OUI 查询 — 通过 MAC 地�识别设备厂商

抓包里 OUI èƒ½å‘Šè¯‰ä½ ä»€ä¹ˆ

æ¯�个以太网 MAC 地å�€åˆ†æˆ�两å�Šï¼šå‰�三个字节是 OUIï¼ˆç»„ç»‡å”¯ä¸€æ ‡è¯†ç¬¦ï¼‰â€”â€”IEEE 分é…�ç»™æŸ�一家硬件厂商的å‰�缀；å�Žä¸‰ä¸ªå­—节是厂商自己给这å�—接å�£ç¼–çš„åº�列å�·ã€‚所以当抓包显示æº� MAC 为 00:0c:29:ab:cd:ef 时，å�ªçœ‹å‰�缀就能断定这是一å�° VMware 虚拟机å�‘出的帧，其他字段还一个都没看。

这让 OUI æˆ�为以太网排障里最快的分诊工具：交æ�¢æœºç«¯å�£ä¸Šå‡ºçŽ°äº†æ„�料之外的 MACã€�DHCP 地å�€æ± 里多了一å�°é™Œç”Ÿè®¾å¤‡ã€�ARP 应答看起æ�¥ä¸�对劲——读一下å‰�ä¸‰ä¸ªå­—èŠ‚ï¼Œå‡ ç§’é’Ÿå°±èƒ½å›žç­”"这是å�°ä»€ä¹ˆè®¾å¤‡"。完整地å�€å¸ƒå±€è§�以太网帧结构；MAC 在 ARP ä¸­å¦‚ä½•ä¼ é€’è§� ARP：IP 到 MAC çš„æ˜ å°„ã€‚

值得记�的�缀

这些�缀在真实抓包里出现频率最高：

OUI �缀归属通常�味�

00:50:56 / 00:0c:29 / 00:05:69VMware虚拟机网�——�业抓包中最常�的虚拟化 OUI

08:00:27Oracle VirtualBox桌�虚拟机

52:54:00QEMU / KVMLinux 宿主机虚拟化（libvirt 默认段）

00:15:5dMicrosoft Hyper-VWindows Server 虚拟化

00:1c:42ParallelsmacOS 桌�虚拟化

b8:27:eb / dc:a6:32æ ‘èŽ“æ´¾æ ‘èŽ“æ´¾ä¸»æ�¿ï¼ˆè€� / 新世代）

24:0a:c4 / 5c:cf:7f�鑫（Espressif）ESP8266 / ESP32 物�网设备

44:65:0d / 74:c2:46AmazonEcho�Fire TV 硬件

00:00:5e:00:01:xxVRRP 虚拟路由器带故障转移的网关——�是物�网�

ff:ff:ff:ff:ff:ff广播�往网段内所有设备——ARP 请求都在这里

01:00:5e:xx:xx:xxIPv4 组播由 224.0.0.0/4 目的地å�€æ˜ 射而æ�¥

33:33:xx:xx:xx:xxIPv6 组播由 ff02::/16 目的地å�€æ˜ 射而æ�¥

两个改��义的�

首字节�带两个特殊�，它们比厂商�更值得先看：

bit 0（组�）——为 1 表示组播或广播地�。带这一�的目的 MAC 会�给多个接�，永远�会��给一个。

bit 1（本地ä½�）——为 1 表示本地管ç�†åœ°å�€ï¼šç”±è½¯ä»¶ç”Ÿæˆ�，而é�žåŽ‚商烧录。现代手机和笔记本的 Wi-Fi MAC 都按这ç§�æ–¹å¼�éš�机化，éš�ç§�工具和改 MAC è½¯ä»¶ä¹Ÿä¸€æ ·ã€‚æœ¬åœ°ç®¡ç�†åœ°å�€åœ¨è®¾è®¡ä¸Šå°±ä¸�æ�ºå¸¦åŽ‚商信æ�¯â€”—这个ä½�存在的æ„�义就是说明这一点——所以对它å�šä»»ä½• OUI 查询都没有æ„�义。

