简介Netdiscover是一款开源的ARP网络地址发现工具面向网络管理员、安全审计人员及网络技术爱好者可在无线网络或无DHCP服务器的动态环境中通过发送ARP请求并监听回应来快速识别活跃设备的IP与MAC地址解决设备接入频繁、地址分配复杂场景下的网络摸底与安全巡检问题。压缩包共含39个文件包体仅359KB以8个C源文件和6个头文件构成核心源码配合configure、Makefile等构建脚本以及README、ChangeLog、COPYING等文档形成一个结构完整、便于自行编译的源码包。目前已有262人学习适合有一定网络基础并希望深入理解ARP扫描原理或按需定制功能的读者。通过解剖这份源码读者可以看清Netdiscover如何处理网卡接口、构造ARP请求、解析响应并输出清单了解它如何识别隐藏无线网络为网络安全检查提供支持。实际使用中还能与nmap、ettercap等工具配合构建从设备发现到端口扫描、流量分析的全套评估流程增强对网络整体态势的掌控能力。1. 网段里多了一台电脑netdiscover 一分钟把它找出来那天在某个现场排查交换机里挂着一台固定的内网 IP网管说没人知道它是谁业务又不让动端口。我上手第一件事就是打开 netdiscover往那个网段发了一轮 ARP 请求不到一分钟列出了几十台在线设备的 IP、MAC 和厂商前缀那台“幽灵设备”顺着 MAC 直接定位到接着的接入层交换机端口最后查出来是一台被遗忘的摄像头。这就是 netdiscover 的典型价值它是开源的 ARP 扫描器利用 ARP 协议同一广播域内“问一声就有应答”的特性快速枚举在线主机。它不需要在被扫描端安装任何东西也不是靠端口连接去猜存活而是直接问“谁是这个 IP”应答就说明网卡在线。适合运维做局域网资产盘点、找闲置 IP、排查新增设备也适合刚接手陌生网络时先摸一遍底。接下来从原理到参数到踩坑一条线讲完。2. 先搞懂 ARP 扫描的边界主动能扫到什么被动又在等什么2.1 ARP 请求是二层广播为什么同一网段一问一个准ARP地址解析协议解决的是“已知 IP不知道 MAC”的问题。主机 A 要和主机 B 通信先把一个 ARP 请求帧广播出去目标 MAC 填成全 1 的广播地址内容里写明“谁的 IP 是 192.168.1.10请把你的 MAC 告诉我”。交换机把这个帧转发给同一 VLAN 内所有端口只有 IP 匹配的那台主机才会单播回复“我是 192.168.1.10我的 MAC 是 xx:xx”。netdiscover 的主动模式就是把这个过程工业化给定一个网段和子网掩码它逐个 IP 构造 ARP 请求收到应答就记录一对 “IP MAC”。因为整个过程不发生 TCP/UDP 连接不依赖端口开放所以即使目标主机的防火墙把 ICMP 和端口全封了只要网卡驱动正常初始化ARP 应答照样会发出来。这是 ARP 扫描在局域网存活探测上比 ping 和端口扫描更可靠的根本原因。要注意一个边界ARP 请求只在二层广播域内有效通俗讲就是同一个网段、同一个 VLAN。路由器不会转发 ARP 广播所以拿 netdiscover 扫 192.168.1.0/24 是看不到 192.168.2.0/24 的想扫另一个网段要么把网卡配到那个网段要么借助三层设备做代理 ARP大多数场景不现实。动手前先确认自己接口所在的子网范围这个判断错了后面全是白干。2.2 主动模式与被动模式一个在查一个在听netdiscover 有两种工作形态。主动模式默认是自己发包类似点名被动模式-p是截获网卡上流经的 ARP 帧类似在走廊里听别人喊话只记录别人发出的 ARP 请求和应答自己不发任何包。被动模式的输出取决于网络环境。在早期的共享式网络或 Hub 环境里所有帧都能被听到信息量很大而现在几乎全是交换网络交换机只会把广播帧、组播帧发给所有端口单播帧只发给目标端口。ARP 请求恰好是广播帧所以你能听到全网所有请求但 ARP 应答是单播帧在交换网络下通常到不了你的网卡最多只能靠请求里携带的发送方 IP 和 MAC 推断“谁在活跃”。这就解释了为什么有人被动模式跑半天一片空白不是因为工具坏了而是当前网段里正好没人发起新 ARP 通信所有会话都已经被双方缓存在 ARP 表里不需要再广播。