PCAP 分析中缺少 VLAN tags: 802.1Q 标签、本机 VLAN、中继端口、驱动程序剥离和错误的捕获点

VLAN 问题通常表现为 DHCP 故障、缺少回复、单向流量或防火墙丢弃。当 pcap 与交换机配置不匹配时，用户搜索“VLAN 标记丢失 pcap”、“802.1Q Wireshark 捕获”、“本机 VLAN 未标记”、“中继端口数据包捕获”、“驱动程序剥离 VLAN 标记”和“捕获过滤器 vlan 不工作”。

PCAP 手术很有用，因为 VLAN 证据在很大程度上取决于捕获点、驱动程序行为、过滤器以及数据包是在标签剥离之前还是之后捕获的。

802.1Q 标签证明了什么

802.1Q 标签在以太网帧中携带 VLAN 标识。如果标记可见，则捕获可以显示 VLAN ID、优先级位和封装的以太网类型。

如果标签丢失，则存在以下几种可能性：

• 数据包确实没有标记。
• 本机 VLAN 删除了标签。
• 捕获点是在标签剥离之后。
• 网络驱动程序在 pcap 看到标签之前就将其剥离。
• 捕获过滤器排除标记的帧。
• 镜像/SPAN 配置更改了框架。
• 虚拟交换机呈现去 VLAN 化的流量。

不要假设“pcap 中没有标签”意味着“线路上没有标签”。

本机 VLAN 行为

在许多中继上，本机 VLAN 流量不加标记地发送。这可能会让那些希望每个中继数据包都显示 802.1Q 标头的工程师感到惊讶。

症状：

• VLAN 10 显示为已标记，VLAN 1 显示为未标记。
• DHCP 到达本机 VLAN 时未加标记。
• 一侧需要标记的本机 VLAN。
• 交换机在本征 VLAN 上存在分歧。
• 未标记的帧被分类到错误的 VLAN 中。

pcap 应使用交换机端口模式和本机 VLAN 配置进行解释。

驱动程序标签剥离

操作系统和 NIC 驱动程序可能会在数据包到达捕获工具之前剥离 VLAN 标记。在 VLAN 子接口上捕获可能会显示去标记的数据包，因为操作系统已经对它们进行了分类。

更好的证据可能需要：

• 在物理接口上捕获。
• 如果可能，禁用 VLAN 卸载。
• 在交换机镜像端口上捕获。
• 在两个中继端点上进行捕获。
• 检查 NIC 驱动程序卸载设置。

PCAP 手术可以保存和标记来自不同点的捕获。

捕获过滤器和 VLAN

捕获过滤器对于标记帧的行为可能有所不同。匹配未标记 IP 流量的过滤器可能会错过标记流量，除非该过滤器考虑 VLAN 标头。

症状：

• Ping 有效，但捕获没有显示任何内容。
• 仅显示未标记的流量。
• 一个 VLAN 中缺少 DHCP。
• 移除过滤器后会出现相同的流量。

在诊断网络之前，请验证捕获过滤器。

Trunk允许VLAN错误

如果允许的中继列表中缺少 VLAN，流量可能永远不会穿过链路。一侧的捕获可能会显示帧离开，而另一侧则看不到任何内容。

证据：

• 带标签的帧离开源交换机。
• 没有匹配的帧到达目的地端。
• 其他 VLAN 工作。
• 每个 VLAN 的 STP 状态都不同。
• 出现本机 VLAN 不匹配日志。

这是网络配置问题，而不是主机堆栈问题。

虚拟化和云镜像

虚拟机、容器和云数据包镜像使 VLAN 可见性变得复杂。

可能的问题：

• 虚拟机管理程序在来宾捕获之前剥离标签。
• 端口组需要特定的 VLAN ID。
• 未为 VM NIC 启用中继模式。
• 云镜像省略了原来的L2标签。
• 容器桥只能看到未标记的流量。

始终记录捕获点和虚拟化层。

调试清单

使用此工作流程：

1. 确定预期的 VLAN ID。
2. 确定捕获点。
3. 确认物理子接口与 VLAN 子接口捕获。
4. 检查本机 VLAN 是否应取消标记。
5. 移除或调整捕获过滤器。
6. 检查 NIC VLAN 卸载行为。
7. 捕获主干入口和出口。
8. 比较交换机允许的 VLAN 配置。
9. 保留标记和未标记的示例。
10. 用接口和端口模式标记每个 pcap。

最终诊断

pcap 中缺少 VLAN 标记并不自动意味着线路上缺少 VLAN 标记。原因可能是本机 VLAN 行为、驱动程序剥离、捕获过滤器、虚拟交换或真正配置错误的中继。

PCAP 手术有助于保留证明 VLAN 故障路径所需的准确标记帧、未标记帧、捕获点和流证据。