简介Netdiscover是一款面向网络管理员、安全测试人员及技术学习者的开源ARP扫描工具尤其适用于无DHCP服务的无线网络环境通过发送ARP请求快速探测活跃设备及其IP、MAC地址和拓扑结构。该压缩包为0.3预览版共39个文件涵盖C源码、头文件、构建脚本、配置模板及文档压缩包仅359KB便于自行编译或部署。已有262人学习下载。资源内含核心数据请求/响应处理、接口管理、屏幕显示等模块源码并附带README、ChangeLog及许可证便于深入理解工作机制并定制扩展。对于网络监控、故障排查和安全审计实践这份代码提供了完整的参考可与nmap、ettercap组合使用。1. 网络里藏了多少设备Netdiscover 一条命令把二层网络摸清楚接手一个维护了多年的网络最让人头疼的问题往往不是路由而是你知道交换机上有端口却不知道对端接了什么东西。有人会去翻台账有人用 nmap 扫一圈但第一次用 Netdiscover 时我是被它的速度惊到的——一条命令下去同一网段里的存活主机、IP、MAC、厂商信息在几秒内就列了出来。这款开源软件只做一件事通过 ARP 协议发现网络中的设备。它不需要在目标机器上装任何 agent不依赖 ICMP 是否被防火墙拦截只要设备在线并且会响应 ARP 广播它就能被看到。它适合三种场景网络管理员做资产盘点、渗透测试者在内网做信息收集、机房运维排查 IP 冲突和私接设备。如果你手里只有一台笔记本电脑和一根网线Netdiscover 就是你探明物理网络边界的最快工具。2. 两种工作模式主动扫描与被动监听的选型逻辑2.1 先搞清楚 ARP 为什么最适合做二层发现ARPAddress Resolution Protocol是 IP 地址与 MAC 地址之间翻译的协议。当一台主机要跟同一广播域内的另一台主机通信时它需要知道对方的 MAC 地址于是会发送一个广播包询问“这个 IP 是谁的请告诉我你的 MAC”。只要目标主机在线它就必须回包否则业务通信就无法建立。Netdiscover 正是利用这个机制主动模式下它自己伪造 ARP 请求遍历某个网段的所有 IP 地址然后等待目标回复被动模式下它什么都不发只把网卡上经过的 ARP 请求和响应全部抓下来然后从中提取 IP 与 MAC 的对应关系。选择哪种模式取决于你对网络状态的判断。如果是自己管理的网段网内设备没有 IP 冲突、没有异常广播主动扫描最直接结果稳定且完整。如果是接到陌生网络比如客户现场、共享 Wi-Fi 的访客网络或者路由上做了端口安全限制主动扫描的包可能被丢弃这时候被动模式反而有效——只要网卡设置为混杂模式它就能嗅到所有经过的 ARP 包不需要任何权限。我一般会先被动听几分钟看看能不能收到包再决定要不要主动扫。这个习惯帮我避开过好几回因网管策略导致主动扫描全灭的尴尬。2.2 安装方式与源码编译开源软件常见的三个入口Netdiscover 在多数主流 Linux 发行版的软件仓库里都有安装属于典型的“一行命令”操作。但它不是默认工具需要你主动装。在 Debian/Ubuntu 系上命令是sudo apt update sudo apt install netdiscoverRed Hat/CentOS/Fedora 系的仓库里不一定有通常要用以下方式sudo yum install epel-release sudo yum install netdiscover如果连仓库里都找不到那就走源码编译。这类开源工具的源码一般托管在代码托管平台上克隆下来后按传统的三连命令走git clone 项目仓库地址 cd netdiscover sudo ./configure sudo make sudo make install编译前记得确认系统里有 libpcap 开发库否则 configure 这一步会直接报错。Ubuntu 上装libpcap-devCentOS 上装libpcap-devel。装完后执行netdiscover -h能看到版本信息和全部选项就说明环境没问题了。需要特别说明的是源码编译路径依赖编译环境中已有的头文件和库版本不同发行版之间的细节会有差异。如果你只是为了快速使用优先用系统仓库版本如果你需要修改源码或者交叉编译到嵌入式平台再走编译这条路。我自己的习惯是先装发行版版本等确认了功能边界再决定是否编译最新源码。2.3 主动扫描指定网卡与扫描范围Netdiscover 默认会在所有网卡上发包但在多网卡机器上这很容易扫错地方。最稳妥的做法是显式指定物理网卡。