Appearance
Skip to content
HubReference
本页用于区分“真正能帮助抓包的 hub”和“名字叫 hub、实际像交换机的设备”。它适合以下场景：
| 你要判断什么 | 重点看什么 |
|---|---|
| 现有设备能不能用于被动抓包 | 看它是否是真正的集线器，还是内部交换机 |
| 10/100 双速 hub 为什么看不全流量 | 看“双速集线器警告” |
| hub、交换机 SPAN、TAP 的边界 | 看“概念边界” |
| 查某个老设备型号的经验记录 | 看“型号记录” |
容易混淆的点：
- 设备包装或型号写着 hub，不代表它一定按真正集线器转发所有流量。
- 描述中出现 full-duplex，通常意味着它实际是交换机，而不是真正的集线器。
- 双速 10/100 hub 可能在不同速率端口之间经过内部交换逻辑，因此不能保证看到双向完整单播流量。
- Hub、交换机 SPAN 端口、network TAP 都可用于抓包，但工作边界不同，不能互相等同。
- 本页型号清单来自历史经验记录，不能替代实物测试和厂商硬件版本确认。
概念边界：Hub、SPAN、TAP
| 方式 | 工作方式 | 抓包价值 | 主要边界 |
|---|---|---|---|
| 真正的 hub / repeater | 把收到的信号转发到其他端口 | 抓包机接入后可看到同一碰撞域内流量 | 老设备为主；速率、双工、双速实现会影响可见范围 |
| 名为 hub 但实际为交换机 | 学习 MAC 地址并按端口转发 | 通常只能看到发给抓包端口、广播或组播等流量 | 不能当成真正 hub 使用 |
| 交换机 SPAN / mirror 端口 | 由可管理交换机复制指定端口或 VLAN 流量 | 适合现代交换网络排障 | 依赖交换机能力与配置；本页不展开 |
| Network TAP | 在线路中分出一份流量副本 | 常用于更可靠的链路旁路抓包 | 需要专用设备或明确的 tap 设计；本页只说明与 hub 的区别 |
原文提示：关于可管理交换机可参考 SwitchReference，TAP 可参考 TapReference；本文不写相对 .md 链接。
一般判断规则
| 观察点 | 倾向判断 |
|---|---|
| 标明 full-duplex | 通常实际是交换机，不是真正 hub |
| 明确为 10MBit hub | 原文认为如果标明为 hub，它就会是 hub |
| 100MBit Ethernet 设备 | 很多实际上是交换机，需谨慎验证 |
| 10/100 dual-speed hub | 可能内部有交换逻辑，跨速率流量不一定完整可见 |
| 新型号“hub” | 可能只是市场命名，需按硬件版本和实测判断 |
双速集线器警告
支持 10MBit 和 100MBit 端口的 dual-speed hub，可能不会在 10MBit 和 100MBit 端口之间发送所有单播流量。
| 通信双方 | 抓包机速率 | 可能看到什么 |
|---|---|---|
| 两台 100MBit 主机通信 | 100MBit | 才可能捕获它们之间的流量 |
| 两台 10MBit 主机通信 | 10MBit | 才可能捕获它们之间的流量 |
| 10MBit 主机与 100MBit 主机通信，内部有交换机 | 10MBit | 可能只能看到来自 10MBit 主机的方向 |
| 10MBit 主机与 100MBit 主机通信，内部有交换机 | 100MBit | 可能只能看到来自 100MBit 主机的方向 |
| 10MBit 与 100MBit 端口完全不互通 | 任意 | 不同速率主机无法通信，也就没有对应流量可抓 |
原文记录了一个在 Netgear Dual Speed HUB 上测试过的变通方法：为抓包 PC 配置目标子网内的 IP 地址，可立即看到来自该子网主机的流量以及广播流量；如果 hub 连接多个网络，还可在该接口上配置额外 IP 地址以看到更多流量。原文同时说明其原因未明，因此不应把它当作通用保证。
Ethernet 历史背景
早期 10MBit Ethernet 使用基于线路的拓扑，例如粗缆或细缆同轴 Ethernet。集线器推动了双绞线 RJ45 星形拓扑。随后 100MBit 和交换机进入市场，出现了 10MBit 交换机、100MBit 集线器，以及当时价格较高的 100MBit 交换机。之后大量 10/100MBit 或仅 100MBit 设备几乎都按交换机方式工作，虽然仍可能有例外。
真正 hub 与“交换机型 hub”
原文把真正可用于抓包的 hub 分成两个层次：
| 类型 | 特征 | 抓包差异 |
|---|---|---|
