在Linux上監控DHCP流量，你可以使用多種工具和技術。以下是一些常用的方法：
tcpdump:
tcpdump 是一個強大的命令行網絡分析工具，可以用來捕獲和分析網絡上的數據包。要監控DHCP流量，你可以監聽UDP端口67（DHCP服務器）和68（DHCP客戶端）。
例如，要捕獲所有DHCP流量，可以使用以下命令：
sudo tcpdump -i any port 67 or port 68
這里 -i any 表示監聽所有網絡接口，port 67 or port 68 表示只顯示與DHCP相關的流量。
Wireshark: Wireshark是一個圖形界面的網絡協議分析器，它提供了比tcpdump更友好的用戶界面。你可以使用Wireshark捕獲和分析DHCP流量。
打開Wireshark，選擇你想要監控的網絡接口，然后開始捕獲數據包。在過濾器欄中輸入 udp.port == 67 or udp.port == 68 來過濾DHCP流量。
tshark:
tshark 是Wireshark的命令行版本，它提供了類似的功能，但是可以在沒有圖形界面的環境中使用。
使用tshark監控DHCP流量的命令如下：
sudo tshark -i any -Y "udp.port == 67 or udp.port == 68"
ngrep:
ngrep 是一個網絡數據包分析工具，它允許你使用正則表達式來匹配網絡流量。
使用ngrep監控DHCP流量的命令如下：
sudo ngrep -d any -W byline 'port 67 or port 68'
dnsmasq:
如果你在使用 dnsmasq 作為DHCP服務器，它提供了日志功能，可以幫助你監控DHCP流量。
你可以編輯 dnsmasq 的配置文件（通常是 /etc/dnsmasq.conf），確保以下行沒有被注釋掉：
log-dhcp
然后重啟 dnsmasq 服務：
sudo systemctl restart dnsmasq
dnsmasq 將會在系統日志中記錄DHCP相關的信息。
系統日志:
在某些情況下，你可以通過查看系統日志來獲取DHCP流量的信息。例如，使用 journalctl 命令查看systemd日志：
sudo journalctl -u dnsmasq.service
或者查看 /var/log/syslog 或 /var/log/messages 文件，具體取決于你的Linux發行版。
選擇哪種方法取決于你的需求和你對工具的熟悉程度。如果你需要詳細的協議分析，Wireshark是一個很好的選擇。如果你更喜歡命令行工具，那么tcpdump和tshark可能更適合你。對于簡單的監控任務，ngrep和系統日志可能就足夠了。