被动模式更适合长期挂机做“新设备上线记录”不适合做一次性盘点。盘点请用主动模式这是两个场景别混。对比维度主动模式被动模式-p行为主动发 ARP 请求全网探测监听流经网卡的 ARP 帧对网络影响会制造广播包零注入完全静默适用场景一次性资产盘点、丢设备定位持续监听新设备上线、审计交换网络下效果应答直接回本机准确率高只能听到广播请求应答大多漏掉结果延迟一轮扫完即可出结果依赖别人发 ARP不可控2.3 和同类型工具怎么分工先弄清需求再选工具很多人拿 netdiscover 和同类的网络扫描工具比其实两者定位不完全重叠。另一类常见工具的能力重点在端口和服务识别能扫 TCP/UDP 端口、识别服务版本、甚至跑脚本探测漏洞而 netdiscover 的能力面更窄专注在二层存活发现。它也有类似的 ARP ping 手段来做在线探测但那是它众多能力中的一条子路输出格式和实时刷新体验不如 netdiscover。我的习惯是分两层用第一步永远用 netdiscover 摸活口因为它轻、启动快、输出简单一个 -r 加网段就能把在线主机的 IP 和 MAC 拉出来第二步再根据目标端口和应用把另一类工具加进来。netdiscover 不做端口扫描也没有服务识别指望它一把梭给出主机上跑了什么服务是不现实的那是下一棒的事。选型结论很直接只想回答“这网段有哪些在线设备、MAC 是谁”用 netdiscover想知道“这台机器开了哪些端口、跑了什么服务”把它生成的在线 IP 列表喂给端口扫描工具。两段拼起来才是完整的资产摸底流程。3. 装好就能用的最小命令源码安装与第一个 C 段扫描3.1 安装方式与权限准备不少主流 Linux 发行版的软件仓库里已经收录了 netdiscover直接用包管理器安装最省事。如果用的发行版仓库里没有或者想要更新版本、想改源码行为就自己从源码编译。常见依赖是需要开发头文件的 libpcap因为抓包和发包都要通过它来完成。先看仓库安装# 基于 .deb 的发行版家族 sudo apt update sudo apt install -y netdiscover # 基于 .rpm 的发行版家族先查仓库里有没有 sudo dnf search netdiscover sudo dnf install -y netdiscover如果仓库没有走源码编译# 先装依赖然后再拉源码、编译 sudo apt install -y build-essential libpcap-dev git clone 源码仓库地址 cd netdiscover make sudo make install第一段包管理器安装没有技术含量但要注意安装完成后工具默认装在 /usr/sbin 或 /usr/bin 下普通用户执行会提示权限不足。因为发送裸 ARP 帧需要原始套接字能力非 root 用户默认拿不到。两种解决思路要么全程用 sudo 执行要么给二进制单独配置能力位。配置能力位的方式如下sudo setcap cap_net_raw,cap_net_admineip /usr/sbin/netdiscover3.2 第一个最小命令扫一个 C 段装完之后我第一次扫网段用的是这条命令sudo netdiscover -i eth0 -r 192.168.1.0/24 -N -P拆开看每个参数的用途。-i eth0指定使用 eth0 网卡机器上有多个网卡时必须显式指定否则工具选择的默认接口可能不是你连目标网段的那一个。-r 192.168.1.0/24是主动模式的扫描范围用 CIDR 写法工具会遍历这个子网里的所有可用 IP 逐一发送 ARP 请求。-N表示不做反向 DNS 解析主机名这一步在大多数内网环境里没有意义却会拖慢整体速度关掉后结果立等可取。-P让结果持续滚动打印成规整的表格而不是每次刷新清屏便于实时观察和后续重定向保存。运行后如果网络里有几十台设备一二十秒内就会陆续看到“IP MAC 厂商前缀”逐行冒出来。每行 MAC 后面的厂商前缀是工具根据 OUIMAC 地址前 24 位查询本地库得到的能大致判断设备品牌范围对识别摄像头、打印机、手机这类设备很有用。3.3 用文件批量扫多个网段实际工作中常遇到一台跳板机要盘点多个网段的情况。