آموزش پیدا کردن دستگاه‌های ناشناس در شبکه با میکروتیک

گاهی وارد تنظیمات روتر میکروتیک می‌شوید و با چند آدرس آی‌پی یا مک آدرس روبه‌رو می‌شوید که نمی‌دانید متعلق به چه دستگاهی هستند. ممکن است یک موبایل، لپ‌تاپ، دوربین مداربسته، پرینتر، اکسس پوینت یا حتی دستگاهی باشد که بدون اطلاع شما به شبکه متصل شده است.

خوشبختانه در سیستم‌عامل RouterOS چند ابزار مختلف برای شناسایی تجهیزات شبکه وجود دارد. با استفاده از بخش‌های DHCP، جدول ARP و اطلاعات Bridge می‌توان از یک آدرس آی‌پی ناشناس شروع کرد و مرحله‌به‌مرحله به مک آدرس، پورت اتصال و در نهایت دستگاه موردنظر رسید.

در این مقاله یاد می‌گیریم چگونه دستگاه‌های متصل به شبکه را در میکروتیک مشاهده کنیم و اگر یک دستگاه ناشناس پیدا کردیم، چطور آن را شناسایی کنیم.

برای پیدا کردن دستگاه ناشناس به چه اطلاعاتی نیاز داریم؟

برای شناسایی تجهیزات شبکه معمولاً سه اطلاعات اهمیت زیادی دارند:

آدرس آی‌پی: آدرسی که دستگاه در شبکه دریافت کرده است.

مک آدرس: شناسه مربوط به رابط شبکه دستگاه است.

پورت یا رابط اتصال: مشخص می‌کند میکروتیک دستگاه را از کدام بخش شبکه مشاهده کرده است.

اگر فقط آدرس آی‌پی را داشته باشیم، اطلاعات ما محدود است. اما وقتی آی‌پی، مک آدرس و پورت اتصال را کنار یکدیگر قرار دهیم، پیدا کردن دستگاه بسیار ساده‌تر می‌شود.

برای مثال ممکن است متوجه شویم دستگاهی با آدرس 192.168.88.57 دارای یک مک آدرس مشخص است و روتر آن را از طریق پورت چهارم مشاهده می‌کند.

حالا به‌جای یک آی‌پی ناشناس، یک مسیر مشخص برای پیدا کردن دستگاه داریم.

روش اول؛ مشاهده دستگاه‌های متصل از بخش DHCP

یکی از ساده‌ترین نقاط برای شروع، مشاهده فهرست دستگاه‌هایی است که از سرور DHCP میکروتیک آدرس دریافت کرده‌اند.

در وین‌باکس وارد بخش آی‌پی شوید، قسمت DHCP Server را باز کنید و سپس وارد بخش Leases شوید.

در این قسمت معمولاً می‌توانید اطلاعاتی مانند آدرس آی‌پی، مک آدرس و وضعیت آدرس اختصاص داده‌شده را مشاهده کنید.

در بعضی دستگاه‌ها اطلاعاتی مانند نام میزبان یا همان Host Name نیز نمایش داده می‌شود.

این نام می‌تواند سرنخ خوبی برای شناسایی دستگاه باشد.

برای مثال ممکن است از روی نام متوجه شوید دستگاه یک لپ‌تاپ، موبایل یا تجهیز مشخصی در شبکه است.

البته نباید فقط به نام دستگاه اعتماد کنید، زیرا این نام قابل تغییر است و بعضی تجهیزات نیز اطلاعات مفیدی در این قسمت ارسال نمی‌کنند.

آیا بخش DHCP تمام دستگاه‌های شبکه را نشان می‌دهد؟

خیر.

این یکی از نکات مهم هنگام بررسی تجهیزات شبکه است.

بخش Leases بیشتر برای مشاهده دستگاه‌هایی مفید است که از سرور DHCP آدرس دریافت کرده‌اند.

اگر یک دستگاه دارای آی‌پی ثابت باشد و آدرس آن به‌صورت دستی تنظیم شده باشد، ممکن است آن را در فهرست معمول DHCP مشاهده نکنید.

همچنین در شبکه‌های بزرگ‌تر ممکن است چند شبکه مجازی، چند محدوده آی‌پی یا حتی چند سرور DHCP وجود داشته باشد.

بنابراین اگر دستگاهی در این قسمت دیده نمی‌شود، نمی‌توان نتیجه گرفت که در شبکه حضور ندارد.

