Ну, за умные свичи тут умные люди говорят )), а я вот про tcpdump скажу - сам факт кольца им прекрасно детектируется:
если валит куча (30-50 штук) идентичных пакетов, значит кольцо есть.
Понятное дело, что по содержимому пакета, да по всему трафику сложно отслеживать, но если отфильтровать, например, icmp, то можно увидеть как пачками вываливаются идентичные пакеты (при обычном пинге смотреть поле seq).