原理：向目标网段批量发送探测包，根据响应判断主机是否在线：发ICMP Echo（Ping包）：收到Echo Reply则主机存活；发TCP SYN包：收到SYN-ACK说明端口开放，主机在线；发UDP包：收到ICMP Port Unreachable则主机存活。辅助指纹识别：通过分析响应包的TTL初始值、IPID序列，可推断目标操作系统：Windows默认TTL=128，Linux默认TTL=64

想象一栋大楼：每个楼层是一个VLAN每层楼之间的房间不能直接互通但大楼有一部货梯，可以同时运送所有楼层的货物👉这部货梯，就是 TrunkTrunk 是一种物理链路，允许单个端口同时承载多个 VLAN 的流量。端口类型承载 VLAN 数量典型连接对象Access1 个PC、打印机、摄像头Trunk多个交换机 ↔ 交换机、交换机 ↔ 路由器、ESXi 服务器在一个公司里，财务部（VLAN 1-10）

*DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）**​。每个 VLAN 各有一台 DHCP 服务器（或在三层交换机上起 DHCP 服务）无论是家庭网络还是企业内网，DHCP 核心流程完全一致，称为。VLAN 10 的 DHCP 服务器收到 Discover。Rogue DHCP 若在中继前响应，依然有效。攻击者插在端口 12（VLAN 20），

交换机C“忠实”地学习这些伪造MAC，一条条存入MAC表，直至表空间耗尽（普通接入交换机MAC表容量通常为8K-16K条）MAC泛洪攻击：交换机信任所有帧的来源，记录其MAC地址等对应关系，MAC地址表（CAM表）被填满，退化为“集线器”，之后遇到的帧全部广播发送。MAC表满后，交换机收到新的合法数据帧（如A→B的帧）时，无法查到目标MAC（MAC_B）的端口，被迫触发。，MAC_G，接交换机C端

ARP欺骗，MAC洪泛，DHCP攻击，VLAN跳跃，STP操纵，LLMNR/NBT-NS投毒。

​ 它只在"同一段链路 / 同一个广播域"里有意义，出了这段（过路由器），帧头里的 MAC 会被重写，源 MAC 变成路由器出接口、目的 MAC 变成下一跳。类比：NAT 像"公司前台"。——一堆"目的网络 → 下一跳 + 出接口"的候选条目，可能同一条目的有多条路径（不同协议、不同metric），还得再筛一轮选出"最优"那条的放进转发面。：本质是"交换机 + 路由器"二合一，VLAN 内 L2