简介：Netdiscover 是一款面向网络管理员、安全审计人员和无线网络运维工程师的开源地址扫描工具，专注解决无 DHCP 无线网络中设备发现与信息收集难题，通过主动发送 ARP 请求快速定位在线设备，并输出 IP 地址、MAC 地址、网络掩码等基础信息，为监控、排障与安全评估提供依据。该源码包共 39 个文件，大小约 359KB，以 8 个 C 源文件与 6 个头文件为主体，涵盖数据包收发、网卡探测、结果展示等核心模块；同时包含 configure、Makefile、spec 等构建打包配置，以及 README、ChangeLog、AUTHORS 等项目文档，结构清晰，便于直接编译和二次开发。已有 261 人学习下载。对于网络维护与安全方向的学习者，这套代码完整展现了 ARP 扫描工具从底层抓包、协议解析到界面输出的实现过程，可深入理解网络协议和工具设计思路；还可依据开源许可自由修改，将探测能力集成到自身监控平台，或与 nmap、ettercap 等组合，形成覆盖资产发现、端口检查与风险分析的完整网络评估流程。
1. Netdiscover为什么值得装：ARP扫描在局域网里的独特位置
刚接手一个办公网的运维时，最大的困惑不是交换机配不明白，而是连"我到底有多少台设备在线"都数不清。用ping扫了一遍，发现一堆打印机、摄像头、门禁控制器直接超时；换Nmap的ICMP探测，照样漏掉一批。后来同事甩过来一句"用Netdiscover扫"，我才真正意识到，在局域网做资产发现这件事上，ARP比ICMP靠谱得多。Netdiscover是一款开源ARP Scanner，只要你把设备插进同一个广播域，它就会通过数据链路层的ARP请求强行让设备回答"我在"。这篇文章我会直接把它的原理、使用姿势和那些写在代码注释之外的实战经验全部翻出来，给需要做内网盘点、安全排查或者折腾自己家网络的朋友一个能直接照搬的指南。
1.1 为什么ping和Nmap在局域网会翻车
很多刚入行的人默认"设备在线ping通才算在线"，但真实网络里这完全靠不住。现代设备出于安全策略或者单纯为了减少电磁干扰，很多默认禁用了ICMP回显，比如部分打印机在省电模式下不响应ping，但收到ARP请求时会照常回复，因为网卡层面的ARP是它能否通信的基础，没法不搭理。另外Nmap的传统主机发现方式（-sn）也是发送ICMP echo请求或者TCP探测，同样可能被防火墙丢进黑洞。Netdiscover则跳过了三层协议栈，直接发二层广播，目标设备只要接了网线、网卡没有物理损坏，内核就会自动回包，这个行为甚至不需要操作系统完全启动——PXE引导阶段和IPMI管理口照样会响应。这就是为什么在局域网场景里，ARP扫描比ICMP扫描能多发现一大批"幽灵设备"。
1.2 开源带来的可解释性和可扩展性
Netdiscover由经验丰富的安全研究员研发，代码开源在GitHub上，基于libpcap抓包，整个工具很轻，依赖也少。选择开源工具做资产盘点，最大的底气不是免费，而是可以自己审计它的代码逻辑，不用担心里面有偷偷上传私密信息的后门。安全圈子里大家都喜欢用这个工具做初始侦查和整理目标信息，社区里还有不少衍生版本增加了JSON输出、关联CMDB等功能。我实际使用中就把它的源码拉到本地改过一次，加了自动过滤无效MAC地址的逻辑，编译起来非常简单，这就是开源的自由度。如果你只是日常运维，直接用发行版仓库里的包就够了；如果讲究环境一致性，也可以把它编进自己的LiveUSB或者内网离线仓库里，一套环境走天下。
1.3 那些最适合用Netdiscover的场景
从实用性来说，Netdiscover最擅长解决三类问题。第一类是新接手网络的资产盘点，比如办公室里突然多了一堆物联网网关，DHCP地址池又没开日志，用它能快速拉出IP-MAC厂家对应表。第二类是做网络准入审计，排查有没有未经登记的路由器、随身Wi-Fi混进来，这类设备一般也会响应ARP，所以在扫描结果里非常好认。第三类是配合安全事件排查，比如有人私开热点做中间人攻击，用被动模式在旁边挂一段时间，异常关系导致的重复IP-MAC组合就会暴露出来。简单说，凡是"同一局域网内想看清楚谁在线"的需求，它都是最优先值得尝试的工具。
