是否可以将内部 IP 地址与交换机端口匹配？

Question

我试图在我们的内部网络上找到一台具有特定 IP 地址的计算机。我已经从 DNS 中识别出计算机名称，但在这种情况下它对我没有帮助。

只是想知道我是否能以某种方式将 IP 绑定到交换机端口，并从那里跟踪它？如果是这样，如何？

Answer 1

给定一个 IP 地址，您应该能够找到相应主机的 MAC 地址。

arp -a

在 Windows 和 Linux 上都会显示该主机的 arp 缓存，将 IP 映射到 MAC 地址。（请注意，这需要在与您要查找的机器位于同一 IP 子网的机器上运行）。

获得 MAC 地址后，登录到您怀疑恶意主机连接到的交换机，并在 MAC 地址表中搜索该地址。（MAC 地址表也称为桥接表或 CAM 表）。

例如，在基于 Cisco IOS 的交换机上，以下命令：

show mac-address-table address <MAC address>

将向您显示上次看到给定 MAC 地址的端口。如果生成的端口是到另一台交换机的链接，请登录到该交换机并再次运行该命令。重复直到你得到一个主机端口，你应该找到你的罪魁祸首。

请注意，此方法仅适用于允许查询其 MAC 地址表的管理型交换机。否则，这将是手动消除的情况；找到您知道的每个端口都不是流氓机器，直到剩下一个您无法解释的端口。祝你好运。

Answer 2

正如其他人所提到的，没有直接的方法可以确定连接到某个交换机端口的 IP。原因是以太网交换机在 OSI 模型的 L2 工作，并且通常不检查更高级别的层（第 3 层 -> IP 地址）。（在较新的硬件中有一些例外）

一个重要的注意事项，要使用 ping / ARP 技巧，您需要使用与您要搜索的设备位于同一 VLAN 或子网上的设备。否则，您将只能在 ARP 表中看到默认网关的 MAC 地址。

如果可能的话，这是我推荐的程序。

同一 VLAN 上的源和目标

1. 向您尝试定位的设备发出 ping。
2. 成功返回后，在 ARP 表中查找该设备的 MAC 地址。
3. 登录交换机本身并查看 MAC 地址表以查找在步骤 2 中找到的地址。（MAC 地址表也可以称为 CAM 表）。MAC 地址表提供 MAC 地址到交换机端口的映射。

不同 VLAN 上的源和目标

1. 从核心路由器或可疑的默认网关发出 ping。显然，如果所有路由都在同一设备上完成，则效果最佳。
2. 如果有多个 L3 接口，您可能需要“遍历”从 L3 接口到 L3 接口的网络，执行 ping/ARP 检查，直到找到用作您正在搜索的设备的默认网关的那个。
3. 找到后，您可以登录交换机并搜索 MAC 地址表以找到端口。