Итак, требо хелпу :-)
Исходные данные:
2 здания, в каждом здании своя сеть. Допустим 192.168.100.0 и 10.10.10.0. обе с выходом в инет.
настроен роутинг из 10-й сетки в 192. тобиш любой юзер может ходить в инет или на компы сетки 192.
В сети 10.10.10.0 появиилсь
пакеты системы snmp udp идущие от ip 192.168.1.10 на 255.255.255.255. броадкаст кароче. Надо поймать этого спамера.
arpwath не работает с этим трафиком.
И езе раз - мак посмотреть не проблема. Проблема че делать дальше. Мак еще раз кто не в курсах на железках щас можно прописать любой
эээээ... так то никто никуда не побежит :-) машину ессественно даже пропинговать не удается :-) ибо таки если она внутри сетви с таким адресом то просто все наружу уходит :-)
ну и на мысля хозяина машины мне как бы наплевать, надо поймить саму машину.
по поводу свичей и прочего - типа табуретку поставил рядом и сутками ждять кады он этот пакет кинет
Зачем - допустим на 3326 длинках я могу посмотреть по заданному ип/маку на какой порт он цеплялся, в рамках размеров истории
свитча - и так вычислить источник пакета. Могу вообще заблокировать этот ип, чтобы он не портил мне статистику :-)
ну и как еще вариант - на умном свитче можно порт замиррорить... и на зеркале поставить сниффер, который все будет в лог писать... А потом посмотреть - нет бэдовых
пакетов, следующий порт миррорить...
в пакете ниче нет. Есть мак и ип шалуна. Шалун из другой сетки из которой В ПРИНЦИПЕ трафика быть не может.
Следовательно, пакет из своей сети. Вы ведь не допускаете, что рутер живет собственной жизнью и пускает что хочет? Кроме
того, как вы знаете, броадкаст не уходит дальше маршрутизатора.
Скорее всего некто юзает тулзу - мониторилку сети.
Дополнительно убедиться в истинности "своячности" источника можно посмотрев MAC. Определить - какого производителя сетевушки имеют аналогичный MAC-префикс.
Сравнить с другими местными компами, которые закупались в рамках разных партий. Если MAC не был подменен - 80%, что найдете очень близкие значения.
Как крайнюю меру, я бы порекомендовал организовать DoS атаку на данный IP. Затем, если есть домен, посмотрите аудит успешных входов.