生产环境里最常见的用法是这样sudo netdiscover -i eth0 -r 192.168.1.0/24参数-i eth0限定使用 eth0 网卡-r 192.168.1.0/24指定扫描整个 C 段。执行后屏幕上会实时刷新一个表格指数范围内递增。如果目标是某个具体 IP比如排查一台设备是否在线可以这样发一个精确请求sudo netdiscover -i eth0 -r 192.168.1.66/32注意/32在 Netdiscover 里是合法的它会对该单个 IP 发起 ARP 请求。想扩大扫到跨网段场景可以写多个-r参数吗不行-r只能有一个网段。如果你要扫多个网段要么分几次执行要么用循环脚本遍历。这里有个细节Netdiscover 的主动扫描是发 ARP 广播包广播域不够大时你扫不到路由另一头的设备它本质是一个二层工具跨三层就得换路由扫描思路。主动模式的完整命令示例sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 3 -l scan_output.txt-t 10表示每隔 10 毫秒发一个 ARP 请求-c 3表示对每个 IP 重复 3 次-l scan_output.txt把结果实时写入文件。这个组合常用于临时巡检既保证有一定抗丢包能力又能把结果留档。我把-c理解为“确认次数”设备掉线、网络拥塞或 AM 延迟时多试几次能明显减少漏报。2.4 被动监听适合交换机做了限制的陌生环境被动模式是 Netdiscover 的另一张底牌。它不发送任何伪造包只是把网卡上流过的 ARP 报文抓下来所以即使网管在交换机上开启了 ARP 限速或防火墙拦截了未知单播被动模式也不会被直接封掉。启动方式sudo netdiscover -p -i eth0-p让 Netdiscover 进入被动模式。这时你会看到它提示“listening for arp packets...”然后屏幕上会持续增多 ARP 条目。需要注意的是被动模式必须保证网卡处于混杂模式否则只能收到发往本机的包看不到整个广播域的流量。绝大多数情况下用 root 运行 Netdiscover 时它会自动把网卡设为混杂模式。如果你不想改变网卡工作状态可以手动把混杂模式关掉但那样被动模式的效率几乎为零。被动模式还有个变种离线分析抓包文件。如果你已经把网络流量存成了 pcap 文件Netdiscover 可以直接读取并提取 ARP 信息sudo netdiscover -r capture.pcapng注意这里-r的用法变了——在被动模式相关说明里官方文档约定-r file表示读取离线抓包文件而不是指定网段。同一个参数在不同模式的语义不同这是最容易踩的坑。离线分析的场景常见于网络团队把抓包文件带回办公室复盘或者你想验证现场抓包的完整性——先跑一遍 pcap再对照当时 Netdiscover 主动扫描的结果就能判断现场是否有丢包。3. 参数怎么设从快速巡检到脚本化输出的参数配置手册3.1 常用参数组合不同需求下的参数搭配Netdiscover 的参数不多但组合起来差别很大。先把最常见的参数列成一张表方便参考参数作用典型取值-i interface指定网卡名eth0, ens33, wlan0-r ip/range主动扫描范围192.168.1.0/24, 10.0.5.0/16-p被动监听模式无-t ms请求间隔10默认是 1ms常用 10 或 20-c count每个 IP 的探测次数1 或 3-l file输出到文件scan_result.txt-L只显示发现的主机不显示进度条无-S启用发送前的休眠时间不常用老版本可能需要-f快速模式只发 ARP 请求不等待回包-f连同-r使用快速巡检一个 C 段我的标准命令是sudo netdiscover -i eth0 -r 192.168.80.0/24 -t 20 -c 1 -L-t 20毫秒让每两个 ARP 请求之间间隔 20ms这样对千台规模以内的网络压力很小-c 1表示每个 IP 只问一次因为大多数设备在线时都会立刻响应重复更多次只是提高抗丢包能力-L可以隐藏掉扫描过程中的点点和百分比进度条只在结束时把发现的 IP、MAC、厂商列表整齐打印出来。这个组合的输出非常适合直接粘贴到运维记录里。3.2 输出格式与脚本化让 Netdiscover 成为资产清单的数据源Netdiscover 默认输出是给人看的表格但脚本集成时需要机器可读的输出。它没有-o json之类的选项但可以借助-l指定输出文件再结合 Linux 文本处理工具完成格式化。