появилось подосзрение, что каким-то мистическим способом в локалке появился второй DHCPD сервер.
как можно поескать его с рутета?

Попробуй эту программу:

Для просмотра скрытого содержимого необходимо иметь 1 сообщение, у вас 0 сообщений.


А в общем:
Вариант1. Наберите на машине которая получила IP от "левого" DHCP - ipconfig /all, там в чиле прочей информации будет ip адрес DHCP сервера.
MAC-адрес можно выяснить при помощи команды ARP.
Вариант2. Используй снифер настроив фильтр ловить пакеты только от адресов 255.255.255.255 и 0.0.0.0 (по этим адресам происходит поиск и ответы DHCP серверов).

Обычно снифаются пакеты тем же самым Wireshark на предмет bootp/dhcp