單元 04 Ethernet、ARP 與區域網路

學習目標與問題

以單元 03 的子網及下一跳為基礎，追蹤每段鏈路的來源／目的 MAC，演練交換表學習，並區分 VLAN、路由與安全邊界。同一 Wi-Fi 名稱下的兩臺裝置一定可以互通嗎？需進一步知道 VLAN、隔離、子網與政策。

補充 04A 提供單播／多播／廣播、IGMP／MLD、snooping 及 LAN 服務探索的完整模型，配 L16。

4.1 訊框與交換表

Ethernet 訊框包含目的 MAC、來源 MAC、型別、內容及錯誤檢測等欄位。MAC 位址主要供鏈路交付，IP 位址供跨網路交付。網路卡可採隨機 MAC，軟體也能修改 MAC；它不是可信的永久身分。

交換器從收到訊框的「來源 MAC、入口埠、VLAN」學習轉送表。已知單播目的送到對應埠；未知單播會在同一 VLAN 可轉送埠泛洪，排除入口埠；廣播也限制在該廣播域。表項會老化。這個學習是鏈路轉送，不能理解為交換器已驗證使用者。

例：A 在埠 1、B 在埠 2，表原本空白。A 傳給 B，交換器學得 A→1，泛洪到其他可轉送埠。B 回 A，學得 B→2，查 A 後只送埠 1。第三次 A 傳 B 即可單播。若所有埠抓到一份封包，也要排除埠鏡像、未知單播泛洪與多播等原因。

4.2 ARP 的時序

A=192.0.2.70/26，閘道=192.0.2.65，要送遠端 198.51.100.20。

ARP 回覆通常是單播；快取有效時不必每個封包都先廣播。ARP 不會取代路由判斷，也不提供密碼學驗證。ARP 欺騙可能改變本鏈路流向；安全通訊仍需獨立的端點驗證。

4.3 VLAN 與路由

VLAN 將一組實體交換裝置分成不同鏈路廣播域。802.1Q 標籤讓 trunk 承載多個 VLAN；終端的 access 埠常收送未標記訊框，由交換器賦予 VLAN。封包跨 VLAN 一般需三層轉送。VLAN ID 與 IP 子網沒有必然的一對一數學關係，但一個 VLAN 配一個子網通常較易管理。

例：訪客 VLAN 20 可經防火牆上網，但不能到管理 VLAN 10。真正限制來自轉送與存取政策；僅分開 VLAN 卻允許所有跨 VLAN 流量，並不達成該隔離目標。AP 可以橋接到 VLAN，也可能有路由／NAT 功能，需看設定。

4.4 迴路、STP 與無線

一般 Ethernet 訊框沒有像 IP TTL 的逐跳上限。二層迴路可能使廣播反覆轉送、來源學習震盪。STP 系列透過建立無迴路的轉送拓樸、阻擋部分路徑處理問題；實際收斂和保護功能依版本及裝置。不要為了「提高速度」任意取消迴路保護。

延伸：Wi-Fi 使用共享無線媒介，802.11 訊框與 Ethernet 不完全相同。AP 可在無線與有線鏈路間橋接；「有四個 MAC 欄位」等細節需以具體 802.11 模式說明，不能套用簡化 Ethernet 圖。

演練、習題與檢核

在紙上建立三埠交換表，依 A→B、B→A、C→A 逐步列出「新增表項／出口」。可選用 Wireshark 觀察自己的 ARP；沒有擷取資料時提交模型表即可，不聲稱已抓到封包。

1. A、B 同 VLAN 不同子網，為何不能只憑 VLAN 推斷 IP 可達？
2. A 找本子網 B 和找遠端 C，ARP 目標分別是誰？請明示路由假設。
3. 為何 IP 封包可以保持遠端目的位址，MAC 卻逐段改變？
4. 為何普通交換器不能僅靠來源 MAC 判定身分可信？

檢核：能逐跳寫來源 MAC、目的 MAC、來源 IP、目的 IP，並將 NAT 另行標示。來源：RFC 826、IEEE 802.1Q 工作組。