Sí, sé que para capturar el tráfico inalámbrico realmente necesitas habilitar el modo monitor, así que no dirijas la discusión de esa manera. Estoy preguntando sobre el comportamiento inusual (al menos para mí) que se ha observado cuando se realiza una captura sin el modo monitor habilitado.
Esta preguntame encontré conFallo del servidordonde alguien preguntó acerca de la falta de encabezados Ethernet 802.3 al capturar tráfico inalámbrico en modo monitor con Wireshark. Con mi experiencia en redes, sabía que no debería haber encabezados 802.3 en el tráfico 802.11. Pero el usuario proporcionó capturas de pantalla de ambos, así que sentí curiosidad.
Lo probé yo mismo (Ubuntu 14.04LTS con Intel Advanced-N 6200) y parece ser cierto. Cuando capturo sin el modo monitor habilitado, en lugar de los encabezados 802.11 esperados, obtengo encabezados 802.3 en el tráfico. No he probado en otros sistemas operativos para ver si es cierto o no, pero pensé en preguntar si alguien tenía una explicación.
¿Alguien puede explicar por qué este es el caso de Ubuntu?
¿El controlador o la interfaz inalámbrica están conectando esto con el tráfico 802.3 antes de entregárselo al kernel por algún motivo? ¿O está pasando algo más?