把网段写进一个纯文本文件一行一个 CIDR 范围让工具按顺序处理# 先准备一个网段清单文件 ranges.txt 192.168.1.0/24 192.168.10.0/24 172.16.5.0/23 # 然后执行 sudo netdiscover -i eth0 -l ranges.txt -N -P-l参数从文件读取目标范围适合把固定资产列表沉淀成模板每次巡检复用同一个文件。仓位说明172.16.5.0/23 是 512 个地址比 /24 大了一倍扫描耗时也相应翻倍注意给足时间。这条命令跑完会一次性吐出两个 C 段加一个 512 地址段的全部在线结果配合后面的输出整理手段可以直接生成一份网段资产清单。3.4 权限和接口选错的翻车现场第一次跑这个工具最常见的错误是忘了-i或者接口选错。如果机器上同时有物理网卡和虚拟网卡默认接口往往是虚拟网卡或按字母序排第一的那个造成的现象就是扫出来的在线主机只有一两台甚至只有本机。解决办法是先用ip addr或ifconfig确认目标网段的接口具体叫 eth0、ens33 还是 enp2s0然后把这个名字显式传给-i。第二个常见问题是非 root 执行报错。源码编译安装后如果没做 setcap普通用户执行会直接提示操作不被允许别去调试别的参数先把权限处理了。还有一点工具默认发送的是原始以太网帧Wi-Fi 环境下部分网卡驱动对抓包模式支持不完整表现为扫描结果时有时无这时优先换成有线网卡做排查。4. 把这台扫描器调成盘点工具速率参数与结果提取4.1 速率控制-t、-s、-c 各管什么工具内置了几个控制发包节奏的参数理解了它们才能应对大网段和敏感网络。-t是每次 ARP 请求之间的间隔单位毫秒值越大扫得越慢、对网络冲击越小-s是每轮扫描结束后再额外休眠的时间给网络一个喘息窗口-c是扫描完整轮数的次数默认持续循环手动 CtrlC 或设置次数都能结束。我一般这样组合# 快速摸底适合 /24 这种规模 sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -N -P # 大网段或网络设备告警敏感时放慢节奏 sudo netdiscover -i eth0 -r 172.16.0.0/20 -t 100 -s 200 -N -P-t 10表示每发一个 ARP 请求间隔 10 毫秒对一个 /24 来说满打满算 254 个地址加一轮的总耗时也就 3 秒上下广播包速率约 100 pps绝大多数办公网络能接受。如果把-t调成 1 毫秒相当于每毫秒一个包交换机和终端 CPU 都可能出现短暂飙高遇到对广播敏感的旧设备容易触发日志告警。大网段的那条命令里-s 200是每轮结束后再睡 200 毫秒给交换机缓冲。判断标准很简单先保守跑一次观察目标网络有没有告警或丢包再决定要不要收紧间隔。4.2 结果提取从滚动输出到一份干净清单工具默认输出会一直刷新直接看没问题但要用于后续处理就得把结果落盘。-P配合重定向可以拿到完整文本之后用文本处理把 IP 和 MAC 抽出来sudo netdiscover -i eth0 -r 192.168.1.0/24 -N -P raw_result.txt # 提取在线主机的 IP 列表 grep -E ^192\.168\.1\. raw_result.txt | awk {print $1} | sort -u alive_ip.txt # 提取 IP 和 MAC 对照表 grep -E ^192\.168\.1\. raw_result.txt | awk {print $1, $2} | sort -u ip_mac_list.txt第一段命令把完整输出存成 raw_result.txt注意-P的关键作用没有它工具会用终端控制和表格刷新重定向到文件里就是一堆控制字符没法用文本工具处理。第二段过滤出以扫描段开头的行再提取第一列 IP 并去重排序。第三段额外保留了第二列 MAC生成对照清单。这里有个细节工具输出里还可能夹着其他类型的信息行所以不能直接全量提取要先用目标网段前缀grep一轮。生成的 alive_ip.txt 不仅是一份可读的盘点结果也是后续灌给端口扫描工具的输入文件见第 6 章的流水线。