下面这个命令扫描完把结果写进文件同时用 grep 过滤出 IP 和 MACsudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 2 -l raw_scan.txt cat raw_scan.txt | grep -E ^\d\. | awk {print $1, $2}扫描结果的每一行都包含 IP、MAC 和厂商标识取前两列就能得到最基本的 IP-MAC 清单。如果你希望生成 CSV 方便导入表格可以这样处理sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 1 -L | grep -E ^\d\. | awk {print $1 , $2} inventory.csv这样得到的inventory.csv每行是IP,MAC可以直接用 Excel 打开或者喂给后续的数据库导入脚本。对于需要定期巡检的动态环境你还可以把它包进 cron 任务但要注意Netdiscover 需要 root 权限而 cron 默认环境变量里 PATH 不包含 sbin 目录所以要在脚本里写全路径例如/usr/sbin/netdiscover。我见过不少自动化脚本翻车都是因为 cron 里找不到 netdiscover 的命令路径。另一个值得注意的地方是-L模式输出的格式和默认模式不完全一样-L模式没有进度条但是头部有“IP/MAC/Count”这样的表头。如果正则匹配太严格可能把表头漏过导致 CSV 缺列。更稳的办法是先用-l保存原始输出再对原始文件做解析因为原始文件头部的格式是固定的。3.3 与系统 ARP 表对账查看扫描结果之外的指纹差异Netdiscover 的输出是它自己维护的列表和操作系统内核的 ARP 缓存表并不是同一个东西。扫描完成后你可以顺手对比一下系统的arp -n输出sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 1 -L扫描结束后执行arp -n比对的逻辑是Netdiscover 发现的 IP-MAC 对应该覆盖arp -n里所有通过动态 ARP 学习到的条目。如果arp -n里出现了 Netdiscover 列表中没有的条目说明这台设备在扫描过程中主动发起了 ARP 报文比如服务器向网关发出了请求而 Netdiscover 因为某种原因没收到响应。这种现象常见于设备本身禁用了 ARP 回复或者防火墙策略只允许出向广播不允许入向响应。反过来Netdiscover 里有的设备但arp -n里没有这也正常因为内核只缓存最近通信过的邻居。这个对账动作能帮你发现 Netdiscover 的覆盖盲区也能暴露系统 ARP 表的陈旧条目。尤其在排查 IP 冲突时Netdiscover 列表里同一 IP 出现两个不同 MAC基本可以断定存在地址冲突。你要做的就是把两个 MAC 找到再结合交换机上的 MAC 地址表定位物理端口。4. 避坑 / 常见问题排查Netdiscover 实战中容易翻车的五个细节4.1 现象扫描结果里大量 IP 显示为“unknown”在某个生产环境中我用netdiscover -i eth0 -r 192.168.10.0/24扫描结果发现 20% 的设备厂商列显示为unknown。根据经验所谓 unknown 是指 Netdiscover 能从 ARP 包中拿到 MAC 地址但无法在它的 OUI 数据库里找到对应厂商。这是正常现象并不代表设备不可信。原因通常是该设备的网卡厂商属于小众电子元器件或者设备是虚拟机的虚拟网卡。解决方法是不要光看厂商信息来判断设备身份要做更精细的资产标识比如在 MAC 地址前 6 位之后再结合主机名或开放端口来补充信息。4.2 现象主动扫描一个 A 类网段时命令长时间卡住给定时把-r 192.168.0.0/16喝进去后执行了很久都看不到结果。原因是 Netdiscover 默认对每个 IP 都要发包并等待A 类网段有 65536 个地址即使间隔 1 毫秒也要 65 秒加上实际延迟至少几分钟。更关键的是它会把网络打成广播风暴交换机 CPU 都可能升高。解决把网段拆开或者提高-t的毫秒间隔并把-c降低到 1。我最常用的 C 段扫描参数是-t 20 -c 1对 254 个 IP 大约 5-10 秒内完成网内其他设备几乎无感。扫大范围时应优先用 nmap 的离散探测而不是只靠 Netdiscover。4.3 现象在虚拟化平台上扫描结果全是对端节点的 IP我在一台有多网卡的虚拟机上执行 Netdiscover默认不指定-i结果扫出来的 IP 都是宿主机和 DNS 服务器等虚拟交换机上的设备。