برای بررسی دقیق‌تر باید سراغ جدول ARP برویم.

روش دوم؛ پیدا کردن دستگاه ناشناس با جدول ARP

جدول ARP یکی از مهم‌ترین قسمت‌هایی است که هنگام پیدا کردن تجهیزات شبکه باید بررسی کنید.

در وین‌باکس وارد بخش آی‌پی شوید و قسمت ARP را باز کنید.

در این جدول می‌توانید ارتباط میان آدرس‌های آی‌پی و مک آدرس‌هایی را که روتر شناخته است مشاهده کنید.

برای مثال ممکن است دستگاهی با آدرس آی‌پی 192.168.88.57 پیدا کنید و در مقابل آن مک آدرس دستگاه نمایش داده شود.

این اطلاعات بسیار مهم است، زیرا حالا می‌توانید جست‌وجوی خود را براساس مک آدرس ادامه دهید.

تفاوت بخش DHCP با جدول ARP چیست؟

این دو قسمت کاربرد یکسانی ندارند.

بخش DHCP مربوط به تخصیص آدرس آی‌پی به دستگاه‌ها است.

اما جدول ARP ارتباط میان آدرس آی‌پی و مک آدرس را در شبکه IPv4 نگهداری و نمایش می‌دهد.

به همین دلیل ممکن است دستگاهی در جدول ARP وجود داشته باشد اما در فهرست Leases دیده نشود.

این حالت مخصوصاً زمانی اهمیت پیدا می‌کند که دستگاه دارای آدرس آی‌پی ثابت باشد.

پس اگر دستگاه موردنظر را در DHCP پیدا نکردید، جدول ARP یکی از اولین قسمت‌هایی است که باید بررسی کنید.

آیا وجود یک دستگاه در جدول ARP یعنی همین الان متصل است؟

نه همیشه.

وجود یک رکورد در جدول ARP به تنهایی تضمین نمی‌کند که دستگاه دقیقاً در همان لحظه فعال باشد.

وضعیت رکورد و ارتباط فعلی دستگاه نیز باید بررسی شود.

برای اطمینان بیشتر می‌توانید از ابزار پینگ استفاده کنید و آدرس آی‌پی موردنظر را آزمایش کنید.

اگر دستگاه پاسخ دهد، مشخص می‌شود در آن لحظه ارتباط آی‌پی با آن برقرار است.

اما اگر پاسخ دریافت نکردید نیز نباید فوراً نتیجه بگیرید دستگاه خاموش است.

ممکن است فایروال دستگاه پاسخ به پینگ را مسدود کرده باشد.

روش سوم؛ پیدا کردن پورت دستگاه با Bridge Hosts

حالا فرض کنیم آدرس آی‌پی دستگاه ناشناس را پیدا کرده‌ایم و از طریق جدول ARP مک آدرس آن را نیز می‌دانیم.

مرحله بعدی این است که بفهمیم دستگاه از کدام قسمت شبکه وارد شده است.

در وین‌باکس وارد بخش Bridge شوید و قسمت Hosts را باز کنید.

در این قسمت می‌توانید مک آدرس‌هایی را مشاهده کنید که Bridge میکروتیک از طریق پورت‌های مختلف یاد گرفته است.

مک آدرس دستگاه ناشناس را در این جدول پیدا کنید.

اگر دستگاه مستقیماً یا از طریق ساختار لایه دوم قابل مشاهده باشد، می‌توانید Interface مرتبط با آن را ببینید.

اینجاست که معمای دستگاه ناشناس کم‌کم شروع به حل شدن می‌کند.

چگونه از روی پورت دستگاه را پیدا کنیم؟

فرض کنید در جدول Bridge مشاهده می‌کنید مک آدرس دستگاه ناشناس از طریق پورت چهارم روتر دیده شده است.

حالا باید بررسی کنید پورت چهارم به چه چیزی متصل است.

اگر کابل این پورت مستقیماً به یک کامپیوتر متصل باشد، احتمالاً دستگاه را پیدا کرده‌اید.

اما اگر پورت به یک سوئیچ متصل باشد، دستگاه ممکن است پشت آن سوئیچ قرار داشته باشد.

در این حالت باید بررسی را روی سوئیچ بعدی ادامه دهید.

اگر سوئیچ مدیریتی باشد، می‌توانید جدول مک آدرس آن را نیز بررسی کنید و ببینید همان مک از کدام پورت سوئیچ دیده می‌شود.

