Como uma abordagem alternativa, você pode usar o recurso de notificação da tabela de endereços mac em conjunto com as saídas de programa relevantes.
Este recurso manterá uma tabela de histórico de todas as alterações na tabela de endereços mac - portanto, se você fizer uma cópia da tabela de endereços mac no momento A e ativar esse recurso e monitorá-lo por alguns dias, uma visão de mundo bastante abrangente, combinando todas as alterações com a lista inicial.
Para ativar a notificação de endereço mac
mac address-table notification change history-size 500
mac address-table notification change
Além disso, você pode enviar traps SNMP para que você possa coletar todos os relatórios facilmente de um daemon SNMP.
snmp-server host 1.1.1.1 traps SNMP_COMMUNITY_STRING
snmp-server enable traps mac-notification change move threshold
int range fa0/1 - 24
snmp trap mac-notification change added