我有一个设备——我认为是一台旧打印机——它出现在我的流量中。它来自退役的子网 (100.100.100.0/24)。它正在通过我的一个网络点击并触发警报。水龙头位于我的主要用户交换机和提供服务器和互联网访问的交换机之间的链接上。交换机是 Cisco 3750X。
通常我只是运行 a sh arpandsh mac address-table来识别有问题的设备的端口，但我在这里没有看到任何条目。
我已经尝试将旧网关添加回默认 vlan - 它之前是如何配置的 - 并执行 ping 扫描。我还尝试将静态 IP 分配给测试 VM，并针对该 IP 执行端口扫描，遍历我们定义的各种 VLAN。
如何隔离此设备连接到的端口？我没主意了。
编辑：
我知道需要最近的流量来查看 arp 缓存是有用的，以及如何通过多个交换机跟踪它。我一直在考虑数据包捕获，但我没有现成的方法来实现。我没有备用的 10 gig 光纤接口和抽头，我不能让我的监控离线足够长的时间来重现它自己。
回到 arp 来定位问题。我遇到的最大问题是“从同一子网ping”的想法。这正是我想要做的。我有一个分配了 100.100.100.100 的虚拟机，带有ping -t 100.100.100.101. 我正在通过设备可能所在的各种 VLAN 移动它，并使用sh arp | include 100.100.100. 我从来没有看到一个完整的地址返回。