با ادامه این مسیر می‌توان به پورت فیزیکی دستگاه رسید.

چرا چند مک آدرس روی یک پورت دیده می‌شود؟

مشاهده چند مک آدرس روی یک Interface الزاماً نشانه مشکل نیست.

فرض کنید پورت پنجم روتر میکروتیک به یک سوئیچ ۲۴ پورت متصل است.

پشت آن سوئیچ ممکن است چندین کامپیوتر، پرینتر و تلفن تحت شبکه وجود داشته باشد.

در این حالت روتر می‌تواند تعداد زیادی مک آدرس را از طریق همان پورت پنجم مشاهده کند.

بنابراین وقتی چندین دستگاه روی یک پورت دیده می‌شوند، ابتدا بررسی کنید آیا آن پورت Uplink شبکه است یا خیر.

روش چهارم؛ استفاده از بخش Neighbors

یکی دیگر از ابزارهای مفید میکروتیک برای شناسایی تجهیزات شبکه، بخش Neighbors است.

این قسمت می‌تواند برخی تجهیزات موجود در شبکه محلی را با استفاده از پروتکل‌های کشف همسایه شناسایی کند.

در شرایط مناسب ممکن است اطلاعاتی مانند آدرس آی‌پی، مک آدرس، نام دستگاه، رابط اتصال و اطلاعات سیستم‌عامل را مشاهده کنید.

این قابلیت مخصوصاً هنگام پیدا کردن سایر تجهیزات میکروتیک در شبکه بسیار کاربردی است.

اما یک نکته مهم وجود دارد.

بخش Neighbors قرار نیست تمام موبایل‌ها، لپ‌تاپ‌ها، دوربین‌ها و تجهیزات شبکه را به شما نشان دهد.

بنابراین از آن به‌عنوان ابزار کمکی استفاده کنید، نه فهرست کامل دستگاه‌های شبکه.

روش پنجم؛ بررسی دستگاه با ابزار Ping

بعد از پیدا کردن یک آدرس آی‌پی ناشناس می‌توانید با ابزار Ping وضعیت دسترسی به آن را بررسی کنید.

در وین‌باکس وارد بخش Tools شوید و ابزار Ping را اجرا کنید.

سپس آدرس آی‌پی دستگاه موردنظر را وارد کنید.

اگر پاسخ دریافت شود، ارتباط شبکه‌ای با دستگاه برقرار است.

این آزمایش برای بررسی سریع وضعیت دستگاه بسیار مفید است.

با این حال پاسخ ندادن به Ping الزاماً به معنی خاموش بودن دستگاه نیست، زیرا ممکن است پاسخ‌های ICMP توسط فایروال یا تنظیمات خود دستگاه مسدود شده باشند.

چگونه بفهمیم مک آدرس متعلق به چه دستگاهی است؟

بخش ابتدایی بسیاری از مک آدرس‌ها می‌تواند اطلاعاتی درباره سازنده رابط شبکه در اختیار شما قرار دهد.

با بررسی سازنده مک آدرس می‌توان سرنخ‌هایی درباره دستگاه پیدا کرد.

برای مثال ممکن است متوجه شوید رابط شبکه توسط یک تولیدکننده تجهیزات شبکه یا سازنده مشخصی ثبت شده است.

اما این روش نیز قطعی نیست.

ممکن است یک شرکت، ماژول شبکه مورد استفاده شرکت دیگری را در محصول خود استفاده کرده باشد.

بنابراین شناسایی Vendor بیشتر یک سرنخ است تا مدرک قطعی برای تشخیص نوع دستگاه.

چرا مک آدرس موبایل با چیزی که انتظار داریم فرق دارد؟

این مورد مخصوصاً در شبکه‌های Wi-Fi زیاد دیده می‌شود.

بسیاری از گوشی‌های جدید برای افزایش حریم خصوصی از قابلیت آدرس خصوصی یا همان Private MAC استفاده می‌کنند.

در این حالت گوشی ممکن است هنگام اتصال به شبکه بی‌سیم از مک آدرسی متفاوت با آدرس سخت‌افزاری اصلی خود استفاده کند.

بنابراین اگر یک مک آدرس ناشناس در شبکه دیدید، قبل از اینکه تصور کنید فرد ناشناسی وارد شبکه شده است، موبایل‌ها و تبلت‌های خودتان را نیز بررسی کنید.

ممکن است همان گوشی روی میزتان باشد که با یک هویت شبکه‌ای متفاوت ظاهر شده است.

