O Wireshark mostra o endereço MAC real para o host local porque está capturando diretamente os quadros na interface de rede. A placa de interface de rede (NIC) vê os endereços físicos do MAC envolvidos na comunicação.
No entanto, o Wireshark pode não mostrar o endereço MAC real do host remoto por vários motivos:
* Resolução
ARP: Para comunicação IPv4, o Wireshark precisa resolver o endereço IP do host remoto para seu endereço MAC por meio do protocolo de resolução de endereço (ARP). Se a solicitação ARP ainda não foi enviada ou recebida (ou se estiver em cache e expirou), o Wireshark não terá as informações de endereço MAC. Ele simplesmente mostrará o endereço IP. Isso é muito comum para conexões intermitentes ou pouco frequentes.
*
Tradução de endereço de rede (NAT): Se o host remoto estiver atrás de um dispositivo NAT (como um roteador), o endereço MAC visto pela sua rede local será o endereço MAC do dispositivo NAT, não o próprio host remoto. O dispositivo NAT traduz o endereço IP externo e a porta para o endereço IP interno e a porta do host remoto. O endereço MAC visível à sua rede local é o do gateway Nat.
*
Virtualização: Se o host local ou remoto for uma máquina virtual, o endereço MAC mostrado pode ser o da NIC virtual, não o endereço MAC do hardware físico subjacente.
*
Segurança de rede: Algumas medidas de segurança podem obscurecer intencionalmente endereços MAC.
*
IPv6: Com o IPv6, o protocolo de Discovery do vizinho (NDP) substitui o ARP. O NDP pode ainda não ter resolvido o endereço IPv6 no endereço MAC no momento em que o Wireshark captura o pacote. Ou, o host remoto pode estar usando extensões de privacidade, que alteram seu endereço IPv6 e o endereço MAC associado frequentemente para uma segurança melhorada.
*
Configuração do Wireshark: Embora menos provável, verifique se o Wireshark não está configurado para ocultar endereços MAC ou outras informações da camada de rede.
em resumo: A diferença surge porque o endereço MAC local é observado diretamente, enquanto a obtenção do endereço MAC remoto depende de vários protocolos e dispositivos de rede ao longo do caminho. A falta de um endereço MAC remoto geralmente indica que uma resolução ARP ou NDP ainda não aconteceu ou que um dispositivo NAT está envolvido, obscurecendo o verdadeiro endereço MAC do host remoto.