上�的工具会�时检查这两个�，�到组播或�机化地�会直接说明，而�是默默给出一个错误答案。

Wireshark ä¼šå¸®ä½ æŸ¥

Wireshark 内置完整的 IEEE 注册库，会在包详情里自动解�它认识的�个 OUI：Ethernet 段�显示的是 Vmware_29:ab:cd 而�是一串裸地�。想按厂商维度工作，�以用这些过滤器：

# 所有�自 VMware 虚拟网�的帧

eth.src[0:3] == 00:0c:29

# 在端点视图里按厂商分组

# Statistics → Endpoints → Ethernet æ ‡ç­¾é¡µï¼ˆæ˜¾ç¤ºè§£æž�出的厂商å��）

# �看广播帧（ARP 请求�DHCP discover）

eth.dst == ff:ff:ff:ff:ff:ff

# 本地管� / �机化的� MAC

eth.src[0] & 2

这些过滤器与完整的以太网过滤器集�一起收录在 Wireshark 过滤器速查表里。

一份数�，直接�自�头

æ¯�次查询都直接跑在完整的 IEEE MA-L 注册库——全部 4 万余æ�¡åˆ†é…�记录上。数æ�®å­˜æ”¾åœ¨æœ¬ç«™çš„一个é�™æ€� JSON 文件里（压缩å�Žçº¦ 330 KB），æµ�览器首次打开页é�¢æ—¶æ‹‰å�–一次并缓存；之å�Žæ¯�次查询都在本地å�³æ—¶å®Œæˆ�ã€‚é›¶ä¸Šä¼ ï¼Œé‡�å¤�查询也ä¸�å†�产生任何请求。

注册库文件由自动化任务æ¯�周从 IEEE 官方 CSV é‡�新生æˆ�，新分é…�çš„å‰�ç¼€æ— éœ€äººå·¥ç»´æŠ¤å°±ä¼šå‡ºçŽ°åœ¨è¿™é‡Œã€‚ä½ ä¹Ÿå�¯ä»¥ç›´æŽ¥æŸ¥è¯¢ IEEE 注册库检索，或用 Wireshark 打开抓包文件——它会自动解æž�全部æ�¡ç›®ã€‚与在线 pcap æŸ¥çœ‹å™¨ä¸€æ ·ï¼Œä½ è¾“å…¥çš„ MAC ä¸�ä¼šè¢«ä¼ è¾“ã€‚

常�问题

OUI 是什么？

ç»„ç»‡å”¯ä¸€æ ‡è¯†ç¬¦ï¼šMAC 地å�€çš„å‰�三个字节（24 ä½�），由 IEEE 分é…�ç»™æŸ�一家硬件厂商。00:0c:29 一定是 VMware，b8:27:eb ä¸€å®šæ˜¯æ ‘èŽ“æ´¾ã€‚

为什么查出�是"本地管�地�"而�是厂商？

首字节的 bit 1 æ ‡è®°è¿™ä¸ªåœ°å�€ç”±è½¯ä»¶ç”Ÿæˆ�。手机和笔记本以此éš�机化 Wi-Fi MAC，改 MAC 工具也是如此。这类地å�€ä¸�æ�ºå¸¦åŽ‚商信æ�¯â€”—这个ä½�的作用就是声明"这里没有å�¯è¯»çš„ OUI"。

Wireshark 能自动识别厂商�？

能。Wireshark 内置完整的 IEEE 注册库，会在�个 MAC 地��显示厂商�。Statistics → Endpoints 会列出抓包中所有 MAC �其解�出的厂商。

输入的 MAC ä¼šè¢«ä¸Šä¼ å�—？

MAC 本身永远ä¸�ä¼šç¦»å¼€ä½ çš„æµ�览器。页é�¢å�ªåœ¨æ‰“开时拉å�–一次注册库文件（本站é�™æ€� JSON，之å�Žæœ‰ç¼“存）；æ¯�次查询都在本地完æˆ�，ä¸�å†�å�‘出任何网络请求。