Wireshark无线抓包技术问询：混杂模式与监听模式的异常问题及原理疑问

Hey，这两个问题其实是无线网卡不同工作模式下的典型行为，我来给你拆解得明明白白：

首先得纠正一个常见误区：无线网卡的混杂模式（promiscuous mode）和监听模式（monitor mode）完全是两码事。

• 有线网卡开混杂模式，确实能接收链路里所有路过的帧，不管目的MAC是不是自己。但无线网卡在默认的**管理模式（managed mode，就是你连AP上网的状态）**下，哪怕开了混杂模式，硬件层面依然会做帧过滤——它只会收下目的MAC是本机、广播地址，或者你已加入的多播组的帧。这是无线环境的必然设计：空中飘的数据包太多了，硬件先过滤一波，能大幅减轻系统的处理压力。
• 要是想抓其他主机的单播包，必须切换到监听模式。这时候网卡会断开和AP的关联，进入纯嗅探状态，不再做任何过滤，能收下所在频段内所有的802.11帧。

这还是和管理模式的工作机制有关：

• 当你的网卡处于管理模式、和AP正常关联时，AP和网卡之间会自动做帧格式转换。AP收到其他设备的802.11帧后，会把它转换成以太网帧格式，再发给你的网卡；而你的网卡收到802.11帧后，会先剥离掉802.11的头部，把以太网帧交给操作系统的网络栈。
• Wireshark在这种模式下，捕获的是操作系统网络栈拿到的以太网帧，自然看不到802.11头部。只有切换到监听模式，网卡才会跳过这个转换步骤，直接把原始的802.11帧传给Wireshark，这时候你才能看到完整的802.11头部信息。

内容的提问来源于stack exchange，提问作者Chrome Google