Как найти список устройств, подключенных к моей сети (IP-адреса и MAC-адреса)

9

Я пытаюсь получить список устройств, которые подключены к моему коммутатору Cisco (Catalyst 2960). Желательно через SNMP. Вот что я уже сделал:

Мне удалось получить таблицу ARP с коммутатора (через OMP-ходунки SNMP 1.3.6.1.2.1.4.22.1.2на коммутаторе). Однако это не отражает «живой» набор IP-адресов, поскольку ARP не обновляется, когда устройства отключаются. Другими словами, когда я перезагружаю устройство, и оно получает новый IP-адрес (динамический), я получаю старый IP-адрес, также указанный в моей таблице ARP, даже если этот IP-адрес в данный момент отсутствует в сети.

Могу ли я найти этот «живой» список через коммутатор, предпочтительно избегая таблицы ARP?

PS Я не могу постоянно пинговать устройства, чтобы определить их состояние, я работаю в условиях очень низкой пропускной способности.

cisco cisco-catalyst ipv4 snmp mac-address Эй Джей
источник
Вам помог какой-нибудь ответ? если это так, вы должны принять ответ, чтобы вопрос не появлялся вечно, ища ответ. Кроме того, вы можете предоставить и принять свой собственный ответ.
Рон Мопин

Ответы:

6

Является ли широковещательный пинг в подсеть от SVI на коммутаторе (который имеет низкую пропускную способность), и использование show mac address-table dynamicвне вопроса?

some-switch#show mac address-table dynamic
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    000f.257b.ba3b    DYNAMIC     Gi1/0/49
   1    0011.254f.a5be    DYNAMIC     Gi1/0/49
  56    0000.0c57.aa00    DYNAMIC     Gi1/0/49
  56    0004.0ff4.8cf4    DYNAMIC     Gi1/0/49
  56    0004.0af4.c8fb    DYNAMIC     Gi1/0/5

На этом этапе используйте таблицу ARP для сопоставления с mac-адреса на IP-адрес.

Делать это с помощью SNMP возможно, но несколько болезненно, если вам нужно знать, на каком порту находится каждый mac-адрес ... используйте dot1dTpFdbAddress для захвата mac-адресов, dot1dBasePortIfIndex для сопоставления с интерфейсом, ifIndexа затем ifNameдля сопоставления с ifIndexименем, которое вы ' узнаю.

Майк Пеннингтон
источник
Не могли бы вы подробнее рассказать о первом решении? Как я могу это сделать? ... Кроме того, dot1dTpFdbAddress и dot1dBasePortIfIndex ничего не возвращают: /
AJ J.
1
Я предполагаю, что вы знаете, как показать таблицу MAC-адресов из CLI ... относительно пинга, если ваша подсеть - 172.16.1.0/24это широковещательный пинг для этой подсети ping 172.16.1.255... относительно snmp, я сказал, что это больно :-). .. ты уверен, что опросил snmpbulkwalk -v 2c -m BRIDGE-MIB -c <snmp-community>@<vlan> <host-address> dot1dTpFdbAddress? Другими словами, если ваше сообщество "PUBLIC" и вы опрашиваете Vlan 501, опросите BRIDGE-MIB с сообществом "PUBLIC @ 501"
Майк Пеннингтон,
Примечание. Любое удаленно защищенное устройство не будет отвечать на широковещательный пинг.
Рикки Бим
@ RickyBeam, поэтому я сказал, что ему нужно сделать это с коммутатора с подключенным SVI ... Я также понимаю, что Windows не отвечает на пинги по умолчанию ... так что это лучше, чем ничего, но по общему признанию, не на 100% решение ... мы имеем дело с некоторыми неоптимальными ограничениями в этой проблеме
Майк Пеннингтон
1
@AJJ. По умолчанию таблица mac-address имеет пятиминутное время кеширования, были ли эти устройства отключены менее чем за пять минут? Если вам нужна информация в реальном времени, вам нужно проверить ifOperStatus, что означает запутанное упражнение по сопоставлению значений MIB, которое я упомянул в своем ответе. Если все эти машины используют DHCP, вы можете рассмотреть DHCP snooping, как предложено в GeneralNetworkError ниже
Майк Пеннингтон,
4

DHCP Snooping для IP-адресов L3 и MAC-адресов L2, если вы хотите просто идентифицировать своих клиентов, используя динамические адреса. Это используется для обеспечения безопасности, чтобы блокировать мошеннические DHCP-серверы и разрешать прием пакетов только на портах коммутатора с действительными адресами DHCP, которые были предложены и запрошены (т. Е. Фактически используются).

Включите dhcp snooping глобально для ваших VLAN, которые вы хотите наблюдать

ip dhcp snooping vlan 10,20,30,40,50
нет опции ip dhcp snooping
no ip dhcp snooping проверить mac-адрес
ip dhcp snooping

Убедитесь, что идентифицировали ваши доверенные интерфейсы, за которыми стоят ваши DHCP-серверы, используя:

интерфейс XY / Z
 ip dhcp snooping trust

Пример таблицы привязок IP-MAC-адресов:

s-oc2-3h-s1 # sh ip dhcp snooping привязка
MacAddress IpAddress Lease (sec) Тип VLAN Интерфейс
------------------ --------------- ---------- ------- ------ ---- --------------------
B4: B5: 2F: DB: 85: C6 172.17.3.29 254427 dhcp-snooping 30 FastEthernet1 / 0/30
3C: 07: 54: 3F: 91: CB 172.17.3.26 224542 dhcp-snooping 30 FastEthernet2 / 0/42
6C: 62: 6D: 77: 95: 1A 172.17.3.37 256986 dhcp-snooping 30 FastEthernet1 / 0/17
B4: B5: 2F: 2D: 27: 37 172.17.3.22 149352 dhcp-snooping 30 FastEthernet2 / 0/30
B4: B5: 2F: DB: 85: C2 172.17.3.18 207629 dhcp-snooping 30 FastEthernet1 / 0/16
...

См. CiscoDhcpSnoopingMIB для доступа SNMP к этим объектам. OID 1.3.6.1.4.1.9.9.380

generalnetworkerror
источник
1

Если IP-адреса динамические, то для получения пар mac-ip у вас должны быть логи dhcp. тогда с помощью SNMP вы можете попытаться понять, какие у вас устройства. но имейте в виду, что вам необходимо настроить и разрешить snmp со своей станции. Если вы говорите о компьютерах с Windows, тогда проще использовать powershell для сбора информации о рабочих станциях. Вы также можете попробовать использовать nmap для сканирования всей подсети и получения дополнительной информации о ее обитателях.

Римляне фомичевых
источник
Как я могу получить журналы DHCP?
AJ J.
это зависит от вашего поставщика dhcp-сервера ...
Romans Fomicevs
0

Это, вероятно, нарушит ваши требования к пропускной способности, но вы можете использовать snmp discovery sw как «чувак». Вам необходимо настроить сообщества и частные vlans соответствующим образом, чтобы трафик snmp возвращался на сервер. Если вы заинтересованы в этом решении, я мог бы дать вам более подробную информацию о требуемых настройках vlans и sw.

Максимум
источник
Я думаю, что "чувак" просто исправил некоторые опечатки в вашем посте: -) ... Это часто случается со мной, когда я пишу с моего HTC ... Вы пользовались мобильным телефоном?
Майк Пеннингтон