Wireshark网络分析就这么简单：从一道面试题说起

1.实验环境配置

注：ensp在BpingA时，A发出的回复报文是通过网关发送而不是直接发送的，本书中显示的是直接发送的，大家可以改用两台真正的虚拟机进行实验，除了这点外，其余的没有啥问题可以凑活看看

实验环境：华为ENSP，抓包工具Wireshark

ENSP学习网址（想看看一下）

实验配置：

A主机mac：1056（为了方便只看后四位，后面也是如此表示）

B主机mac：20D8

网关mac：3d18

网关配置语句

sys
int vlan1
ip add 192.168.26.2

这时可以尝试一下 ping A和B看看通不通

A根据自己的子网掩码判断B是否和自己属于同一子网，用自己的子网掩码与B主机的IP地址做&运算，计算出B主机的网段也是192.168.26.0/24，所以在A看来B和A属于同一网段
A在VLAN发送ARP广播询问B的Mac地址
B主机由于和A主机处于同一个交换机的同一个VLAN，所以B主机会收到A发送的ARP广播，无论B如何配置其子网掩码或路由表
那B主机会这么处理：B主机并不会再去判断A主机是否于它处于同一个网段，而直接进行ARP的单播回复，将自己的MAC地址告诉A
只要VLAN的二层转发功能正常A就可以收到B的ARP回复，从而得知了B的Mac地址
A开始构建ICMP报文并发送给B
源IP：192.168.26.129 目标IP：192.168.26.3
源Mac：1056 目标Mac：20d8
B收到A的ICMP报文，判断A是否与B处于同一网段
B通过自己的子网掩码判断出自己的网段是192.168.26.0/27，然后通过自己的子网掩码判断A主机的网段为192.168.26.128/27，于是B主机认为A主机和它并不处于同一个网段
B发送ARP广播询问网关的Mac地址
网关回复给B，B得知了网关的Mac地址，开始构建ICMP报文
源IP：192.168.26.3 目标IP：192.168.26.129
源Mac：20d8 目标Mac：3d18
B发送给网关，网关转发给A，自此完成了一次ping通信操作