如何从虚拟机中嗅探virsh虚拟桥

所以我想从虚拟机中嗅探来自虚拟桥（virbr2）的流量。我可以直接从主机上成功嗅探virbr2，但是当设置该接口到虚拟机时我什么都看不到。这是虚拟机的网络配置（virsh编辑）：

<interface type='bridge'>
  <mac address='52:54:00:78:11:bf'/>
  <source bridge='virbr2'/>
  <model type='rtl8139/>
  <alias name='net1'/>
  <address type='pci' domain='0x0000' bus='0x00' slot='0x07' function='0x0'/>
</interface>

然后我什么都没得到，然后我尝试创建一个tap接口：

ip tuntap add tap20 mode tap
ip link set tap20 master virbr2
ip link set tap20 up

它解决了：

<interface type='bridge'>
  <mac address='52:54:00:78:11:bf'/>
  <source bridge='tap20'/>
  <model type='e1000'/>
  <alias name='net1'/>
  <address type='pci' domain='0x0000' bus='0x00' slot='0x07' function='0x0'/>
</interface>

我只能看到广播流量......

哪个是正确的方法，为什么它不起作用？

我正在运行Debian 9和virsh作为root。

Thanksss !!!!

你有没有试过'tethereal / Wireshark'，就像Biwsa的评论中所说的那样？

由于网桥接口与主接口位于相同的内核空间，因此可以嗅探网络接口 virbr2 接口。

显然，br接口由linux内核管理，并配置为交换机，因此只有到达给定接口的数据包才能到达该虚拟接口。 要改变这种行为，一种方法是运行'brctl setageing 0'。