минава си да, един trace го доказва ...
ето какво направих досега:
tcpdump -q -n -i eth0 arp net 123.123.123.123
това хваща всички пакети които имат нещо общо с този адрес (не слагам MAC, понеже както споменах се вижда само този на рутера).
когато не е включен, не получавам нищо освен ако не се опитам да го пингна, тогава за всеки пинг получавам по един пакет
arp reply
IP is-at
MACMAC разбира се пак си е този на рутера, предполагам ако някой друг се опита да пигне този адрес пак ще хвана някой arp пакет?
от време на време виждам и:
arp who-has
IP tell
друго_IPвсе още не мога да разбера какви са тези ...
edit: сега ги схванах who-has са запитванията, а reply са отговорите