یک مثال عملی برای پیدا کردن دستگاه ناشناس

فرض کنیم هنگام بررسی شبکه با آدرس زیر روبه‌رو شده‌ایم:

آدرس آی‌پی دستگاه: 192.168.88.57

نمی‌دانیم این دستگاه چیست.

ابتدا وارد بخش DHCP می‌شویم و قسمت Leases را بررسی می‌کنیم.

اگر آدرس موردنظر وجود داشته باشد، مک آدرس آن را یادداشت می‌کنیم.

اگر دستگاه در این قسمت نبود، جدول ARP را بررسی می‌کنیم.

فرض کنیم از طریق ARP مک آدرس دستگاه را پیدا کردیم.

حالا وارد بخش Bridge و سپس Hosts می‌شویم.

مک آدرس را پیدا می‌کنیم و مشاهده می‌کنیم دستگاه از طریق پورت سوم دیده شده است.

در مرحله بعد بررسی می‌کنیم پورت سوم روتر به کجا متصل شده است.

اگر پورت سوم به یک اکسس پوینت متصل باشد، احتمال زیادی وجود دارد که دستگاه موردنظر یکی از کاربران بی‌سیم باشد.

در این حالت وارد پنل مدیریت اکسس پوینت می‌شویم و Clientهای متصل را بررسی می‌کنیم.

اگر پورت سوم به یک سوئیچ متصل باشد، جست‌وجو را در سوئیچ ادامه می‌دهیم.

به این ترتیب از یک آی‌پی ناشناس به محل واقعی دستگاه نزدیک می‌شویم.

چگونه دستگاه ناشناس متصل به وای‌فای را پیدا کنیم؟

اگر خود روتر میکروتیک وظیفه شبکه بی‌سیم را برعهده داشته باشد، اطلاعات Clientهای وایرلس نیز می‌تواند برای شناسایی دستگاه‌ها استفاده شود.

اما محل و ساختار این اطلاعات به نوع دستگاه، نسخه RouterOS و بسته وایرلس مورد استفاده بستگی دارد.

اگر شبکه بی‌سیم شما توسط اکسس پوینت دیگری مانند تجهیزات UniFi مدیریت می‌شود، باید اطلاعات Clientهای بی‌سیم را از همان اکسس پوینت یا Controller بررسی کنید.

در چنین شرایطی میکروتیک ممکن است IP و MAC دستگاه را ببیند، اما جزئیات اتصال Wi-Fi در اکسس پوینت قرار دارد.

چگونه مصرف اینترنت دستگاه ناشناس را بررسی کنیم؟

بعد از پیدا کردن IP یا مسیر دستگاه می‌توان سراغ بررسی ترافیک رفت.

یکی از ابزارهای کاربردی RouterOS برای مشاهده ترافیک لحظه‌ای، Torch است.

این ابزار می‌تواند ترافیک عبوری از یک Interface را نمایش دهد و اطلاعاتی درباره مبدأ، مقصد، پروتکل و حجم ترافیک در اختیار شما قرار دهد.

اگر روی یک Interface تعداد زیادی کاربر وجود دارد، بهتر است از فیلتر مناسب استفاده کنید تا حجم اطلاعات قابل مدیریت باشد.

Torch بیشتر برای عیب‌یابی و بررسی لحظه‌ای مفید است و نباید آن را با یک سامانه کامل مانیتورینگ بلندمدت اشتباه گرفت.

اگر دستگاه دارای آی‌پی ثابت باشد چه کنیم؟

این سناریو یکی از دلایلی است که نباید فقط به DHCP Leases تکیه کنیم.

اگر دستگاه IP خود را به‌صورت دستی تنظیم کرده باشد، ممکن است در لیست DHCP ظاهر نشود.

ابتدا جدول ARP را بررسی کنید.

بعد از پیدا کردن مک آدرس، سراغ Bridge Hosts بروید.

اگر مک آدرس در جدول Bridge دیده شود، می‌توانید Interface مربوط به آن را پیدا کنید.

اگر Interface به یک سوئیچ مدیریتی متصل است، جست‌وجوی همان مک آدرس را در سوئیچ ادامه دهید.

با این روش حتی دستگاهی که از DHCP استفاده نمی‌کند نیز در بسیاری از شبکه‌ها قابل ردیابی است.

