В локалке домашней сети такое начало твориться. Со сменой IP вроде научились бороться - привязываем все маки с помощью arp -f, при этом неиспользуемые IP прописываются на фиктивные маки - а'ля 30:30:3a:30:30:3a - слезть со своего IP, не меняя мак адрес карты пользователь не может. Конечно arp spoofing возможен, но уже не для сервера. Но похоже начали запускать прогу, меняющую одновременно MAC и IP. Пока их видно только поскольку прописывают совершенно левые, незарегистрированные маки, но когда начнут прописывать "официальные" сочетания MAC-IP, то для меня станет вообще все прозрачно - работает "законный" пользователь. Но пока идет тупое баловство - появление случайных маков, то как узнать кто этим занимается, не бегая по хабам в под'ездах?
Поскольку в таких ситуациях мас и IP уже никак не ассоциируются с машиной, то к чему здесь можно еще привязаться, чтобы более-менее однозначно идентифицировать машину клиента? Существуют ли сканеры портов, вытаскивающие инфу о workgroup/username, какие порты открыты, какие нет, что бы по каждой машине в сети иметь некое представление, отличая ее от другой. Понятно, что это не 100% достоверность, но хоть что-то, а не то уже полный беспредел начинается.
