实例解读：用MAC地址定位目标主机(1)(2)

二、解决问题的步骤

1、既然知道视频服务器上，有两个活动的IP地址192.168.11.8和10.1.1.12，那在服务器的ARP表中，也肯定有192.168.11.0/24，和10.1.1.0/24这两个网段中的IP地址和MAC地址的对应项。所以在服务器的"命令行"中，执行"arp -a"命令。此命令是通过询问协议数据，显示当前的ARP表项。如果指定了特定的IP地址，则只显示指定计算机IP地址和物理地址的对应项。如果不止一个网络接口使用ARP，则显示每个ARP 表项。显示的结果如下所示：

C:\ >arp -a  
Interface: 10.1.1.12 --- 0x10003  
  Internet Address      Physical Address      Type  
  10.1.1.2        00-60-16-0a-b5-a3     dynamic  
Interface: 192.168.11.8 --- 0x10004  
  Internet Address      Physical Address      Type  
  192.168.11.4          04-1a-72-6a-4e-f2     dynamic  
192.168.11.254        01-80-0c-b7-a1-45     dynamic  
 

由上面显示结果可以看出，192.168.11.0网段中的IP地址和MAC地址的对应项都是正常的，这些地址都是单位的办公网中正在使用的地址。

但是显示结果中的"10.1.1.2  00-60-16-0a-b5-a3  dynamic"项，是在单位办公网中没有使用的地址。不过配置10.1.1.2地址的设备，肯定是和视频服务器的10.1.1.12/24的网卡相连接的。

为了证实10.1.1.2的IP地址是活动的，就在视频服务器的"命令行"中执行了ping 10.1.1.2的命令，得到如下的显示：

C:\Users\Administrator>ping  10.1.1.2  
正在 Ping 10.1.1.2 具有 32 字节的数据:  
来自 10.1.1.2 的回复: 字节=32 时间=1ms TTL=255 
来自 10.1.1.2 的回复: 字节=32 时间=1ms TTL=255 
来自 10.1.1.2 的回复: 字节=32 时间=1ms TTL=255 
来自 10.1.1.2 的回复: 字节=32 时间=1ms TTL=255 
10.1.1.2 的 Ping 统计信息:  
数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，  
往返行程的估计时间(以毫秒为单位):  
最短 = 1ms，最长 = 1ms，平均 = 1ms  
 

从上面的显示可以看出，10.1.1.2的IP地址也是处于活动状态的。

2、现在已经知道和视频服务器IP地址为10.1.1.12的网卡相连的设备的IP地址和MAC地址。因为从10.1.1.12网卡连接出来的网线是通过机房的地下布线的。也就是说沿着视频服务器网卡后面的网线找各个连接点是非常困难的，因为所有的网线都在地板下，而地板上还放着服务器的机柜。

所以现在已经知道了10.1.1.2的IP地址和MAC地址，那能否在办公网中找到和这两个地址相关的信息，也就是在4507交换机的ARP表和CAM表中进行查找。

因为在三层交换机中都保存有这两张表，可以通过show arp命令查找连接到三层设备的客户端或服务器的IP地址和其MAC地址的对照表。通过show mac address-table查找连接到二层设备的客户端或服务器的MAC地址和其连接到二层设备接口的对照表。也就说只要知道其中的某一个就可以知道另一个的值。也可以说三层设备维护的是ARP表，二层设备维护的是CAM表。因为三层交换机同时具备三层、二层功能，所以这两张表它都进行维护。

但是在4507中执行"Cisco4507#show arp | include 10.1.1.2"和"Cisco4507#sh mac address-table dynamic | include 0060.160a.b5a3"两条命令后，并没有任何结果显示，如下所示：

Cisco4507#sh arp | include 10.1.1.2   
Cisco4507#   
Cisco4507#sh mac address-table dynamic | include 0060.160a.b5a3  
Cisco4507#  
 

从上面的输出中可以看出，在4507的ARP表和CAM表中并没有包含"10.1.1.2"和"0060.1601.b5a3"的表项。若是在这两个表中包含某一参数的话，一般会得到和下面格式一致的输出结果：

Cisco4507#sh arp | include 192.168.2.1  
    Protocol  Address      Age (min)  Hardware Addr   Type   Interface  
    Internet  192.168.2.14     0     131d.920d.1a32   ARPA    Vlan2  
    Internet  192.168.2.1      0     1613.7868.4a9d   ARPA    Vlan2  
Cisco4507#sh mac address-table dynamic | include 1223.8916.1227  
   vlan   mac address     type       protocols           port  
    200  1223.8916.1227  dynamic        ip       GigabitEthernet3/1   

同时在4507上执行命令"Cisco4507#ping 10.1.1.2"，得到如下输出结果：

C:\Users\Administrator>ping 10.1.1.2  
 
正在 Ping 10.1.1.2 具有 32 字节的数据:  
请求超时。  
请求超时。  
请求超时。  
请求超时。  
 
10.1.1.2 的 Ping 统计信息:  
 
    数据包: 已发送 = 4，已接收 = 0，丢失 = 4 (100% 丢失)  
 

从上面的输出结果可以看出，在单位的办公网中，并没有IP地址是10.1.1.2的这个设备。