Wireshark 技巧75 条

Wireshark 按 MAC 地址过滤

eth.addr / eth.src / eth.dst 过滤以太网地址；二层问题（ARP、环路、镜像口分析）与设备识别时用到，IPv6 链路本地交互也常按 MAC 切分。

用途	按 MAC 过滤以太网帧
语法	eth.addr == 00:11:22:33:44:55 / eth.dst == ff:ff:ff:ff:ff:ff

常用示例

eth.addr == 00:11:22:33:44:55
eth.dst == ff:ff:ff:ff:ff:ff && !arp
eth.src == 00:11:22:33:44:55 && stp

MAC 过滤依赖抓包点所在二层网络；跨路由后源 MAC 已被网关替换。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