パケットキャプチャでIPの競合を見つける方法

ネットワーク内にIPアドレスが競合しているパソコンがある可能性があるので、見つけたいと思っています。

LAN内の機器はすべてDHCPサーバからIPアドレスを取得するはずなのですが、パソコンがIPアドレスの競合を検知し、DHCPサーバにDECLINEメッセージを返してしまうことがあります。

対象のネットワークが遠隔地であり、監視に使えるような機器も存在しません。
そのため現地のユーザのパソコンにパケットキャプチャなどのツールをインストールし、DHCP関連のパケットをキャプチャして調査したいと考えています。
競合がいつ発生するかわからず、かつパソコンは現地でユーザ業務に使用しているため
IPアドレスの取得時に自動でパケットキャプチャをバックグラウンド起動してキャプチャしたいと考えているのですが、有効なツールや方法はありますでしょうか？

No.3 ベストアンサー 回答者： jaham 回答日時： 2013/01/30 10:04

ネットワーク直結ならいろいろ方法はありますが

ネットワーク越しでは　特別な機器が設置できないならば　DHCPサーバにアクセスして　その配布実績を確認する程度です

DHCPサーバの配布テーブルを見れば　IPアドレスMACアドレスがわかります
MACアドレス上位半分はベンダコードですからNICのメーカがわかります

定期的に確認して　IPアドレスとMACアドレスの対応がおかしいものが無いかどうかを確認するのが良いでしょう
それを補完してルータのarpテーブルを確認です

DHCPサーバがダブルブッキングする可能性はほとんど無いので　固定アドレスが使用されている可能性が高いです

就業後や始業前にDHCPサーバをリセットするのも参考となる情報が得られると思います

パケットキャプチャは労多くして益少なしです

この回答への補足

ルータとDHCPサーバは業者からレンタルしており、こちらからtelnetしたりログをみたりは出来ない状況です。
現地ユーザのPCにパケットキャプチャを突っ込むしか手がない気がしています。

補足日時：2013/01/30 22:01

この回答へのお礼

ご回答ありがとうございます。

お礼日時：2013/01/30 22:10

No.4 回答者： jaham 回答日時： 2013/01/30 17:08

pingを打てば両方から応答が云々の回答がありましたが、networkを中途半端な理解だからです　そううまくはいきません

ping　を打つ　arp　でIPアドレスをブロードキャストする　
該当装置のNIC　が　IPアドレスとMACアドレスを回答する
そのMACアドレス宛に　pingを送る
該当装置が　pingの応答を返す

ネットワーク越えの場合には、ゲートウェイのNIC　が　IPアドレスとMACアドレスを回答する　になります

二つのNICから　同一IPの応答があれば　最初の応答を採用

arpテーブルは十数秒～数百秒で消去されます

以上から

DHCPサーバ、ゲートウェイとなっているルータの　arpテーブルを定期的に（数十秒～数分、もっと間隔が長くても良いこともある)監視し、同一サブネット内で　IPアドレスが同じでMACアドレスが異なるものが検出されないかを調べる　のが　特別なハードソフトを使用せずに調査できる方法です
ルータをリモート設定できるようにしておけば、現地に行かなくても調査できます

この回答への補足

ルータとDHCPサーバは業者からレンタルしており、こちらからtelnetしたりログをみたりは出来ない状況です。
関与できるのはパソコンのみで、かつ、ユーザに負担させることなくパケットを収集したいと考えています。

補足日時：2013/01/30 21:58

この回答へのお礼

ご回答ありがとうございます。

お礼日時：2013/01/30 22:10

No.2 回答者： nmktksk 回答日時： 2013/01/30 09:08

質問内容と違いますが参考になれば

ＰｏｃｋｅｔＷｉｆｉでＵＳＢ接続しながら無線ＬＡＮを
使用するとＤＨＣＰでも1台の端末だけで競合が発生します。

この回答への補足

その場合、何と何が競合しているのでしょうか？
もしくはOSが誤ってDECLINEメッセージを送信するということでしょうか。

補足日時：2013/01/30 22:07

この回答へのお礼

ありがとうございます。

お礼日時：2013/01/30 22:06

No.1 回答者： MOMON12345 回答日時： 2013/01/30 08:51

pingを打てば分かるのではないでしょうか。

IPアドレスが同一ならば、双方から応答が返ってきます。

この回答への補足

不勉強で申し訳ありません。
もう一度マスタリングTCP/IPを読み直してみます。

補足日時：2013/01/30 22:10