я могу и ошибаться конечно. мб это вообще brctl делала
Да, там все равно интерфейс переводится в promisc, но в контрол-плейн интерфейса ядра это не отображается. Я так понимаю, это сделано затем, чтобы избежать проблем с ситуацией, когда, например, libpcap переводит перед сниффингом трафика интерфейс в промиск, а после завершения своей работы промиск снимает.