wireshark - ¿Cómo filtrar direcciones MAC utilizando tcpdump?

ethernet pcap

Question

Estoy ejecutando tcpdump en enrutadores DD-WRT para capturar datos de enlace ascendente desde teléfonos móviles. Me gustaría escuchar solo algunas direcciones mac. Para hacer esto intenté ejecutar el comando usando una sintaxis similar a Wireshark:

tcpdump -i prism0 ether src[0:3] 5c:95:ae -s0 -w | nc 192.168.1.147 31337

para que pueda escuchar todos los dispositivos que tienen como dirección mac inicial 5c:95:ae .

El problema es que la sintaxis es incorrecta y me preguntaba si alguno de ustedes sabe la sintaxis correcta para obtener lo que quiero.

Answer 1

Con man pcap-filter encontré esta solución:

tcpdump "ether[6:2] == 0x5c95 and ether[8:1] == 0xae"