嗅探只能发生在局域网，局域网内通信是通过MAC地址寻址的，通过IP寻址在发生在局域网间的。
ARP协议，在计算机A中会发送ARP广播来寻找通讯对象计算机B的MAC地址，如果有个计算机C，冒充双方的IP，并且把自己的MAC发送给A 和 C，就可以实现数据包转发，继而实现嗅探或监听。这就是局域网嗅探的原理。
ARP -a 可查看ARP表，ARP表中静态表比动态表优先级高，可通过ARP -s ip mac绑定静态表。
原理图
原文：http://www.cnblogs.com/yaochc/p/6034505.html