| 真正的电气中继器 | 不理解包，只重复信号 | 可能看到畸形或异常电气层导致的垃圾数据 |
| 禁用学习功能的交换机型 hub | 使用类似交换机芯片，但不学习 MAC 转发表 | 通常只转发“干净”的数据包，看不到某些畸形垃圾数据 |
这两类都不同于正常交换机。正常交换机会学习并维护 MAC 地址表，即使市场文案称其为 hub，也不能因此认定它适合被动嗅探。
型号记录
下面保留原文中的经验型号记录，并用表格压缩呈现。它们是历史用户报告，不保证不同硬件版本行为一致。
报告为真正 hub 或可用于抓包的设备
| 厂商 | 型号 / 记录 | 原文备注 |
|---|---|---|
| 3Com | OfficeConnect Dual Speed Hub 16 (3C16751B) | GeraldCombs |
| 3Com | OfficeConnect Dual Speed Hub 8 (3C16750B) | T. Eric Hong |
| 3Com | OfficeConnect Dual Speed Hub 8 (3C16753) | 原文备注：无法嗅探此变体，Malcolm Doody |
| 3Com | OfficeConnect 10 Mpbs Hub 4 (3C16704A) | Phil Gorsuch |
| 3Com | OfficeConnect Fast Ethernet 100BASE-TX Hub 4 (3C16723) | 仅支持 100Mbps，KyleRogers |
| 3Com | Superstack II Entry Hub - 3C16441 | 10/100、非智能感应、24 端口机架式；与 Wireshark 配合良好 |
| Asante | FriendlyNET FH305 5-port 10/100 Hub | 10M 流量可在 10M 和 100M 端口看到；100M 流量可在 100M 端口看到；100M 到 10M 端口只见广播和未学习包 |
| D-Link | DE-805TP 5 Port 10 Mbps Hub | Rendra |
| Dynex | DX-EHB4 - 4 Port 10 Mbps HUB | Byzantium |
| Edimax | ER-5398S、ER-5397P、ER-5390P、ER-5395P | ER-5390P 已知可用；Andreas Sikkema |
| Garrett Communications | Magnum H50 | Kedar |
| Hawking | 10Base-T 4-Port Hub (PN400TP) | Jamie Rybarczyk |
| Hewlett-Packard | ProCurve 10Base-T Hub 8 (HP J4090A) | Petr Vacha |
| Intel | InBusiness 8-Port 10/100 Fast Hub (SH101TX8) | 已测试 100 Mbps，YuriTri |
| Level One | FHU-0400TXDS 4port 10/100Mbps | 10 和 100 Mbps 之间没有内部网桥，UlfLamping |
| Linksys | EFAH05W（灰色外壳） | DonMcLane |
| Linksys | EFAH08W version 2.0 | EtherFast 10/100 8-Port Workgroup Hub；行为与 Asante FH305 类似 |
| Linksys | EFAH24 24 Port 10/100 旧型号 | 未测试跨速率；所有设备均为 100 时 Snort 可用 |
| Linksys | EFAH16W, V2 | 有用户测试为 hub；原文提醒同型号也被列入假 hub，可能早期是 hub、后期是交换机 |
| NETGEAR | DS104 Dual Speed HUB | Jens Link |
| NETGEAR | DS106 Dual Speed HUB | 原文记录也可用 |
| NETGEAR | DS108 Dual Speed HUB | Jens Link |
| NETGEAR | DS116 Dual Speed HUB | Amy Phillips |
| NETGEAR | DS524 24-port 10/100 | 10 和 100 Mbps 之间的桥接会过滤数据包 |
| NETGEAR | DS508 8-port 10/100 | 与 DS524 同系列，原文推测行为可能类似 |
| NETGEAR | DS516 16-port 10/100 | 与 DS524 同系列，原文推测行为可能类似 |
