Есть L3-коммутатор 3627G.
Хочу настроить на нем аналог arpwatch,
то есть оперативно получать уведомления об изменениях связок MAC-IP.
Настраиваю:
enable snmp traps
create snmp host 1.2.3.4 v1 MySecretCommunityName

На 1.2.3.4 запускаю "tcpdump port 162" - и тишина.

При этом коммутатор нормально отдаёт статистику через обычные SNMP-запросы,
а также отсылает на сервер syslog.

Вопрос: как настроить?
В FAQ нашел только MAC-Port для L2:
http://www.dlink.ru/technical/faq_hub_switch_48.php

Подождите Вы хотите trap на срабатывание IP-MAC-Port Binding или просто на изменение ARP таблицы?

Мне нужен трап на изменение ARP-таблицы на коммутаторе 3 уровня.

Хотя если можно получать от L2 трапы при срабатывании IP-MAC-Port-Binding,
то это бы тоже пригодилось.

Trap-ов на изменение ARP таблицы нет. Вы имеете ввиду получать trap-ы от устройств уровня доступа?

Да.
Есть DGS-3627G, в него VLAN'ами прокинуты все домовые сегменты.
Он отвечает за внутрисетевую маршрутизацию.
У всех пользователей он указан в качестве шлюза по умолчанию.

Сейчас ARP-таблицы с него снимаются либо через Telnet, либо по SNMP,
но при этом остаётся риск, что подмена произойдёт на короткое время
в интервале между проверками и останется незамеченной.

Кроме того, проверки работают ненадёжно - telnet может повиснуть,
snmp часто пропускает записи, оба грузят процессор и т.д.

Поэтому хочется что-то типа mac_notification по SNMP,
только не для Mac-Port, а для MAC-IP.

При занесении адреса в блок лист событие пишется в syslog. Кстати syslog не подойдёт?

Имеется в виду ip-mac-port binding на L2?
Подойдёт, но этого недостаточно,
потому что у нас не все L2 умеют ip-mac-port-binding (например, 3226S и 2108),
и не для всех клиентов имеются данные, чтобы включить им ip-mac-port binding.

Поэтому в дополнение обязательно требуется отслеживать все изменения ARP-таблиц на L3 так, как это делает arpwatch.
Без этого невозможно (а) определить MAC-адреса новых клиентов (по умолчанию для клиентов известен только IP),
и (б) защититься от подмены IP-адресов клиентами, подключенными к тупым L2.
Но без создания static arpentry, т.к. клиентов много и на всех статических ARP-привязок не хватит.

Вопрос: как это сделать?

Постоянно считывать ARP-таблицу - больше никак я думаю.

_________________
LiveComm

Именно так. И сравнивать с предыдущей как вариант.