А вы мне раскажите, пожалуйста, как это меняется MAC????? Насколько я знаю, MAC зашит в сетевой интерфейс наглухо, и кроме странных случаев(китайских VoIP-шлюзов с одинаковыми маками) я больше никогда не сталкивался с проблемой подмены мака.
Есть в теории метод поменять мак на который отзывается интерфейс при помощи драйверов, но физический мак все равно останется, и потом, это сложно, само оно, а тем более массово, навряд ли произойдет.
Так что копаем в сторону ЮзерГейта. ИМХО: еще то глюкалово. Если софт паленый, то может лучше все же KerioWinRoute???

Ну это проще))))
Для того чтобы использовать снифер в сети(а тем более активный, судя по посту) нужно иметь учетные данные локального админа на одной из машин. Есть технологии "антисниф", но, положа руку на сердце, ими я никогда не пользовался(т.к. они основаны на генерации паразитного трафика и замере изменения скоростей отклика сетевых карт и процессорной нагрузки).
Проще по результатам инвентаризации пользователей+софта выщимить активный снифер и снести его к черту
Ну, это если проблема в снифере, хотя, кто знает?