определяешь его Mac адрес, включаешь на свичах авторегистрацию mac адресов на портах. И сравниваешь где он сидит.

блокирни адрес на выходе и он сам придет или позвонит.

Ловили точно также "хулигана". Закрыл сволочь фаером все что мог, оставил тока чат. "Сидели на" центральном свиче, общались с ним по чату при этом по очереди выдергивая каждый свич. Нашли на каком он сидит, а потом точно также "сидели на" уже "его" свиче, тока при этом уже сканировали по 139 порту (кины решил позакачивать )

Самое прикольное то, что он сидел на кабеле человека, который в это время тоже был в сети   ...с другой осью, с другим маком, айпишником ну и т.д.

Как он это сделал я до сих пор не особо въезжаю, скорее всего стояла виртуальная машина (потому что шлюза тоже не было)

То есть по последовательности mac адресов (сервер, свич, порт свича) определить к какому порту на свиче он физически подключен? Я слышал что это только CISCO так могут делать (маршрут по мак адресам выстроить) оказывается и свичи такие бывают? Тогда другой вопрос: можно как нибудь обойти это? Например меняю мак адрес на сетевухе но все равно ведь подключен к одному и тому же порту на свиче, а доступа к свичу нет...