原因是虚拟机的多块网卡连接到不同虚拟交换机Netdiscover 会默认选择第一块网卡或所有网卡而第一块网卡的广播域可能很小。解决先执行ip link或ifconfig查看网卡与 IP 的对应关系再用-i精确指定连接目标网段的网卡。这个坑在笔记本上尤其常见——笔记本往往同时有有线网卡、无线网卡和虚拟网卡Netdiscover 如果没绑定物理网卡就会扫到 VMnet 之类的虚拟网段。4.4 现象被动模式监听半天屏幕上什么都没有在某个客户现场我执行netdiscover -p -i eth0后等了十分钟一个 IP 都没刷出来。当时以为是交换机禁用了混杂模式后来抓包一看发现网卡根本没收到任何 ARP 包。原因是该交换机端口开启了 DHCP snooping 或动态 ARP 检测所有 ARP 包在接入层就被限制只转发到网关而不在广播域内扩散。解决换到镜像端口或者在网络连接的上联口做 passive 捕获。如果现场没有交换机的控制权限只能改用主动模式尝试主动模式虽然可能被限速但对于低速率扫描大部分交换机不会丢包。4.5 现象扫描结果显示同一 IP 有两个 MAC 地址且来回跳动排查 IP 冲突时Netdiscover 扫描结果里同一个 IP 一会儿对应 MAC 1一会儿对应 MAC 2刷新后地址互换。原因是 ARP 缓存表里存在陈旧条目或者有设备重复发送免费 ARP。解决清空本机 ARP 缓存然后持续用 Netdiscover 的-c 3参数观察重复刷新结果。如果两个 MAC 交替出现且时间间隔较稳定可以判断是设备在切换主备网卡比如服务器绑定了多个网卡做负载均衡这不算故障如果两个 MAC 不规律出现说明有两台设备都配置了同一个 IP这才是真正的冲突。在切换场景里Netdiscover 的-t参数要调小到 5 毫秒以下否则可能采样不到 MAC 切换瞬间。5. 与其它工具协同把 Netdiscover 放进网络检测工具箱5.1 与 arp-scan 的对比Netdiscover 更适合持续观察有同事问我不是有arp-scan吗为什么还要用 Netdiscover。两者确实都基于 ARP但设计目标不同。arp-scan是一个快速扫描工具扫一次就结束输出简单Netdiscover 自带实时刷新的交互界面和持续监听的功能。我通常在两种情况下选 Netdiscover一是需要持续观察一小段时间比如确认某个时间段内有没有新设备接入二是需要了解动态变化比如排查 IP 冲突时观察 MAC 跳变。如果只是快速出个清单arp-scan更快但它的报告是静态的没有 Netdiscover 那种“扫描过程中设备上线就立刻显示”的体验。用一个对比表把两者的边界列清楚维度Netdiscoverarp-scan工作模式主动扫描 被动监听只有主动扫描界面TUI 实时刷新命令行一次性输出结果留档-l参数实时写文件重定向输出离线 pcap 分析支持-r读文件不支持大数据包适配适合中小网络适合大范围快速扫描5.2 与 nmap 配合二层发现和主机服务探测的衔接Netdiscover 管的是二层设备发现但它不关心 IP 上开放了哪些端口。拿到网段清单后把 IP 列表喂给 nmap 做端口和服务探测这是网络渗透测试的标准流程。具体操作时可以用管道直接串起来sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 1 -L | grep -E ^\d\. | awk {print $1} alive_ips.txt nmap -sV -sC -iL alive_ips.txt -oN service_scan.txt这样做的价值是避开了 nmap 的-sn阶段直接用 ICMP ping 探活可能被防火墙拒绝的问题——Netdiscover 用 ARP 探到的是真正在二层有响应的设备这些设备即使禁 ping 也会出现在列表中。将两层数据合并后你拿到的资产清单就包括了存活状态和服务信息能一次性看清楚“这个网段有哪些服务器、开了什么端口”。注意 nmap 的-sC带默认脚本在授权边界不明时容易引起告警内部巡检要谨慎使用。5.3 与 tcpdump 配套抓包验证扫描结果是否完整Netdiscover 的出包和回包实际上都是 libpcap 抓上来的因此完全可以用 tcpdump 同时抓这一动过程做核对。在另一个终端开启抓包只过滤 ARPsudo tcpdump -i eth0 arp -n -tttt arp_trace.txt然后执行 Netdiscover 扫描。