آیا می‌توان دستگاه ناشناس را فوراً مسدود کرد؟

از نظر فنی میکروتیک امکانات زیادی برای محدود کردن دسترسی تجهیزات دارد، اما بهتر است قبل از مسدود کردن دستگاه مطمئن شوید واقعاً ناشناس یا غیرمجاز است.

ممکن است دستگاه موردنظر یک دوربین مداربسته، پرینتر، تلفن تحت شبکه، دستگاه حضور و غیاب یا تجهیز هوشمندی باشد که قبلاً نصب شده و فراموش شده است.

قطع کردن چنین دستگاهی ممکن است سرویس مهم دیگری را مختل کند.

قاعده مناسب این است:

ابتدا شناسایی کنید، سپس محدود کنید.

اگر دستگاه واقعاً غیرمجاز بود چه کنیم؟

اگر مطمئن شدید دستگاه نباید در شبکه حضور داشته باشد، بهتر است فقط همان IP را مسدود نکنید.

آدرس IP قابل تغییر است.

اگر دستگاه از طریق Wi-Fi وارد شبکه شده، امنیت شبکه بی‌سیم را بررسی کنید.

رمز عبور Wi-Fi، نوع رمزنگاری، کاربران مجاز و تنظیمات اکسس پوینت را کنترل کنید.

اگر احتمال می‌دهید رمز شبکه در اختیار افراد غیرمجاز قرار گرفته است، بهتر است رمز را تغییر دهید و تجهیزات مجاز را دوباره بررسی کنید.

اگر دستگاه از طریق کابل وارد شبکه شده است، باید پورت فیزیکی و سوئیچی که دستگاه از آن وارد شده نیز مشخص شود.

هدف فقط قطع یک دستگاه نیست؛ باید بفهمیم دستگاه چگونه وارد شبکه شده است.

آیا مسدود کردن مک آدرس امنیت کافی ایجاد می‌کند؟

خیر.

محدود کردن MAC می‌تواند بخشی از مدیریت شبکه باشد، اما نباید آن را یک مکانیزم امنیتی کامل در نظر گرفت.

مک آدرس در برخی شرایط قابل تغییر یا جعل است.

برای شبکه‌های مهم بهتر است از چند لایه امنیتی استفاده شود.

فایروال مناسب، تفکیک شبکه، شبکه‌های مجازی، امنیت Wi-Fi، مدیریت کاربران و محدود کردن دسترسی مدیریتی روتر همگی اهمیت دارند.

برای تجهیزات مهم از آدرس‌دهی منظم استفاده کنید

یکی از بهترین روش‌ها برای ساده‌تر کردن مدیریت شبکه، مشخص کردن تجهیزات ثابت است.

برای مثال می‌توانید برای تجهیزاتی مانند دوربین، پرینتر، سرور، اکسس پوینت، دستگاه ضبط تصاویر و تلفن تحت شبکه ساختار مشخصی داشته باشید.

استفاده از Static Lease برای تجهیزات ثابت می‌تواند مدیریت شبکه را بسیار ساده‌تر کند.

در این حالت وقتی دستگاه جدیدی وارد شبکه شود، تشخیص آن نیز راحت‌تر خواهد بود.

روی دستگاه‌ها توضیح ثبت کنید

یکی از ساده‌ترین ولی مفیدترین کارها در مدیریت MikroTik استفاده از Comment است.

به‌جای اینکه چند ماه بعد با یک لیست طولانی از IP و MAC روبه‌رو شوید، برای تجهیزات مهم توضیح بنویسید.

برای مثال:

پرینتر واحد حسابداری

اکسس پوینت طبقه دوم

دوربین ورودی ساختمان

سیستم مدیر شبکه

این توضیحات ساده در شبکه‌های بزرگ ارزش زیادی پیدا می‌کنند.

همین کار را برای Interfaceهای میکروتیک نیز انجام دهید.

نامی که مشخص کند یک پورت به کجا متصل است بسیار بهتر از این است که چند ماه بعد مجبور شوید کابل پورت پنجم را دنبال کنید.

روش پیشنهادی برای پیدا کردن دستگاه ناشناس

اگر یک IP ناشناس در شبکه مشاهده کردید، بهتر است بررسی را به این ترتیب انجام دهید:

مرحله اول: بخش DHCP را بررسی کنید.

مرحله دوم: مک آدرس دستگاه را پیدا کنید.

مرحله سوم: جدول ARP را بررسی کنید.

مرحله چهارم: مک آدرس را در Bridge Hosts جست‌وجو کنید.