我个人的经验是，不要在没想清楚用什么网卡、扫哪几个网段前就上手。Netdiscover的灵活性强，但使用前先明确扫的是哪个二层广播域，否则扫出来的东西根本对不上号。下一节我会把安装和第一轮跑通的细节讲透。
2. 安装与基本使用：从零开始跑通第一次扫描
2.1 不同系统下的安装路径
Linux下安装最省事，Debian/Ubuntu系直接执行：
sudo apt update && sudo apt install netdiscoverCentOS/Rocky系用：
sudo dnf install netdiscovermacOS用户可以用Homebrew：
brew install netdiscoverWindows下通常不在原生环境跑，因为需要pcap驱动，最方便的还是开一个WSL或者虚拟机。如果某个软件源里没有收录，也可以直接从GitHub克隆源码编译，依赖只有libpcap和标准开发库，执行make && sudo make install即可。值得一提的是，这种小工具的二进制编译产物比较干净，放到其他同架构的机器上一样能跑，我习惯在维护Windows环境时把它塞进单文件工具目录里，这样进PE或者应急维护阶段也能做初步网络勘察。
2.2 第一次扫描怎么跑
先确认本机网卡名称和IP段：
ip -brief addr比如看到eth0是192.168.1.10/24，那就执行：
sudo netdiscover -i eth0 -r 192.168.1.0/24这是主动扫描模式，工具会向这个网段内所有可能的主机地址发送ARP请求，默认会循环几轮避免丢包。执行后终端会实时刷新表格，典型输出长这样：
IP MAC Vendor State ----------------------------------------------------------------- 192.168.1.1 00:1f:33:aa:bb:cc TP-LINK Online 192.168.1.100 3c:52:82:11:22:33 Raspberry Pi ... Online 192.168.1.101 00:11:32:xx:yy:zz Micro-Star Inter. Online每一列的含义分别是：IP地址、MAC地址、通过MAC厂商前缀识别出的Vendor、设备状态。这里有个经验：不要看到厂商就以为一定是该品牌设备，因为很多网卡芯片用的是另一家厂的OUI，比如Intel的网卡装在TP-LINK路由器上也显示Intel。厂商字段只能作为辅助线索，不能作为设备身份的最终判断。
2.3 常用参数速查和选型思路
下表汇总了我实际用得上的几个参数：
| 参数 | 作用 | 实战建议 |
|---|---|---|
-i | 指定监听网卡 | 多网卡机器必须显式指定，防止扫错网段 |
-r | 指定目标网段CIDR | 支持/24到/16，大网段建议分段扫 |
-c | 每轮发送的ARP请求次数 | 默认3左右，高丢包网络可加到10 |
-t | 每轮请求间隔（毫秒） | 建议5-20，调大能减少交换机压力 |
-p | 被动模式，只监听不发送 | 安全排查和证据留存用 |
-l | 从文件读取目标列表 | 适合凑出一堆不连续的子网时批量扫 |
关于选型需要解释一下：-c和-t是控制扫描激进程度的开关，刚上手什么都不调就扫一个中型网络，经常会出现因接口速率限制导致的漏报。我的建议是先从低强度开始：sudo netdiscover -i eth0 -r 192.168.1.0/24 -c 3 -t 20，等扫完一遍看看设备数量是否符合预期，再根据结果决定要不要提高-c或者缩短-t。这样既不容易造成交换机CPU飙高，也不会因为扫描太快丢包把结果搞残。