扫描结束后用下面的命令统计 tcpdump 抓到的 ARP 回复数量与实际 Netdiscover 输出的 IP 数量是否一致grep Reply arp_trace.txt | wc -l如果两个数量明显不一致说明有 ARP 请求发出去了但回复丢失或者某些设备回复速度过慢Netdiscover 在等回复时已经超时。这时可以调大-c参数并调大-t的间隔让每个 IP 多等一段时间。这个验证手段在做网络故障复盘时特别有用能让 Netdiscover 的扫描结论不再是黑匣子而是可以被抓包证据支撑的客观数据。6. 进阶把 Netdiscover 跑成持续资产监控脚本到这里Netdiscover 的基本用法已经覆盖了扫描、监听、离线分析。真正让它在运维中发挥更大价值的是把它变成一个定期执行的资产监控工具。你可以写一个简单脚本每十分钟扫描一次然后与上一次结果做差分发现新增设备就发通知。脚本逻辑很简单核心步骤是执行扫描、保存结果、对比 /tmp 下的历史文件。我习惯用 Python 调用系统命令方便处理数据#!/usr/bin/env python3 import subprocess import hashlib import os def scan_network(): cmd sudo netdiscover -i eth0 -r 192.168.1.0/24 -t 10 -c 1 -L output subprocess.check_output(cmd, shellTrue, textTrue) lines [] for line in output.splitlines(): if line and line[0].isdigit(): fields line.split() if len(fields) 2: lines.append(f{fields[0]} {fields[1]}) return lines def main(): current scan_network() current_hash hashlib.md5(\n.join(current).encode()).hexdigest() stamp_file /tmp/netdiscover_last_hash if os.path.exists(stamp_file): with open(stamp_file) as f_old: old_hash f_old.read().strip() if old_hash ! current_hash: print([CHANGED] Network inventory changed.) for line in current: print(line) with open(stamp_file, w) as f_new: f_new.write(current_hash) if __name__ __main__: main()这个脚本把 Netdiscover 的每次扫描结果做 MD5 摘要通过对比摘要判断网络是否发生了变化。如果变化了就把当前完整列表打印出来方便后续接入告警渠道。逻辑说明scan_network()函数的核心是执行那条固定的扫描命令然后按以数字开头的行提取 IP 和 MACmain()里读取上次的摘要不一致就输出变更。参数说明扫描范围192.168.1.0/24要按你的实际网段改-t 10 -c 1保证扫描时长在 10 秒以内适合频繁巡检如果网络规模大可以把-t改到 20 甚至 30降低对在线业务的影响。跑定时任务时在 cron 里这样写*/10 * * * * /usr/bin/python3 /opt/network_monitor.py /var/log/network_monitor.log 21这个任务每十分钟执行一次日志留痕。如果监控发现网络有变化可以从日志里溯源具体时间点。实际用下来的经验是新增设备检测非常灵敏但也会因为无线设备休眠唤醒产生大量误报。所以我在脚本里增加了一个“宽限期”把连续两次扫描都出现的新设备才视为真正新增避免半夜收到无意义的告警。脚本里的-L参数让输出更干净但要注意-L模式下 Netdiscover 在扫描前会打印一行表头我的解析逻辑已经过滤掉非数字开头的行。有一回我巡检时为了图快把-c设成了 5 还嫌不够直接把-t改成了 1 毫秒结果扫描期间网内交换机 CPU 飙升监控告警响了半天。从那以后我每次写自动化脚本都强制检查-t和-c的乘积是否超过 50宁可多扫一会儿也不给网络添乱。Netdiscover 是个轻量工具但用它的参数时要尊重广播域的承受能力。希望这篇笔记能帮你少踩几个和我当年一样的坑。本文还有配套的精品资源点击获取