARP 欺骗与中间人攻击由于 ARP 协议没有任何认证机制如果有人伪造 ARP 应答接收方也会当真。攻击过程黑客伪造网关的 ARP 包广播给局域网内所有用户“我是网关我的 MAC 是黑客的 MAC。”后果用户的流量全部流向黑客黑客成为“中间人”黑客可以窃取密码甚至篡改数据再转发给真网关。防范在企业网络中通常使用静态 ARP 绑定或者部署 DAI动态 ARP 检测技术来防御。五、 实战命令ip link show # 查看本机 MAC 地址 arp -a # 查看 ARP 缓存表 (IP 与 MAC 的映射关系)自我实战操作咱们不搞复杂的黑客工具直接通过 Linux 命令看看你本机的 MAC 和 ARP 缓存。cd ~/linux_study/network_test实战 1查看你的 MAC 地址# 查看网卡信息 (找 link/ether 后面的就是 MAC 地址) ip link show # 或者 ifconfig现象你会看到一串类似00:16:3e:xx:xx:xx的字符这就是你的 MAC。实战 2查看你的 ARP 缓存表很多新手看到密密麻麻的路由表就头晕其实只需要盯住第一行default via 10.0.0.1 dev eth0。default表示这是默认路由。via后面的 IP 就是你的网关如10.0.0.1。dev后面跟的是网卡名称如eth0。src后面是你当前网卡的内网 IP。在云服务器环境中你还会看到云厂商在底层植入的特定路由如183.60.x.x。这验证了 IP 协议“一跳一跳”找路的过程目的 IP 如果不在本地局域网就统统交给网关去处理。# 先 ping 一下网关强制触发一次 ARP 解析 ping -c 1 你的网关IP用 ip route 看 default via 后面的 IP # 查看 ARP 缓存 arp -a # 或者用较新的命令 ip neigh现象在云服务器上执行ping 10.0.0.1网关显示100% packet loss。但执行arp -a和ip neigh时网关的状态却是REACHABLE可达且能正确解析出 MAC 地址。原因分析ICMP 被拦截云厂商为了保证底层网络设备的安全通常在网关上屏蔽了 ICMP 协议即禁 ping。所以网关不会回应你的ping请求。ARP 层连通ip neigh获取的是二层的 MAC 地址。只要你能解析到网关的 MAC 地址并显示REACHABLE就证明你的网卡和网关物理链路是通的。验证方法要测试外网是否通畅直接ping www.baidu.com或curl -I http://www.baidu.com。只要能访问公网就说明网关转发完全正常。总结网络排错要分层看。二层通ARP不代表三层IP/Ping一定会回应云环境下的“禁 ping”是常态。实战 3ARP 缓存更新测试删掉刚才的 ARP 缓存需要 root 权限sudo arp -d 192.168.1.1再次执行ip neigh你会发现那个 IP 对应的 MAC 变成了FAILED或者消失了。再次 ping 网关ARP 缓存就会重新建立重新广播了一次。