tcpdump中‘oui Unknown’的含义是什么？附示例数据包

嘿，我来给你唠明白这个问题～首先得先搞懂啥是OUI：

• OUI是Organizationally Unique Identifier的缩写，说白了就是MAC地址的前3个字节（24位），IEEE专门分配给各个设备制造商的唯一标识，用来区分不同品牌的设备，比如常见的00:50:56就是VMware的官方OUI。

那tcpdump里显示“oui Unknown”是啥意思呢？其实逻辑很简单：
当tcpdump解析数据包里的MAC地址时，会去查自己内置的OUI数据库，如果找不到这个MAC前3字节对应的制造商信息，就会输出“oui Unknown”。

结合你给出的示例数据包来看：

2010-08-22 21:35:26.571793 00:50:56:9c:69:38 (oui Unknown) > Broadcast, ethertype Unknown (0xcafe), length 74
0x0000: 0200 000a ffff 0000 ffff 0c00 3c00 0000 ............<...
0x0010: 0000 0000 0100 0080 3e9e 2900 0000 0000 ........>.).....
0x0020: 0000 0000 ffff ffff ad00 996b 0600 0050 ...........k...P
0x0030: 569c 6938 0000 0000 8e07 0000 V.i8........

这个源MAC的前3字节是00:50:56，按道理这是VMware的OUI，但tcpdump显示Unknown，大概率是这几个原因：

1. 你的tcpdump版本太老，内置的OUI数据库没收录这个条目（毕竟是2010年的数据包，当时的tcpdump可能还没更新对应的厂商信息）；
2. 这个MAC地址是手动自定义的，虽然前3字节是VMware的段，但被修改成了非标准分配的内容；
3. 极少数情况是数据包本身被篡改，OUI部分出现异常。

如果遇到这种情况，你可以手动核对OUI对应的厂商，比如查00:50:56就能确认它属于VMware，这时候就知道是tcpdump的数据库问题啦。

内容的提问来源于stack exchange，提问作者Ankit Raj