Linux中过滤显示特定MAC地址流量应使用tcpdump（支持ether src/dst BPF语法）或结合arp/iftop间接分析；iptables/ebtables仅用于拦截或日志记录，不具备直接显示功能。
Linux 中过滤显示特定 MAC 地址的流量，核心是用 tcpdump 或 iftop（配合底层抓包）结合 BPF 过滤器实现，iptables 和 ebtables 则用于规则化拦截而非“显示”——它们是控制手段，不是观测工具。
用 tcpdump 抓取并筛选指定 MAC 的流量
tcpdump 支持原生的 BPF 语法，可直接按源或目的 MAC 地址过滤，无需 root 权限以外的额外配置：
- 抓取源 MAC 为
00:17:31:BB:C5:DE的所有帧：sudo tcpdump -i eth0 ether src 00:17:31:BB:C5:DE - 抓取目的 MAC 为该地址的帧：
sudo tcpdump -i eth0 ether dst 00:17:31:BB:C5:DE - 同时匹配源或目的（OR 逻辑）：
sudo tcpdump -i eth0 'ether src 00:17:31:BB:C5:DE or ether dst 00:17:31:BB:C5:DE' - 加
-nn -v可禁用 DNS 解析、显示更详细帧信息，便于分析协议类型和载荷大小
用 iftop 查看实时 MAC 级带宽占用（需配合 -P 和自定义解析）
iftop 默认按 IP 显示，不直接支持 MAC；但可通过以下方式间接关联：
- 先用
arp -a或ip neigh show获取目标 IP 对应的 MAC 地址 - 再用 iftop 按 IP 过滤：
sudo iftop -f "host 192.168.1.100"，结合已知的 IP-MAC 映射关系定位设备 - 若需持续监控某 MAC 设备的流量趋势，建议写脚本：用
tcpdump -c 100 ... -w /tmp/mac.pcap抓包 +tshark -r /tmp/mac.pcap -T fields -e frame.len统计字节数
注意：iptables 和 ebtables 不适用于“显示”流量
这两者是策略型工具，作用是丢弃或放行，不能输出流量内容：
-
iptables -m mac --mac-source xx:xx:xx:xx:xx:xx仅在FORWARD链有效（且要求网卡处于桥接模式下才可靠），常用于白/黑名单控制，非观测用途 -
ebtables才是真正工作在数据链路层的工具，适合对桥接接口（如br0）做 MAC 级过滤，但它也不提供“显示”功能，只支持-j LOG记录日志（需配合syslog查看） - 若真想让 ebtables “显示”，可搭配日志规则：
sudo ebtables -A FORWARD -s 00:17:31:BB:C5:DE -j LOG --log-prefix "MAC-ALLOWED: "，然后tail -f /var/log/syslog | grep MAC-ALLOWED
快速验证 MAC 是否活跃及通信方向
不需要抓包也能初步判断：
- 查本机 ARP 表，确认是否见过该 MAC：
ip neigh show | grep "00:17:31:BB:C5:DE" - 用
tcpdump抓几秒广播包，看是否有该 MAC 发出的 ARP 请求或 STP 帧：sudo tcpdump -i eth0 -c 20 ether host 00:17:31:BB:C5:DE - 若设备静默无通信，即使它在线，也不会出现在常规流量视图中——MAC 过滤显示的前提是有实际以太网帧交互