3. 两种工作模式：主动探测与安静监听各有什么用
3.1 主动模式：快但会留下痕迹
主动模式是Netdiscover最常用的姿势，执行-r之后工具会变身"话痨"，挨个向目标IP的ARP地址发送请求。每个设备收到请求后回复，工具把IP和MAC记录下来。这种模式的优势是能在极短时间内把在线设备列表拉出来，适合摸家底。但它毕竟是主动发包，安全设备或者开启ARP防护软件的主机可能会记录下这种广播行为，所以在某些高敏感环境里，主动扫描要提前得到授权，不要裸奔操作。
主动模式对付复杂网络还有一个技巧：可以先慢速扫一遍建立基线，确认哪些地址是空闲的，再用稍高的频率重扫空闲段，看看能不能把某些在省电模式下才醒的设备问出来。很多打印机和IP电话的网卡在节能态下会延迟响应，把-t缩短反而可能导致它本来醒了却没来得及回包。所以宁可慢一些，稳一些。
3.2 被动模式：不发送一包数据反而看得更清楚
被动模式的启动非常简单：
sudo netdiscover -i eth0 -p此时Netdiscover会把网卡切换到混杂模式，安静地监听经过这个端口的所有ARP包。它不主动去问"谁在"，只听别人之间的对话。比如某台设备刚接入网络，它会广播"我的IP是A，MAC是B，谁帮我对接一下"，Netdiscover就能把这个信息记下来。被动模式的价值在于取证和异常发现：一台正常的网络里，IP和MAC的映射关系应该是稳定的；但如果有人在中间做ARP欺骗，被动模式会看到同一个IP对应多个MAC，或者一个MAC换了好几个IP，这些异常组合在主动扫描的瞬间可能因为时间差而错过。另外在接入交换机做了端口镜像后，把Netdiscover挂在镜像口上可以不带任何网络流量地观察全广播域，这在高可用网络里非常有价值。
3.3 主动加被动：一套组合拳摸清真实网络
最好的实践不是二选一，而是两条腿走路。我通常的做法是：先在业务低峰期用主动模式快速扫一遍，得到存活清单后，再开一个被动模式挂到后台，观察至少一到两个小时。这样做的目的很实际——主动扫描只能反映你按下回车那一刻的网络状态，而被动监听能捕获这段时间内动态发生的设备上线、下线行为。比如有人中午带着私人设备回工位、打印机断电重启、会议室终端临时接入，这些都会在被动日志里留下记录。用命令nohup sudo netdiscover -i eth0 -p > /var/log/passive_scan.log 2>&1 &挂后台，甚至都不用担心终端被关闭导致数据丢失。后续排查问题时，这份日志和主动扫描结果一对比，新上线的设备就一目了然。
被动模式还有一个很微妙的用处：观察ARP请求的源地址。正常设备开机后会主动发一个ARP请求问网关，而某些恶意工具为了扫描网络，会针对整个子网批量发ARP请求，这种批量广播特征和正常设备的"一问一答"非常不同。Netdiscover在被动模式下会把这种请求流量记录下来，用文件大小和来源IP分布就能看出有没有扫描行为在悄悄发生。
4. 实战：用Netdiscover完成资产盘点与ARP欺骗排查
4.1 资产盘点的完整执行流程
第一步先清空本机ARP缓存，避免之前的残留条目影响判断：
sudo ip neigh flush all第二步执行带参数的主动扫描，并把结果存档：
sudo netdiscover -i eth0 -r 192.168.1.0/24 -c 5 -t 10 | tee netdiscover_first.txt第三步分析结果。我经常用一个简单命令行从输出里提取IP和MAC的组合：