| NETGEAR | EN104 10Base-T Hub 4port | Andy Dansby |
| NDC | SOHOware NDH305 5-port 10/100 Hub | 行为与 Asante FH305 类似 |
| Phoenix Contact | FL HUB 8TX-ZF | DIN 安装 8 端口，可通过 DIP 开关选择 10Mbit 或 100Mbit |
| Phoenix Contact | FL HUB 16TX-ZF | DIN 安装 16 端口，可通过 DIP 开关选择 10Mbit 或 100Mbit |
| Planet | EH-500 5-port 10Base-2/T | Lubos Zisko |
| SMC | 5208TX EX Hub 10/100 8 port | Ric Nepil |
| W-linx | SS-F05CM Mini 5 port Fast Ethernet HUB | 可由 USB 端口供电，SakeBlok |
报告为假 hub 或实际像交换机的设备
| 厂商 | 型号 / 记录 | 原文备注 |
|---|---|---|
| 3Com | OfficeConnect Dual Speed Hubs | 原文引用厂商描述：内部 built-in switch 连接 10/100 Mbps users |
| Asante | FriendlyNET FH405 5-port 10/100 Hub | 已测试 10M 到 10M、100M 到 100M、10M 到 100M，结果表明是交换机 |
| Linksys | EFAH05W | Erkan Altan |
| Linksys | EFAH05W v2 | 使用 Micrel KS8995 5-Port Integrated Switch IC |
| Linksys | EFAH08W | 仅 Version 3.0 被报告为假 hub |
| Linksys | EFAH16W | 10/100 5-Port 和 16-Port Workgroup Hubs，包括 V2；注意同型号存在相反报告 |
| Linksys | EF2H24 | 10/100 24 Port Hub；仅 Version 2.0 |
| Linksys | NH1005 V2 | 多条原文评论认为无法用于被动嗅探，内部可能是交换芯片 |
| Allied Telesyn | AT-FH708E | Unmanaged Fast Ethernet Hub |
| SMC | EZ5808DS | Unmanaged Fast Ethernet Hub，Todd Parker |
| ZIO | ESB550SW | 10/100 5-port Switching Hub |
| Intel | InBusiness 8-Port Hub (SH10T8) | 原文列于假 hub |
| Genius KYE SYSTEM CORP | GS4080 Mini (10/100 8-port Hub) | 声称是 HUB，但内部有 RTL8309SB 交换控制芯片 |
| Versa-stack | 16-port dual speed hub | Dave W 报告似乎是交换机而不是集线器 |
原文还记录了一种针对 fake hub 的强行改造 wiretap 接法：将 fake-hub uplink RJ-45 接入网络，将第 5 个 RJ-45 连接器接交叉线，交叉线另一端接嗅探计算机，网络另一侧接 fake-hub 连接器 1 到 4。该记录来自历史评论，不应视作通用安全做法。
更多评论
原文最后询问是否有人知道如何用现成组件制作一个简单集线器，例如带 3 个 RJ-45 连接器的 T-connector。它同时提醒：如果目标其实是 network tap，应按 TAP 的思路处理，而不是把它当 hub。
Imported from https://wiki.wireshark.org/HubReference on 2020-08-11 23:14:50 UTC
相关 Wireshark Wiki 页面
- Wireshark Wiki 首页Home · 入门与使用
- CaptureSetupCaptureSetup · 抓包设置
- CaptureSetup/EthernetCaptureSetup/Ethernet · 抓包设置
- SakeBlokSakeBlok · 全量归档
- SwitchReferenceSwitchReference · 协议参考
- TapReferenceTapReference · 协议参考
- UlfLampingUlfLamping · 全量归档