Perché Wireshark mostra l'indirizzo Mac effettivo per l'host locale ma non l'host remoto?

Wireshark mostra l'indirizzo Mac effettivo per l'host locale perché sta catturando direttamente i frame sull'interfaccia di rete. La scheda di interfaccia di rete (NIC) vede gli indirizzi fisici MAC coinvolti nella comunicazione.

Tuttavia, Wireshark potrebbe non mostrare l'indirizzo Mac effettivo dell'host remoto per diversi motivi:

* Risoluzione ARP: Per la comunicazione IPv4, WireShark deve risolvere l'indirizzo IP dell'host remoto al suo indirizzo MAC tramite il protocollo di risoluzione dell'indirizzo (ARP). Se la richiesta ARP non è stata ancora inviata o ricevuta (o se è memorizzata nella cache e scaduta), Wireshark non avrà le informazioni sull'indirizzo MAC. Mostrerà semplicemente l'indirizzo IP. Questo è molto comune per connessioni intermittenti o rare.

* Traduzione dell'indirizzo di rete (NAT): Se l'host remoto è dietro un dispositivo NAT (come un router), l'indirizzo MAC visto dalla rete locale sarà l'indirizzo MAC del dispositivo NAT, non l'host remoto stesso. Il dispositivo NAT traduce l'indirizzo IP esterno e la porta all'indirizzo IP interno e alla porta dell'host remoto. L'indirizzo MAC visibile alla rete locale è quello del gateway NAT.

* Virtualization: Se l'host locale o remoto è una macchina virtuale, l'indirizzo MAC mostrato potrebbe essere quello della NIC virtuale, non l'indirizzo MAC dell'hardware fisico sottostante.

* Sicurezza di rete: Alcune misure di sicurezza potrebbero intenzionalmente oscurare gli indirizzi MAC.

* IPv6: Con IPv6, NDP (Neighbor Discovery Protocol (NDP) sostituisce ARP. NDP potrebbe non aver ancora risolto l'indirizzo IPv6 all'indirizzo MAC al momento che Wireshark cattura il pacchetto. Oppure, l'host remoto potrebbe utilizzare le estensioni sulla privacy, che cambiano spesso l'indirizzo IPv6 e l'indirizzo MAC associato per una migliore sicurezza.

* Configurazione di Wireshark: Sebbene meno probabile, assicurati che Wireshark non sia configurato per nascondere gli indirizzi MAC o altre informazioni sul livello di rete.

In sintesi: La differenza sorge perché viene osservato direttamente l'indirizzo MAC locale, mentre l'ottenimento dell'indirizzo MAC remoto dipende da vari protocolli e dispositivi di rete lungo il percorso. La mancanza di un indirizzo MAC remoto spesso indica che una risoluzione ARP o NDP non è ancora avvenuta o che è coinvolto un dispositivo NAT, oscurando il vero indirizzo MAC dell'host remoto.

• Come si verifica se la voce in avanti DNS per il tuo dominio è stata popolata a tutti i risolutori del mondo? 
• Quale opzione in EPO puoi usare per verificare che l'ordinamento dell'indirizzo IP?