В доменной сети «плавает» IP (без доступа в интернет). Как его поймать и убрать?

Tracerov , А начинается этот уникальынй IP на 169 ?

и ему плевать статика прописана хоть на сетевой карте

вот с этого места подробнее, пожалуйста, а то какой смысл искать левый DHCP, если даже статика не помогает - "дас ист фантастиш".
И даже на 169 не может начинаться IP (динамический! и пофиг кто его сгенерил - DHCP или хост сам себе), если прописана статика. Я бы предположил одно из двух:
1. на всех компах некая экзотическая малварь, либо
2. в офисной сети орудует шутник-анонимус-кулхацкер; с физическим доступом (т.е. сотрудник), либо с удалённым доступом

АртемЪ, нет. не 169)
hint000, в этом то весь и прикол я уже все перепробовал мне кажется чтоб этот горе IP не назначался.но ему вообще плевать он встает поверх всех правил!

hint000,

И даже на 169 не может начинаться IP (динамический! и пофиг кто его сгенерил - DHCP или хост сам себе), если прописана статика.

Это вы просто малость не в курсе. Адреса APIPA запросто могут прилететь на Windows хост, даже если у него адрес прописан статикой. Вот по этому сценарию: https://www.cisco.com/c/en/us/support/docs/ios-nx-...

ожидаю появление горе IP адреса) и буду смотреть как предложил Сергей @edinorog

не дождался я свой горе IP.
зашел на м-тике в DHCP Server задал Alert он сразу отсек несколько МАС адресов заблочил их на 31 день. зашел в лог м-тика увидел что первый мак давал DHCP на подсеть 1.1 второй в моей подсети.вот оно чудо с великим адресом. зашел в wireshark(еще мало шарю в нем но стараюсь все выучить) просканировал/отфильтровал/прочитал/нашел

Dynamic Host Configuration Protocol (Offer)
...
Your (client) IP address: 192.168.(горе IP адрес)
...
закрыл его в фаерволе от всех подальше. не хочу бегать искать по всему заводу. сам объявится)

13,03,19 утро.
сегодня мне на номп назначался этот горе IP. в общем шарк не видит этот ДХЦП сервер и вообще этот IP.
гугл говорит что это китайский IP вообще. пинга на него нет.ну не удивительно.но сеть робит скорей всего из за днс. САМАЯ БОЛЬШАЯ СТРАННОСТЬ мой комп не выключался ночью! и стоит резервация. как он пробивается я не знаю.



14.03.19
все так же мучаюсь с проблемой.
даже не знаю с чего начать.пришел утром комп на ночь не выключал. назначился снова тот самый IP.
не помню на чем вчера остановился)
сегодня и вчера точно помню 113.0.168.1 не пинговался ни в какую.
че то долго все колупал в итоге перезапустил сетевую назначился мой IP по резервированию.
113.0.168.1 не пингуется но трасерт выдает обрывается на 12-14 шаге по моему так.
и тут мне фартануло как то появился пинг на этом IP я сразу чекнул arp таблицу там его еще не было по этому полез в шарк и давай его пинговать. в пакете заметил что мак этого IP такой же как и на моем микротике. не знаю может у меня уже кукушка поехала но как я понял на них одинаковые мак адреса.а через какое то время и в ARP таблице появилась та же аномалия. как они соприкасаются понятия не имею.знаю что этот IP заменяет мой бродкаст. постараюсь все показать щас.

Вы совершаете активность, сути которой не понимаете. Вот это:

Dynamic Host Configuration Protocol (Offer)
...
Your (client) IP address: 192.168.(горе IP адрес)

означает, что какой-то DHCP-сервер в сети выдал такой IP-адрес на запрос клиента. И блокировать этот адрес, во-первых, бесполезно, а во-вторых -- глупо, т. к. он является не причиной проблем, а следствием. А причиной является либо левый DHCP-сервер в сети, либо криво настроенный валидный DHCP-сервер. И нужно либо искать левый, либо проверять настройки "правого". Нужно искать не КОМУ выдан IP-адрес, а ОТ КОГО прилетел DHCP offer. Т. е. найти MAC этого DHCP-сервера и потом по ARP-таблице коммутаторов найти физическое устройство, которому принадлежит этот мак.

athacker, благодарю! очень нужный ответ! каким запросом можно найти этот мак адрес?как вообще это сделать? возможно ли в wireshark?

athacker, а как же то что DHCP Alert погасил мак этого устройства? ибо там включено DHCP.
я узнал что это за оборудование
часть с лога микротика. поднял старый лог там видно что точно такое же оборудование раньше выдавало DHCP. в общем буду закрывать на них раздачу.

dhcp,critical,error dhcp alert on bridge-local: discovered unknown dhcp server, mac 60:00:53*******,
ip 192.168.*.*