Периодический доступ и изменение записей MAC для одного и того же IP могут указывать на конфликт адресов. Прежде чем делать окончательные выводы, проверьте время записи и структуру сети.
Основной подход
Обнаружение конфликта адресов IPv4 помогает проверить, используется ли адрес другим устройством. Однако высокая доступность, прокси-ARP и виртуальные сети также могут привести к неожиданным сопоставлениям. Один экран просмотра не может изолировать все описания.
Этапы применения
- Запишите подозрительный IP-адрес, наблюдаемый MAC-адрес и информацию о времени в двух отдельных измерениях.
- Убедитесь, что резервирование DHCP и назначенные вручную адреса не конфликтуют в одном и том же пуле.
- Сравнение журналов коммутатора, DHCP и клиента; Запланируйте изменение с ведома владельца устройства.
Практический пример
Когда камера вручную использует .50, .50 также может быть передано другому клиенту, если DHCP-сервер распределяет диапазон .20–.100. Решением является резервирование или управляемый план адресов без пула для камеры; Простой перезапуск устройства не является постоянным решением.
Правильно интерпретируйте результат
Не помечайте автоматически изменение MAC как атаку. Кластер может использовать виртуальные адреса. Раздельная регистрация результатов как подтвержденного конфликта, возможного конфликта или необъяснимого изменения облегчает последующее вмешательство.
Источник и дополнительная литература
Подробности протокола или команды: RFC 5227. Шаги и пример сценария приведены в редакционной статье IPScans.