tcpdump本身不直接支持按mac地址过滤，但可通过bpf语法结合ether关键字（如ether src/dst/host）或十六进制偏移匹配实现以太网帧级精准过滤，推荐使用ether关键字方式，简洁可靠且兼容vlan。
tcpdump 本身不直接支持按 MAC 地址过滤，但可以通过指定数据链路层（如以太网）的原始字段，结合 BPF（Berkeley Packet Filter）语法实现对特定 MAC 地址的链路层过滤。
确认接口和链路层类型
运行 tcpdump 前需确认目标网络接口使用的链路层协议（通常是 Ethernet），并获取其 MAC 地址格式（6 字节，十六进制，冒号分隔）。可通过 ip link show 或 ifconfig 查看：
-
ip link show eth0 | grep link/ether→ 输出类似link/ether aa:bb:cc:dd:ee:ff - 确保你使用的是支持以太网帧捕获的接口（非 VLAN 子接口或隧道接口，除非明确处理其外层封装）
使用 ether host 过滤特定 MAC 地址
tcpdump 提供 ether host 关键字，可同时匹配源或目的 MAC 地址：
- 捕获与指定 MAC 地址相关的所有以太网帧（无论作为源或目的）：
tcpdump -i eth0 ether host aa:bb:cc:dd:ee:ff - 只捕获该 MAC 作为源地址的帧：
tcpdump -i eth0 ether src aa:bb:cc:dd:ee:ff - 只捕获该 MAC 作为目的地址的帧：
tcpdump -i eth0 ether dst aa:bb:cc:dd:ee:ff
组合过滤提升精度
单独按 MAC 过滤可能产生大量无关流量（如广播、ARP、LLDP），建议叠加常见协议或端口限制：
- 仅抓取该 MAC 发送的 IPv4 TCP 流量：
tcpdump -i eth0 ether src aa:bb:cc:dd:ee:ff and ip and tcp - 过滤特定 MAC 的 ARP 请求：
tcpdump -i eth0 ether host aa:bb:cc:dd:ee:ff and arp - 排除广播和多播地址（避免干扰）：
tcpdump -i eth0 ether host aa:bb:cc:dd:ee:ff and not ether dst ff:ff:ff:ff:ff:ff and not ether dst 01:00:00:00:00:00/01:00:00:00:00:00
注意事项与常见问题
MAC 层过滤在混杂模式下有效，但需注意以下限制：
- 虚拟机、容器或某些云环境（如 AWS ENA、GCP VNIC）可能不透传原始以太网帧，导致
ether过滤失效 - 802.1Q VLAN 标签位于以太网头之后，若需过滤带 VLAN 的帧，应写成
ether host xx:xx:xx:xx:xx:xx and vlan - IPv6 链路本地通信常使用被请求节点多播地址（如
33:33:xx:xx:xx:xx），直接ether host可能漏掉这类交互 - macOS 上默认使用
en0接口，且部分无线驱动对链路层字段支持有限，建议优先在 Linux 下验证
