tcpdump awk grep

как используя: tcpdump awk grep
определить МАС адрес который есть неавторизованный NAT ???

Просьба знающих написать рабочую строчку команды,
сам пока остановился на убогом

tcpdump -nne -v "not src host 10.10.10.8" |awk '{ if ($14 != "128," ) print $2 "[" $25 "] " $13 " " $14 }'

который выводит бесконечную колбасу, а не единожды засветившийся адресок

PS
речь идет о том, что если с одного МАС адреса идут отличные TTL
можно сказать что этот МАС адрес является шлюзом