grep -E "([0-9]{1,3}\.){3}[0-9]{1,3}" netdiscover_first.txt | awk '{print $1, $2}'如果设备量到几百台，这份清单就很有价值了。你可以把它导入自己的资产表里，按厂商前缀分组，一眼看出哪些是网络设备、哪些是主机、哪些是物联网。厂商识别建议搭配上OUI数据库一起用，Netdiscover自带一份基础OUI库，但更新频率有限，很多新兴小厂设备会显示Unknown。这时候不要慌，记下完整MAC去IEEE官网查，或者直接用在线OUI查询工具补充。盘点的最终产出并不只是一份列表，还要加上发现时间、所在交换机端口、VLAN信息，Netdiscover只覆盖了链路层视角，端口信息需要登录交换机配合show mac address-table来对应。
4.2 从扫描结果里嗅出ARP欺骗的痕迹
ARP欺骗在局域网安全里是常见攻击手法。攻击者伪造网关的MAC，让受害者把数据包送进自己的网卡，再转发出去，就能读到明文流量。Netdiscover的主动扫描虽然逮不住正在发生的每个包，但如果欺骗主机在线，扫描结果里会露出马脚：网关IP对应的MAC字段出现了两个不同值，或者同一个MAC同时出现在网关IP和另一台主机IP上。用下面这行命令能把IP和MAC重复关系聚合出来：
awk '{print $2}' netdiscover_first.txt | sort | uniq -c | sort -rn同一个MAC出现多次，说明这台设备肩负了多个IP，在正常环境里这是一条值得警惕的信号。实际排查时，我会先登录网关注册表确认真实网关MAC，再对比Netdiscover输出。如果发现伪造，还要立即定位伪造设备所在的交换机端口，这同样需要看交换机的MAC地址表。Netdiscover解决的是"网络里有什么在说话"的问题，所以它只能作为排查起点，真正的处理动作还是得靠交换机管理和接入认证策略。
4.3 与其他开源工具联动，扩大战果
单独使用Netdiscover能拿到IP和MAC，但这远不是侦察的终点。我自己最常用的链路是：Netdiscover先扫出存活IP，再交给Nmap做服务识别和漏洞探测。把IP列表导出后，执行：
nmap -sV -O -iL live_ip.txt这样就能把"有什么设备在线"升级成"这些设备上跑了什么服务、操作系统是什么"。另一条链路是把Netdiscover的结果喂给SNMP工具，进一步读取交换机的端口- MAC对应关系，把物理位置补全。对习惯用脚本的朋友，也可以直接把Netdiscover的输出转成CSV或JSON，喂给CMDB或者监控平台自动化登记，从此告别手抄IP的原始时代。工具联动的意义在于，每个工具负责它最擅长的一层：链路层靠ARP，网络层靠路由，传输层靠端口，应用层靠指纹，只有把它们拼起来，你才真正掌握了一张网。
4.4 用脚本做个轻量级的自动巡更
为了让盘点常态化而不是一次性运动，可以写个简单脚本。以下是我的半成品，分享出来给你改：
#!/bin/bash known_file=/opt/netdiscover/known_macs.txt current_file=/tmp/netdiscover_current.log sudo netdiscover -i eth0 -r 192.168.1.0/24 -c 3 > $current_file grep -E "([0-9]{1,3}\.){3}[0-9]{1,3}" $current_file | awk '{print $2}' | sort -u > /tmp/mac_now.txt if [ -f $known_file ]; then new_macs=$(comm -13 $known_file /tmp/mac_now.txt) if [ -n "$new_macs" ]; then echo "$(date): New MACs detected: $new_macs" | mail -s "Network Alert" ops@example.com fi fi cp /tmp/mac_now.txt $known_file把脚本丢进crontab，每半小时跑一次。注意主动扫描要避开办公高峰，否则容易把交换机CPU打高。另外known_file要先存一份包含所有合法设备的基线，脚本才能精准报信。这种自动化巡更的思路并不复杂，但能极大减少人工排查的重复劳动，尤其适合设备数量持续变动的动态办公环境。
