观察与计数
观察与计数
ip neigh | wc -l # 条目数量级
ip neigh | awk '{print $1}' | sort | uniq -d | head # 重复 IP
watch -n2 'ip neigh show dev eth0 | head -20' # 观察条目变动
cat /proc/sys/net/ipv4/neigh/eth0/gc_thresh3 # 表容量上限抓 ARP 流量判断规模
抓 ARP 流量判断规模
tcpdump -i eth0 -nn arp -c 200 # 观察 request/reply 比例与源MAC-IP 对应频繁变化也可能是合法的 VIP 漂移（VRRP/Keepalived），先确认架构再定性为『ARP 攻击』。