Não tenho certeza se é possível testar isso no VMware. A VMware precisaria emular um switch (também conhecido como bridge) para que você NÃO veja o tráfego em primeiro lugar. Eu sei que a VMware tem comutadores virtuais, mas acho que eles podem ser inteligentes o suficiente para frustrar os tipos de ataques que você tem em mente (já que eles sabem quais MACs devem estar atrás de quais portas.) Eu tentaria hardware físico. Ou VMs em dois laptops conectados por meio de um switch físico. (E eu usaria o modo de ponte, não o NAT).