需使用iptraf-ng的lan station statistics功能监控局域网主机通信，依赖arp表和以太网帧解析，仅适用于二层局域网；安装命令因系统而异，ubuntu/debian用sudo apt install iptraf-ng，centos/rhel 8+用sudo dnf install iptraf-ng；启动后选择物理接口（如enp0s3），界面实时显示mac/ip、收发包量、字节数及最后活跃时间。
要监控局域网内各主机的实时通信行为、识别活跃工作站及异常连接，需使用iptraf（或其现代分支iptraf-ng）的LAN Station Statistics功能，该功能专为二层局域网环境设计，依赖ARP表和以太网帧解析，不适用于跨路由器的广域网流量。
确认并安装iptraf-ng
多数新系统已弃用原始iptraf，改用维护更活跃的iptraf-ng。在Ubuntu/Debian上运行：sudo apt install iptraf-ng；在CentOS/RHEL 8+上运行：sudo dnf install iptraf-ng。旧版CentOS 7若仅能装iptraf，需注意其界面响应慢且不支持IPv6工作站识别。
安装后执行sudo iptraf-ng -h验证命令可用——若提示“command not found”，说明包名可能为iptraf（非-ng），此时改用sudo iptraf -h测试。
启动局域网工作站监控
方法一：交互式菜单启动（推荐初学者）
① 运行sudo iptraf-ng进入主菜单；
② 使用方向键高亮“LAN Station Statistics”，按回车；
③ 在弹出的接口列表中选择实际接入局域网的物理接口（如enp0s3、eth0），【切勿选lo或docker0等虚拟接口】；
④ 界面立即显示当前子网内所有被探测到的MAC+IP组合，每行含收发包数、字节数、活动时间戳。
方法二：命令行直达模式（适合脚本或快速检查）
直接运行sudo iptraf-ng -l eth0（将eth0替换为你的局域网接口名）。该命令跳过菜单，瞬间进入LAN监控视图。若提示“Device not found”，说明接口名错误，可用ip -br a重新确认真实接口名。
解读LAN监控界面关键字段
顶部横栏显示“MAC Addr”“IP Addr”“Pkts Rx/Tx”“Bytes Rx/Tx”“Last Seen”。其中“Last Seen”值越小（如
注意：iptraf-ng默认通过监听ARP请求/应答和ICMP echo来发现主机，因此静默主机（如休眠PC、禁ping服务器）不会出现在列表中。若需强制刷新，按f键可清空当前缓存并重扫描。
当某行“Pkts Rx”持续暴涨而“Pkts Tx”极低，大概率是该主机正遭受扫描或DDoS攻击；此时可记下其IP，配合arp -a | grep [IP]确认MAC真实性，排除ARP欺骗。
