>[оверквотинг удален]
>>и rl1 - для LAN), LAN из ~200 ПК
>>Возникла потребность отслеживать MAC адреса подключенных устройств на rl1 (LAN), в следующим
>>формате: MAC и время прохождения
>>Посоветуйте пожалуйста ПО/сниффер для этой задачи...
>>
>>P.S. freebsd 6.4
>
>Была такая софтинка - arpwatch - следила за новыми MAC-ами/изменением адресов. Может,
>на ее основе что-то придумать? Может, ключи у нее какие есть
>нужные?

Основные сообщения, которые генерирует arpwatch (и arpsnmp(1)):

new activity
Эта пара ethernet/ip-адресов впервые используется снова за последние шесть месяцев или больше.

new station
Этот ethernet-адрес раньше не замечали.

flip flop
Ethernet-адрес изменился с одного известного адреса на другой известный адрес. (Если старый или новый адрес относится это DECnet-адрес и прошло меньше 24х часов, почтовая версия сообщения не отправляется).

changed ethernet address
Хост перешёл на использование нового ethernet-адреса.

Если пользователь отключился и через 5 минут снова вошёл в сеть, и если ему выдался такой же IP который он получал 5 минут назад, arpwatch проигнорит такое соединение....)))
Это просто система мониторинга, новых устройств в LAN.

К сожалению такой вариант неподходит.