Почему появляются несуществующие устройства в сети?

Question

[Сергей]

Когда сканирую сеть с сервера некоторые устройства периодически определяются как Hon Hai Precision Ind. Co.,Ltd. с маком CC:AF:78:A1:67:95, при этом они видны в сети, но инет на них не работает, сервер с них не пингуется и они с сервера тоже. При этом они нормально определяются и пингуются с других устройств в сети. Так же со временем появляются несуществующие устройства, которые так же определяются как Hon Hai Precision Ind. Co.,Ltd. с маком CC:AF:78:A1:67:95 и они видны только с сервера, при сканировании с других компов их не видно. Подскажите, как исправить?

Comments

[Valentin Barbolin]

Вообще похожу на arp spoof или proxy arp на L3 оборудовании. Если какие-то L3 устройства в сети? Если сетевое оборудование управляемое, то можно легко найти на каком порту этот MAC висит.

Answer 1

[Sergey Ryzhkin]

Ну судя по названию - это тайваньские материнки фирмы Foxconn. И они распознаются именно так, это название фирмы такое. Не понятно что именно вы хотите исправить?

Comments

[Сергей]

У нас нет в организации ни одной такой материнки. Они какое-то время определяются правильно (Gigabyte, Intel, Kyocera и т.п.), а потом начинают определятся как Hon Hai Precision Ind. Co.,Ltd., причём все с одинаковым маком. При этом на них перестаёт работать инет

[Дмитрий]

Сергей, на arp-спуфинг похоже. Если в сети есть управляемое сетевое оборудование, то смотрите на нем, откуда этот мак прилетает (и включаете мониторинг всяких аномалий, а потом смотрите в логи). В противном случае остаются wireshark, arpwatch, и ручное отключение портов в поиске виновного.

Answer 2

[АртемЪ]

Смотрите во время сбоя какой мак на карте, и кто его меняет.