مرحله پنجم: Interface یا پورت مرتبط را پیدا کنید.

مرحله ششم: سوئیچ یا اکسس پوینت متصل به آن پورت را بررسی کنید.

مرحله هفتم: در صورت نیاز ترافیک دستگاه را بررسی کنید.

با این روش به‌جای حدس زدن، مسیر دستگاه را مرحله‌به‌مرحله دنبال می‌کنید.

اشتباهات رایج هنگام شناسایی دستگاه‌های شبکه

یکی از رایج‌ترین اشتباهات این است که مدیر شبکه فقط DHCP Leases را بررسی کند و تصور کند تمام دستگاه‌های شبکه باید در آنجا باشند.

دستگاه دارای IP ثابت می‌تواند خارج از این فهرست باشد.

اشتباه دیگر این است که هر مک آدرس ناشناسی را نشانه نفوذ بدانیم.

قابلیت Private MAC در موبایل‌ها می‌تواند باعث ایجاد چنین آدرس‌هایی شود.

همچنین نباید یک IP را هویت دائمی دستگاه بدانیم.

IP ممکن است تغییر کند.

برای شناسایی بهتر باید اطلاعات DHCP، جدول ARP، مک آدرس، Bridge و ساختار فیزیکی شبکه را کنار هم قرار دهید.

سوالات متداول درباره دستگاه‌های متصل به میکروتیک

چگونه دستگاه‌های متصل به میکروتیک را ببینیم؟

برای شروع می‌توانید بخش DHCP Leases، جدول ARP و Bridge Hosts را بررسی کنید. بخش Neighbors نیز برای شناسایی برخی تجهیزات شبکه مفید است.

چگونه بفهمیم یک IP متعلق به چه دستگاهی است؟

ابتدا مک آدرس مرتبط با IP را از DHCP یا جدول ARP پیدا کنید. سپس مک آدرس را در Bridge Hosts بررسی کنید تا Interface مرتبط مشخص شود.

چرا یک دستگاه در DHCP دیده نمی‌شود؟

ممکن است دستگاه از IP ثابت استفاده کند یا آدرس خود را از DHCP Server دیگری دریافت کرده باشد.

چگونه بفهمیم دستگاه به کدام پورت میکروتیک متصل است؟

مک آدرس دستگاه را در Bridge Hosts پیدا کنید. در بسیاری از سناریوها Interface مربوط به آن MAC مشخص می‌شود.

چرا چند دستگاه از یک پورت دیده می‌شوند؟

احتمال دارد آن پورت به یک سوئیچ، اکسس پوینت یا بخش دیگری از شبکه متصل باشد و چندین دستگاه پشت آن قرار گرفته باشند.

آیا می‌توان دستگاه ناشناس را از شبکه قطع کرد؟

بله، RouterOS امکانات مختلفی برای محدود کردن دسترسی دارد، اما بهتر است ابتدا هویت دستگاه و مسیر ورود آن به شبکه مشخص شود.

چرا مک آدرس موبایل من تغییر می‌کند؟

بسیاری از موبایل‌های جدید برای افزایش حریم خصوصی از قابلیت Private MAC استفاده می‌کنند و ممکن است برای شبکه Wi-Fi از یک مک آدرس متفاوت استفاده کنند.

جمع‌بندی

برای پیدا کردن دستگاه‌های ناشناس در شبکه با میکروتیک بهتر است فقط به یک بخش RouterOS تکیه نکنید.

ابتدا DHCP Leases را بررسی کنید تا دستگاه‌هایی که از روتر IP گرفته‌اند مشخص شوند.

بعد از آن جدول ARP می‌تواند ارتباط میان IP و MAC را نشان دهد.

با استفاده از Bridge Hosts نیز می‌توان در بسیاری از شبکه‌ها مشخص کرد یک مک آدرس از طریق کدام Interface دیده شده است.

اگر پورت به سوئیچ یا اکسس پوینت دیگری متصل باشد، جست‌وجو را در همان تجهیز ادامه می‌دهیم تا در نهایت به دستگاه واقعی برسیم.

ترکیب این ابزارها باعث می‌شود از یک IP ناشناس شروع کنیم و مرحله‌به‌مرحله به مک آدرس، پورت اتصال و محل دستگاه برسیم.

در کنار این کار، مستندسازی تجهیزات، استفاده از Comment و مشخص کردن IP تجهیزات ثابت باعث می‌شود مدیریت شبکه در آینده بسیار ساده‌تر شود.