Linux arpwatch命令是一个用于监控以太网活动的工具，它可以监听局域网中的ARP数据包并记录，同时将监听到的变化通过E-mail来报告。ARP (Address Resolution Protocol)是用来解析IP与网络装置硬件地址的协议。arpwatch可以帮助网络管理员检测ARP欺骗或者意外的IP/MAC地址修改。
Linux arpwatch命令适用的Linux版本
arpwatch命令不是Linux发行版的默认组件，需要使用默认的包管理器来安装。不同的Linux发行版可能有不同的安装方法，下面列出了一些常见的Linux发行版的安装命令：
- Debian, Ubuntu, Linux Mint等基于Debian的发行版，可以使用apt-get命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo apt-get install arpwatch
- RHEL, CentOS, Fedora, Rocky Linux, AlmaLinux等基于Red Hat的发行版，可以使用yum或dnf命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo yum install arpwatch
或者
[linux@bashcommandnotfound.cn ~]$ sudo dnf install arpwatch
- Gentoo Linux可以使用emerge命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo emerge -a net-analyzer/arpwatch
- Alpine Linux可以使用apk命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo apk add arpwatch
- Arch Linux可以使用pacman命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo pacman -S arpwatch
- OpenSUSE可以使用zypper命令来安装arpwatch：
[linux@bashcommandnotfound.cn ~]$ sudo zypper install arpwatch
Linux arpwatch命令的基本语法
arpwatch命令的基本语法格式如下：
arpwatch [options]
其中，options可以是以下的选项之一或多个：
| 选项 | 说明 |
|---|---|
| -d | 启动调试模式 |
| -f file | 指定存储ARP记录的文件，默认为/var/arpwatch/arp.dat |
| -i interface | 指定监听ARP的接口，默认为eth0 |
| -r file | 从指定的文件中读取ARP记录，而不是从网络上监听 |
| -n network | 指定附加的本地网络 |
| -u user | 指定用户和用户组 |
| -e user | 发送邮件给指定用户，非默认的root用户 |
| -s user | 指定用户名作为返回地址，而不是默认的用户root |
Linux arpwatch命令的常用选项说明
arpwatch命令的常用选项有以下几个：
- -d 选项可以启动调试模式，这样arpwatch会在标准输出上显示一些调试信息，而不是作为后台进程运行。
- -f 选项可以指定存储ARP记录的文件，这个文件中记录了每个IP/MAC地址对的信息，包括时间戳。默认的文件是/var/arpwatch/arp.dat，如果指定了其他的文件，需要确保arpwatch有权限访问和写入该文件。
- -i 选项可以指定监听ARP的接口，比如eth0, eth1等。默认的接口是eth0，如果要监听多个接口，可以使用多个-i 选项，或者使用-i any来监听所有的接口。
- -r 选项可以从指定的文件中读取ARP记录，而不是从网络上监听。这个选项可以用来分析已经保存的ARP数据包，比如使用tcpdump命令抓取的数据包。指定的文件必须是pcap格式的文件，可以使用file命令来检查文件的格式。
- -n 选项可以指定附加的本地网络，这样arpwatch可以识别该网络中的IP地址，并忽略其他网络的IP地址。这个选项可以用来减少arpwatch的报告数量，只关注本地网络的变化。指定的网络必须是CIDR格式的，比如192.168.1.0/24。
Linux arpwatch命令的实例
下面是一些arpwatch命令的实例：
- 监听网卡eth0的ARP信息，并将记录保存到a.log文件中：
[linux@bashcommandnotfound.cn ~]$ sudo arpwatch -i eth0 -f a.log
- 从b.pcap文件中读取ARP记录，并显示调试信息：
[linux@bashcommandnotfound.cn ~]$ sudo arpwatch -r b.pcap -d
- 监听所有的网卡，并将本地网络设置为192.168.1.0/24，将邮件发送给admin用户：
[linux@bashcommandnotfound.cn ~]$ sudo arpwatch -i any -n 192.168.1.0/24 -e admin
- 启动arpwatch服务，并查看服务的状态：
[linux@bashcommandnotfound.cn ~]$ sudo systemctl enable arpwatch
[linux@bashcommandnotfound.cn ~]$ sudo systemctl start arpwatch
[linux@bashcommandnotfound.cn ~]$ sudo systemctl status arpwatch
- 查看arpwatch的日志文件，可以使用tail命令或者grep命令来过滤感兴趣的信息：
[linux@bashcommandnotfound.cn ~]$ sudo tail -f /var/log/messages | grep arpwatch
或者
[linux@bashcommandnotfound.cn ~]$ sudo grep arpwatch /var/log/messages
Linux arpwatch命令的注意事项
使用arpwatch命令时，需要注意以下几点：
- arpwatch命令需要root权限或者sudo权限才能运行，否则会提示permission denied错误。
- arpwatch命令需要指定正确的网卡接口，否则会提示no such device错误。
- arpwatch命令需要指定正确的文件格式，否则会提示bad dump file format错误。
- 如果在命令行中没有找到arpwatch命令，可能是因为没有安装arpwatch工具，可以使用默认的包管理器来安装，安装参考上面。
评论区