请问在什么条件下，可以导致多个IP地址的MAC均为：0000.0000.0000  invalid

呵呵，自己答吧
1。网线不通。
2。插错了交换机端口（不同vlan)
主要是这两天在弄网络执法官，导致内部机器有问题，大惊之下，冒昧发贴。(问题想的复杂了），见笑了。不过2最后解决还是通过sniffer,发现收到的都是另一个网段的ARP 广播。

ARP解析失败都会生成上述结果
你可以ping一个不存在的主机，然后立即看 arp -a

还想请教楼上2个问题：
1。我用sniffer的包生成器，带宽利用率从65设到100，但是实际的utilization只能到62，63左右，这是什么原因？我按5000packet/s * 1514byte *8=60 mbps，也就只有60％左右，是符合上面的利用率的，是不是sniffer每秒只能生成那么多的包了（峰值为5198），还是跟我的网线等硬件有关？
2。还是sniffer中，在expert模式下，有三个标签：diagnoses,symptoms,objects,我怎么感觉前两个好像没什么用？（他们有的object 都有，他们没有的object也有）

请老大不吝赐教！！

引用:

Originally posted by weiweikang at 2005-4-22 11:34:
还想请教楼上2个问题：
1。我用sniffer的包生成器，带宽利用率从65设到100，但是实际的utilization只能到62，63左右，这是什么原因？我按5000packet/s * 1514byte *8=60 mbps，也就只有60％左右，是符合上面的利 ...

1、你的硬件限制，可以考虑把网卡driver buffer开大，或者换个台式机。（如果已经是台式机，只当我没说）
2、 diagnose 意思是诊断，symptos意思是征兆，objects是对象
正常的网络里都有对象，比如网络层的对象是IP地址、IPX地址等。有些网络里会有征兆，比如TCP连接太慢等等，还有些网络里有更严重的诊断，例如IP地址冲突等等。
不同的信息会显示到不同的类别中，你看不到信息，是因为你的网络Sniffer位置上看不到征兆和诊断的故障。如果你放在一个span或者tap的链路上，会有很多diagnose或symptos。此后下一步的工作就是Expert配置调优了。

引用:

Originally posted by Vader at 2005-4-22 10:56:
ARP解析失败都会生成上述结果
你可以ping一个不存在的主机，然后立即看 arp -a

试了，木有发现啊，连那个不存在的IP和MAC，统统不显示

呵呵，刚又试，发现可以看到了，奇怪，就出去吃了个饭，回来就行？
看来以后有问题先去吃饭，哈哈，说笑啦。

[ Last edited by smlq on 2005-4-22 at 13:16 ]

Vader的意思是你PING一个查路由以后下一跳是IP请求目的地址的但是不存在的IP地址

（这样说好象有点绕^_^........）

比如和你在同一网络内的一个不存在的IP地址（即没有被人使用的IP地址、或者他

没开机），这个时候由于直连路由的作用，数据包的下一跳是你PING

的哪个地址，这样才会产生针对该地址的ARP请求，但是由于得不到REPLY所以显示全0

如果你随意的PING一个地址，（一般的说这个地址的下一跳都是网关）那么当然只

会产生针对网关的ARP请求，在网关还正常工作的情况下，ARP解析是成功的

（Vader说了：“ ARP解析 失败 后才会生成上述结果”）

你自然就看不见你想看的全0的表项了~~：）

[ Last edited by lockets on 2005-4-22 at 12:50 ]

操作：
1，ping 同网段不存在的IP地址 -t
2，另起一个CMD，arp -a
结果看到：
同网段不存在的IP地址         00-00-00-00-00-00     invalid
原因：
ping 同网段不存在的IP地址，它直接发起ARP的广播包，所以会出现00-00-00-00-00-00做为目的MAC的地址无效MAC地址表。
说明正在为这个地址做ARP的请求，但是没有得到回应·

[ Last edited by jingshne on 2005-4-22 at 12:54 ]

引用:

Originally posted by Vader at 2005-4-22 11:48 AM:

1、你的硬件限制，可以考虑把网卡driver buffer开大，或者换个台式机。（如果已经是台式机，只当我没说）
2、 diagnose 意思是诊断，symptos意思是征兆，objects是对象
正常的网络里都有对象，比如网络层的对 ...

无限感谢中！

Vader的意思是你PING一个查路由以后下一跳是IP请求目的地址的但是不存在的IP地址

（这样说好象有点绕^_^........）

不是有点绕，是很绕

楼上解释得非常清楚，太感谢了、

引用:

Originally posted by Vader at 2005-4-22 10:56 AM:
ARP解析失败都会生成上述结果
你可以ping一个不存在的主机，然后立即看 arp -a

我去试过了,没有什么异常啊!

感谢楼主!