5. 使用Netdiscover时容易踩的坑和对应的解决方式
5.1 无线网卡扫描结果会让你严重低估在线设备数
如果你直接用笔记本的Wi-Fi网卡跑Netdiscover，十有八九得到的设备列表缺了一半。原因有两层：一是无线AP普遍开了客户端隔离，即使在同一SSID下，两个客户端之间的ARP广播也不会互相转发；二是无线网卡的省电模式会把主机从睡眠中唤醒再回包，这个延迟比有线网卡高得多，主动扫描的快速重试很可能等不到回复。所以正规做法是用有线网卡直接怼到核心交换机上扫，要么就接入一个镜像口。如果实在只能无线扫，一定要把-t调大到50以上、-c调到5以上，用较低的强度等设备慢吞吞回话。
5.2 跨网段扫不到别怪工具
Netdiscover工作在二层，它的探测报文只能在同一个广播域里传播。你在一台IP为192.168.1.10的机器上输入-r 10.10.0.0/24，得到的结果大概率是空的，除非中间路由器开启了代理ARP。很多朋友第一次上手就拿着大网段去扫，扫完一片空白开始怀疑人生。正确的姿势是：要扫哪个网段，就把Netdiscover安到那个网段的机器上，或者通过SNMP从核心交换机读取ARP表和MAC表。如果是远程扫描，可以在远端放一台小盒子定期跑，再把结果回传到管理平台；现在市面上很多探针产品本质上也是干这个活的，你自己用一台低功耗小主机加Netdiscover也能搭一套平替。
5.3 大网段扫描丢包严重怎么优化
碰到/16这种大范围，默认参数可能非常不靠谱，因为交换机或者软路由的CPU处理大量ARP请求时有速率限制，超出的包直接丢弃，导致结果缺漏。强制要求扫描完整大网段时，我建议把网段切成若干/24分段，逐段扫描，避免一次性打进去几万个包。同时降低强度，比如-c 2 -t 50，虽然整个段跑下来可能要一小时，但准确性比快速扫一大堆废数据强。另外，扫描结束后如果不放心，可以随机抽几个IP用arping单独验证，确认Netdiscover没有漏掉。
5.4 虚拟机和随机MAC让你的资产表失真
现代手机为了防追踪默认开启MAC随机化，每次重新连接Wi-Fi都换一个MAC，这在Netdiscover的回显里就是隔一会儿冒一个新MAC，不处理的话资产表很快变成一锅粥。虚拟机、容器网络命名空间同样会制造大量虚拟MAC前缀，比如VMware的00:0c:29、KVM/QEMU的52:54:00，看到这些要想到可能是虚拟化环境而不是偷偷接入的物理机。应对建议：对手机设备不要依赖MAC唯一性，结合DHCP租约和接入认证信息来管理；对虚拟机，要提前把虚拟化网段的列表单独建组，避免每次都掉进"新设备告警"的狼来了陷阱。Netdiscover本身不带学习机制，这些过滤逻辑要在脚本里自己维护。
5.5 权限踩坑和使用习惯
很多发行版上普通用户直接跑Netdiscover会报权限不足，报错信息有时还很迷惑。严格说，抓取原始报文需要CAP_NET_RAW或CAP_NET_ADMIN，如果不方便每次都用sudo，可以给二进制设置文件能力：
sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/netdiscover设置完成后普通用户也能运行，这在自动化脚本里省不少事。使用习惯上，我建议扫描前先ip neigh flush all清缓存，扫描后及时比对arp -n确认结果，同时别忘了把扫描结果文件带上时间戳归档，方便日后追溯。小工具虽然简单，但用好细节会让整个排查流程的产出质量差很多。Netdiscover不会给你直接的安全结论，但它在关键时刻提供的那些原始映射关系，往往就是解决问题最需要的证据。
本文还有配套的精品资源，点击获取
