微软nm3.sys（Netmon轻量级过滤驱动）在NDIS网络栈中的角色与栈位疑问

一、驱动核心作用 #

nm3.sys是一款符合NDIS 6.0标准的网络流量监控驱动，核心功能是捕获链路层（MAC层）的原始网络数据包，比如以太网帧这类底层数据。它会将捕获到的数据包转发给关联的上层用户态程序，这类程序一般用于网络诊断、流量审计或基础数据包分析场景。

它的描述“NDIS 6.0 Monitoring driver”之所以模糊，是因为它仅实现最基础的数据包捕获逻辑，没有复杂的过滤、修改数据包的能力，仅专注于原始流量的采集工作。

二、处于网络栈低位的原因 #

nm3.sys的位置由其驱动类型和设计目标决定：

• 它属于NDIS MAC层过滤驱动，这类驱动的定位就是靠近网络栈最底层（网卡驱动之上、WFP轻量过滤驱动之前），只有这样才能捕获到未被上层驱动修改的原始链路层数据包，满足纯监控的需求。
• WFP Native MAC Layer LightWeight Filter是Windows过滤平台（WFP）在MAC层的轻量过滤驱动，负责数据包的规则过滤、修改等操作，监控驱动需要在这些过滤操作之前获取原始数据，因此会被加载在该WFP驱动的下方。

另外，这款驱动2010年后未更新，是因为它的功能已经覆盖基础监控需求，且NDIS 6.0的接口在后续Windows版本中保持向下兼容，无需频繁迭代。

内容的提问来源于stack exchange，提问作者OneAndOnly