LAN Sheriff 是一款自托管、开源的网络监控工具，由 291 Group 开发，采用 AGPL-3.0 许可，免费使用。它的主要用途是让用户看到自己的设备向互联网发送了什么、发往哪里、归属谁，以及哪些活动看起来可疑。所有数据本地处理，无需账户、无云端、无遥测。
用途
设备会持续向互联网发送流量，其中大部分并非用户主动操作——手机、笔记本、电视、恒温器、门铃等会悄悄向全球服务器发送数据，包括应用签到、遥测、跟踪器、广告网络，偶尔还有不该出现的东西。LAN Sheriff 让这些流量可见：运行一个程序，浏览器即打开，无需设置即可实时显示本机发出的所有连接及其目的地、归属，并标记可疑活动。
可见范围取决于运行位置：从路由器或镜像交换机端口运行可覆盖所有设备，配对实例可覆盖其余部分。数据保留在用户自己的机器上。
主要能力
- The Watchtower（出口地图）：实时世界地图，从用户位置绘制到每个外部服务器的连线。点击目的地可查看国家、城市、归属组织（如 AWS、Google、Cloudflare）、反向 DNS、协议、端口、字节数、持续时间和负责的应用或设备。标记后台通信、信标行为和首次出现的国家。可实时观看或回放历史。
- Radio Chatter（DNS 流）：实时可读的 DNS 查询流，显示查询者、域名、解析结果和速度。展示热门域名、首次出现的域名，以及已知跟踪器、广告、遥测或恶意软件域名的查询（仅标记，不阻断）。
- The Precinct Map（网络图）：根据观察到的流量自动生成网络图，无需手动输入。设备为节点，连接为链路，并分组显示通往外网的链路。每台设备显示主机名、IP、MAC、制造商、推测类型和开放端口。
- The Roster（设备清单）：运行中的设备列表，含在线/离线状态、首次和最后出现时间、IP、MAC、制造商、主机名、类型和服务。可标记设备、将信任设备设为“副手”或将其余设为监视。未识别设备加入时告警，每次分类都附有证据说明。
- The Wanted List（可疑评分引擎）：持续对所有流量评分并生成当前可疑活动的排名列表，包括首次接触、信标行为、罕见国家或提供商、机器生成（DGA）域名、预期加密处的明文、异常端口、端口扫描、威胁列表匹配，以及打破设备正常模式的流量量。每个标记都用通俗语言解释，可人工核对。
使用方式
工具为单一二进制文件，支持 Linux、macOS、Windows 和树莓派。它从不阻断、丢弃或修改流量。有两种自动检测的模式：
- Deputy 模式（默认）：无需特殊权限。通过读取操作系统套接字表来监视本机连接，将每个连接关联到发起它的确切应用。
- Patrol 模式（可选）：需要提权。被动捕获经过其监控位置的所有设备流量，解锁这些设备、完整 DNS 可见性和自动网络映射。需在路由器或镜像/SPAN 端口上运行。若无法获得 patrol 权限，则运行 deputy 模式并告知可获得的增益。
设备发现会探测：对本地网段进行一次节奏可控的扫描，另可手动运行按需端口检查。仅应在自己拥有或获授权监控的网络上运行。
The Dispatch（实例配对）：多个 LAN Sheriff 安装可相互配对并共享各自所见，从而无需 SPAN 端口、镜像交换机端口或在路由器上运行任何东西即可获得全网可见性。配对是显式的：一个实例显示加入码，用户将其带到另一实例。不会自动发现新对等端。对等端通过相互认证、加密且固定密钥的链路交换聚合数据（端点、组织、国家、应用、计数），原始细节保留在观察它的机器上。每条合并观察记录报告它的对等端，因此可不解除配对而 distrust 某对等端。消失的对等端会变灰，不会阻塞其他对等端。数据仅在用户拥有并显式配对的机器之间移动，仅限本地网络，无服务器、代理或中继。
其他功能
任何目的地的完整历史（Rap Sheet）：哪些应用访问过、流量、归属记录。全局搜索目的地、域名、设备和应用。告警可发送至 webhook、ntfy、Discord 或 Slack（默认均关闭）。任何视图可导出 CSV 和 JSON。有界、自修剪的滚动历史，适合在树莓派上连续运行数周。界面支持 12 种语言，包括从右到左的阿拉伯语和希伯来语。
适用场景
- 发现新智能电视立即向多个跟踪公司发送数据。
- 了解设备实际与谁共享数据，而非仅听信公司声明。
- 监控设备是否被入侵或开始向可疑服务器发送信标。
- 为家庭实验室或大量设备绘制实际连接和通信的实时地图。
限制
- 可见范围受运行位置限制：从路由器或镜像端口运行覆盖所有设备，否则交换机仅显示本机流量（除非配对）。
- 设备发现会进行探测扫描，仅可在自己拥有或获授权监控的网络上运行。
- 不阻断、丢弃或修改流量，仅观察和标记。
- Patrol 模式需提权，Deputy 模式仅限本机。
- 网站需要启用 JavaScript 才能完整使用。
- 未提供平台兼容性之外的具体定价、付费计划或性能指标。
