Ein nicht verwalteter Switch weiß nicht einmal, was IP ist. Es leitet IP-Pakete sowie viele andere Protokolle weiter, ohne jemals zu verstehen, worin der Unterschied besteht.
Alles, was der Switch wissen muss, um zu entscheiden, wohin ein Paket geht, ist die MAC-Adresse.
Ziel- und Quell-MAC sind zwei der drei Ethernet-Header-Felder, die die übergeordnete Ebene immer bereitstellen muss. Das dritte ist EtherType, eine 16-Bit-Zahl, die angibt, um welches Protokoll es sich bei der übergeordneten Ebene handelt. Einige Beispiele sind
0x0800 IPv4
0x0806 ARP
0x86DD IPv6
Im Allgemeinen sind diese Nummern für Schalter undurchlässig und werden als reine Daten behandelt. Es gibt Ausnahmen wie 0x8874 und 0x8899, mit denen einige Switches (normalerweise verwaltet) Schleifen erkennen.
Die meisten Netzwerkanalysetools können den Unterschied zwischen einem über ein Ethernet-Kabel direkt verbundenen Computerpaar und einem über 1, 2 oder mehr Switches verbundenen Computerpaar nicht erkennen.
Durch Prüfen eines geswitchten Netzwerks von 4 oder mehr Maschinen mit sorgfältig ausgearbeiteten Quell- und Ziel-MAC-Adressen ist es möglich, einige Informationen über die Struktur des Netzwerks abzuleiten, indem beobachtet wird, ob zwei Netzwerkpfade dieselbe CAM-Tabelle verwenden oder nicht. Es kann auch in der Lage sein, ungefähr die Größe der CAM-Tabelle zu messen und wie schnell das Zeitlimit für Einträge überschritten wird.
Basierend auf solchen Metriken können hochentwickelte Netzwerkanalysetools möglicherweise die Anzahl der Switches in Ihrem Netzwerk ermitteln und sogar Vermutungen über die in diesen Switches verwendeten Chips anstellen.