| 用途 | 过滤 ARP 报文（含请求/应答筛选） |
|---|---|
| 语法 | arp / arp[6:2] = 1（请求）/ = 2（应答） |
常用示例
常用示例
tcpdump -i eth0 -nn arp -c 20
tcpdump -i eth0 -nn 'arp[6:2] = 1' # 只看谁在问
tcpdump -i eth0 -nn 'arp and host 10.0.0.1'ARP 应答里的 MAC 与预期网关不符时，可能是地址冲突或欺骗；多抓几轮对比即可确认。
本包目录（400 条）
tcpdump 过滤实战51 条
- tcpdump 命令行抓包
- tcpdump -w 写入 pcap 文件
- tcpdump -i 指定抓包接口
- tcpdump port 端口过滤
- tcpdump -n 与 -nn 不做解析
- BPF 过滤表达式基础
- tcpdump 抓 SYN 建连请求
- tcpdump host 主机过滤
- tcpdump tcpflags 标志位过滤
- tcpdump 抓 RST 复位包
- tcpdump -r 读取 pcap 文件
- tcpdump 时间戳格式选项
- tcpdump 逻辑组合与括号
- tcpdump 抓 ICMP 与类型过滤
- tcpdump -s 设置抓取长度
- tcpdump net 网段过滤
- tcpdump -c 限制抓包数量
- tcpdump src 与 dst 限定方向
- tcpdump udp 过滤
- tcpdump 字节匹配抓 HTTP GET
- tcpdump -A 按 ASCII 打印载荷
- tcpdump -D 列出可用接口
- tcpdump 协议关键字过滤
- tcpdump -e 打印链路层头部
- tcpdump 抓 FIN 拆除包
- tcpdump arp 过滤
- tcpdump 抓 DHCP 交互
- tcpdump -X 十六进制与 ASCII 对照
- tcpdump portrange 端口范围
- tcpdump vlan 过滤
- tcpdump 抓零窗口通告
- tcpdump -v 详细输出
- tcpdump -Q 按方向抓包
- tcpdump 抓 IPv6 流量
- tcpdump 输出统计与聚合
- tcpdump -q 精简输出
- tcpdump -B 调整抓包缓冲区
- tcpdump ether 按 MAC 过滤
- tcpdump 抓 IP 分片
- tcpdump 管道与远端联动
- tcpdump -l 行缓冲输出
- tcpdump 广播与组播过滤
- tcpdump -p 关闭混杂模式
- tcpdump greater 与 less 按包长过滤
- tcpdump 抓 NTP 时间同步
- tcpdump -U 包到达即写盘
- tcpdump 抓 GRE 隧道流量
- tcpdump 抓 SNMP 流量
- tcpdump -Z 抓包后降权
- tcpdump 抓 STP BPDU
- tcpdump 抓 ESP 加密流量
tcpdump arp 过滤
过滤 ARP 请求与应答：排查同网段无法通信、ARP 冲突与网关 MAC 变化；arp[6:2] 可按操作码筛选请求（1）与应答（2）。
易错点
- ARP 只在同一广播域可见，跨网段抓不到；定位时要在同 VLAN 的机器或交换镜像口抓
- 抓包看到 ARP 无应答不代表主机不在线，也可能对端防火墙/ACL 拦截或已下线
数据来源与参考
- man 8 pcap-filter（arp 原语）
- RFC 826（ARP）