4.3 被动模式挂机记录新设备上线痕迹被动模式适合放在长期运行的机器上持续记录这个网段设备的上线痕迹sudo netdiscover -i eth0 -p arp_trace_$(date %F).log 21 -p进入被动监听不主动发包。把输出重定向到带日期的时间戳文件里放后台跑。之后每次有人发送 ARP 请求或应答都会往文件里追加一行包括源 IP 和源 MAC。这个文件积累几天后用sort -u就能得到一张“本网段出现过的主机列表”比主动扫描一次性看到的结果更全面能捕获到平时不常开机的设备。需要注意的是被动模式在交换网络下能听到的主要是广播性质的 ARP 请求应答帧能不能听到取决于交换机的转发行为。所以这份日志反映的是“活跃度”不是“完整设备清单”。把它当作趋势参考没问题把它当作全网权威资产表会漏设备务必和主动模式的结果交叉验证。5. 扫不全和误报怎么查netdiscover 常见问题与避坑5.1 现象只扫到本机别的机器全消失现象是执行扫描后结果里只有自己这台机器连网关都扫不到。原因通常出在两个层面一是接口选错本机实际连着目标网段的网卡不是默认那块工具从错误接口发包目标网络根本收不到二是网络隔离机制办公 Wi-Fi 的 AP 隔离、交换机的端口隔离策略会阻断广播帧的转发ARP 请求发出去石沉大海。解决路径是先物理层再工具层。先用ip addr确认哪个接口配了目标网段地址再-i显式指定如果接口没错但依然扫不到换一台连接在目标接入交换机上的有线机器试。排查 AP 隔离可以用一个最土的办法在目标网段里找两台机器互相 ping 通再在隔离环境里测试两台机器互 ping 是否也通不通基本就是隔离策略工具没有任何参数能绕过这种二层隔离。有一种例外值得注意虚拟机网络模式的干扰虚拟网卡默认 NAT 模式下虚拟机与宿主机同网段但和外部物理机不互通这时候扫不到是正常的把虚拟网卡改成桥接模式再到物理网络里扫。5.2 现象结果里出现一堆全零 MAC 或异常行扫描结果中某些行看起来是设备但 MAC 是全零或明显不符合规范这是被 ARP 响应里的特殊帧干扰了。工具监听网卡上所有 ARP 帧有些网关、防火墙、负载均衡设备会周期性的发送免费 ARP 通告自己的 IP个别设备应答时携带的源 MAC 是虚拟 MAC 或全零占位符也会被如实记录下来。处理方式写提取命令时加个过滤条件把 MAC 字段不是标准格式、或者全零值的行剔除。上面 4.2 节的grep思路保留增加第二个过滤条件grep -E ^192\.168\.1\. raw_result.txt | \ awk $2 !~ /^00:00:00:00:00:00/ {print $1, $2} | \ sort -u这条命令在原有提取基础上过滤掉第二列是全零 MAC 的记录。遇到这种行不要慌不代表真的有台全零 MAC 的设备在跑往往是软件定义网络环境里的虚拟实体或探测流量留下的痕迹先过滤再人工抽查。真实场景里偶尔也会有厂商 MAC 前缀为全零的网卡存在数量极少宁可漏掉也别被带偏。5.3 现象被动模式跑了很久一行输出都没有原因已经在 2.2 节讲过交换网络下被动模式只能听到广播而广播只有在有人发起新 ARP 解析时才会出现。大多数主机开机后就把关键 IP 的 ARP 缓存建好了之后通信全部走单播不产生广播所以被动模式听不到任何动静。解决思路不是调参数而是调整预期。被动模式是守株待兔适合放在有大量新设备不断接入的动态网段比如访客 WiFi 的网关侧接口、混合办公网络的接入交换机镜像口。如果想立刻得到活跃主机清单请用主动模式。两者就像手电筒和雷达的区别主动模式照一下就亮被动模式得等目标自己反射信号。被动物理网卡上挂机 24 小时仍然零输出检查网卡是否进入了省电模式或驱动丢包更换网卡或换口插再试。5.4 现象扫 /16 大网段耗时太长有人直接把内网 B 段整个拿来扫跑了几分钟还在刷CPU 占用也偏高。根本原因是默认请求间隔和重试逻辑针对小网段设计放大大网段后总耗时成倍增长。比如一个 /16 有 65534 个地址即使间隔 10 毫秒也要 655 秒还没算重试。解法分两级。第一级是缩小范围先看路由表和 DHCP 地址池范围通常实际用到的地址只有几个 C 段或者干脆按 VLAN 拆开扫每个 VLAN 单独一个 /24。