是否可以将内部IP地址与交换机端口匹配？

Question

我正在找一台在我们内部网络上有特定IP地址的计算机。我已经从DNS中识别出了计算机名，但在这种情况下，它对我没有帮助。

只是想知道我是否可以将IP绑定到交换机端口，并从那里跟踪它？如果是这样的话，是怎么做的？

Answer 1

给定IP地址，您应该能够找到相应主机的MAC地址。

arp -a

在Windows和Linux上，都将向您展示该主机的arp缓存，将IP映射到MAC地址。(请注意，这将需要在与您试图查找的机器位于同一IP子网上的计算机上运行)。

一旦您有了MAC地址，登录到您怀疑恶意主机连接到的交换机，并在MAC地址表中搜索该地址。( MAC地址表也称为桥接表，或CAM表)。

例如，在基于Cisco IOS的交换机上，以下命令：

show mac-address-table address <MAC address>

将向您显示最后一次看到给定MAC地址的端口。如果结果端口是另一个交换机的链接，请登录到该开关并再次运行命令。重复，直到你结束了一个主机端口，你应该有你的罪魁祸首。

请注意，只有当您有一个允许查询其MAC地址表的托管交换机时，此方法才能工作。否则，这将是一种手动消除的情况；找到每个您知道不是流氓机器的端口，直到您只剩下一个无法解释的端口。祝好运。

Answer 2

正如其他人所提到的，没有直接的方法来确定什么IP连接到某个交换机端口。原因是以太网交换机在OSI模型的L2上工作，通常不检查更高级别的层(第3层-> IP地址)。(在较新的硬件中有一些例外)

一个重要的注意事项是，要使用ping / ARP技巧，您需要使用与您正在搜索的设备相同的VLAN或子网上的设备。否则，您只会在ARP表中看到默认网关的MAC地址。

这是我推荐的程序，如果可能的话。

源和目的地在同一个VLAN

上

1. 向您要定位的设备发出ping命令。
2. 一旦成功返回，请在ARP表中查找所述设备的MAC地址。
3. 登录到交换机本身，查看步骤2中找到的地址的MAC地址表。( MAC地址表也可以称为CAM表)。MAC地址表提供了MAC地址到交换端口的映射。

源和目的地在不同

上的应用

1. 从核心路由器或可疑的默认网关发出ping。显然，如果所有路由都是在同一设备上完成的，这是最好的。
2. 如果有多个L3接口，则可能需要“遍历”从L3接口到L3接口的网络，执行ping / ARP检查，直到找到用作正在搜索的设备的默认网关为止。
3. 一旦您找到它，您就可以登录到交换机并搜索MAC地址表以找到端口。

Answer 3

检查交换机(Es)上的ARP缓存，以找到与设备的IP相关联的MAC和开关端口。这篇文章应该能帮助你：

• http://www.petri.co.il/csc_arp_cache.htm
• http://ccnpsecurity.blogspot.com/2011/11/using-mac-address-table-and-arp-cache.html