第二级是收紧扫描参数-t降到 1 毫秒一轮不回复就不再重试代价是极少数慢速设备可能漏掉但资产盘点场景下识别绝大多数在线主机已经足够。给一个我常用的折中sudo netdiscover -i eth0 -r 10.10.0.0/16 -t 1 -c 1 -N -P-c 1限制只跑一轮配-t 1让间隔拉到 1 毫秒整个 /16 理论最坏情况约 65 秒实际会在几秒内把在线设备先吐出来。如果你的网络比这更大尤其地址空间稀疏的段别硬扫先借路由器的 ARP 表做一轮预筛再用 netdiscover 精确验证。5.5 现象某个 IP 显示在线但 ping 不通看到结果里有台设备接着 ping 它的 IP 却是请求超时直观感受是工具误报。实际上 ARP 应答和 ICMP 走的是两条不同的处理链路设备只要网卡驱动初始化、IP 配置完成就能应答 ARP而防火墙策略可能会直接丢弃 ICMP 请求甚至无线终端的省电模式也会让 ICMP 包被忽略但网卡仍能收到 ARP。这个场景提醒我们在存活探测这里ARP 应答的可信度并不低它反映的是“这台设备在链路层触手可及”。反过来在另一个方向上的对应错误更常见一些ping 能通但 netdiscover 扫不到多半是扫描接口选错或扫描范围没覆盖目标网段。做资产盘点以 ARP 结果为准之后再结合端口扫描结果确认机器上的服务是否真实响应而不是看到 ping 不通就先怀疑扫描工具坏了。排障时先用arp -n看本机 ARP 缓存里有没有那个 IP 的表项有表项且 MAC 属于内网设备那它就是在线不必非等 ping 通。6. 进阶用法netdiscover 出存活清单端口扫描补画像单靠 ARP 扫描能回答“谁在线”回答不了“这台机器开着哪些端口、跑着什么服务”。完整的内网资产摸底是一条流水线先二层发现拿到在线 IP再对这些 IP 做端口和服务识别。我给一个现成的组合命令# 第一步用 netdiscover 生成存活 IP 清单 sudo netdiscover -i eth0 -r 192.168.1.0/24 -N -P raw.txt grep -E ^192\.168\.1\. raw.txt | awk {print $1} | sort -u alive_ip.txt # 第二步对存活主机做常见端口检测 sudo nmap -sS -sV -T4 -iL alive_ip.txt -p 22,80,443,3389,445,3306,8080第一条命令把上一章提取好的 IP 列表存成 alive_ip.txt第二条命令对列表里所有主机扫 7 个常用端口并附带服务版本识别。-sS是半开扫描速度快且握手不全-sV探测服务版本-iL从文件读目标。如果你想偷懒也可以直接让端口扫描工具自带 ARP ping 发现一轮存活但分开做的价值在于netdiscover 的快照是可归档的资产记录MAC、厂商前缀、IP 三者的对应关系是长期审计的原始证据。还有一个小技巧我用得很多对比两天的被动监听日志抓新入网的设备。比如周一晚上导出一份全量清单周五再导一份用 diff 找出多了哪些 MAC往往就是本周悄悄接进来的新设备sort -u arp_trace_mon.log mon_unique.txt sort -u arp_trace_fri.log fri_unique.txt diff mon_unique.txt fri_unique.txt这个习惯救过我一次某次巡检发现内网多出几台来源不明的设备顺着 diff 出来的 MAC 在交换机上逐一定位端口最后确认是某实验室自己带进来的测试机没有走资产登记流程。从那以后我在这类环境的例行巡检里固定挂一条被动监听每周用 diff 扫一眼增量成本极低但效果直接。如果还想再往下走把 netdiscover 的主动扫描结果写进定时任务每周生成一份资产快照归档成 JSON 或 CSV配合监控平台的告警规则就能在设备数量突变时收到通知。这一步的价值已经超出了工具本身进入到资产管理的流程建设。希望这些参数习惯和踩坑记录能帮到你下次接手陌生网段时花两分钟先-i指定接口、再-r扔进去结果不会让你失望。本文还有配套的精品资源点击获取