简介这份PDF资料面向网络管理员与运维初学者聚焦网络中重复IP地址的检测与IP地址冲突的防范问题。内容从冲突成因讲起涵盖静态地址误配、DHCP范围重叠、设备休眠唤醒后重新占用地址等典型场景并给出可落地的排查思路。资源共1个PDF文件压缩包约42KB篇幅精炼适合作为日常巡检与故障排查的速查参考。资料重点介绍了利用ARP数据包检测重复IP的方法向目标IP发送ARP请求若收到多个不同MAC地址回应即可判定存在冲突同时说明了Nmap进行本地子网ARP扫描的用法以及思科路由器ARP广播、微软TCP/IP协议栈自动检测等辅助手段。此外还整理了使用DHCP自动分配、维护静态地址记录、定期扫描、配置DHCP服务器避免范围重叠等预防建议。目前已有11118人学习下载适合需要快速掌握重复IP检测与冲突预防要点的读者参考。1. 重复 IP 是怎么把一张网搞瘫的从 ARP 冲突到 DHCP 地址池翻车办公室里最玄学的故障不是交换机烧了也不是光纤被挖断而是某天早上大家陆续反馈「网时通时断」。你 ping 网关前三个包通第四个超时第五个又通打开arp -a网关的 MAC 地址一会儿是这个、一会儿是那个。这种场景十有八九是网络里出现了重复 IP 地址——两台设备配了同一个 IP或者一台静态配置的设备抢了 DHCP 地址池里已经租出去的地址。重复 IP 的本质是二层寻址的冲突。同一广播域内IP 到 MAC 的映射靠 ARP 维护当两个网卡都声称自己拥有同一个 IP交换机的 MAC 地址表就会在两个端口之间反复翻转发往这个 IP 的流量被轮流投递到两台机器表现就是丢包、延迟抖动、TCP 连接被重置。它不会像环路那样瞬间打满带宽而是像慢性病一样让局部网络持续不稳定排查起来非常费时间。这篇内容面向的是需要维护局域网稳定性的运维、网络工程师以及被「IP 冲突」告警反复骚扰的 IT 支持人员。我会把检测重复 IP 的几条可靠路径讲清楚从 ARP 表这个最直接的证据源到 DHCP 服务端的租约审计再到用 Nmap 做主动扫描最后落到路由器与交换机的配置侧预防。目标很明确——让你下次遇到 IP 冲突时能在十分钟内定位到冲突设备接在哪个端口而不是靠拔网线碰运气。2. 先搞懂 ARP 与 DHCP 在冲突里各自扮演什么角色2.1 ARP 缓存是发现重复 IP 的第一现场ARP 协议的工作方式决定了它是重复 IP 最敏感的探测器。当主机 A 想和 IP192.168.1.100通信时它广播一个 ARP 请求「谁有 192.168.1.100请告诉 192.168.1.1」。正常情况下只有一个设备回应。如果存在重复 IP你会收到两个不同的 ARP 应答携带两个不同的 MAC 地址。在 Linux 或 macOS 上arp -a会显示当前 ARP 缓存。如果同一个 IP 对应的 MAC 地址在短时间内发生变化基本可以确认冲突。Windows 上同样可以用arp -a但 Windows 的 ARP 缓存更新策略更保守有时需要先arp -d清空再重新触发。# Linux 下持续观察网关 IP 的 MAC 变化间隔 1 秒共 20 次 for i in $(seq 1 20); do arp -n 192.168.1.1 | awk {print $1, $3, strftime(%H:%M:%S)} sleep 1 done这段脚本的逻辑很简单每次读取 ARP 表中指定 IP 的 MAC 地址并打印时间戳。如果输出里 MAC 地址出现交替说明有两个设备在响应同一个 IP 的 ARP 请求。参数上-n表示不解析主机名避免 DNS 查询拖慢输出awk提取第一列IP和第三列MAC。实际排查时把192.168.1.1换成你怀疑冲突的地址即可。注意ARP 缓存有老化时间Linux 默认约 60 秒Windows 约 15 到 45 秒。观察窗口要覆盖至少两个老化周期否则可能漏判。2.2 DHCP 租约冲突地址池里的「隐形占位」DHCP 场景下的重复 IP 更隐蔽。常见情况有三种一是静态配置的设备占用了 DHCP 地址池范围内的地址DHCP 服务器不知情把这个地址又租给了别人二是 DHCP 服务器迁移或重建后租约文件丢失旧租约仍在客户端生效新服务器重新分配了相同地址三是多个 DHCP 服务器在同一广播域内同时工作各自分配地址时没有协调。检测 DHCP 租约冲突核心是拿到服务端的租约数据库和实际在线的设备做比对。以常见的isc-dhcp-server为例租约文件通常在/var/lib/dhcp/dhcpd.leases。# 提取当前有效租约中的 IP 和 MAC 对应关系 grep -E ^(lease| hardware ethernet| binding state active) /var/lib/dhcp/dhcpd.leases \ | awk /^lease/{ip$2} /hardware ethernet/{mac$3} /binding state active/{print ip, mac}这段命令逐行扫描租约文件用awk状态机把lease行里的 IP、hardware ethernet行里的 MAC、以及状态为active的记录关联起来输出。参数说明binding state active过滤掉已释放或过期的租约如果你的 DHCP 服务是华为交换机内置的租约查看命令是display ip pool used输出格式不同但思路一致——拿到 IP 与 MAC 的绑定关系。拿到租约列表后下一步是确认这些 IP 当前是否真的只被一个 MAC 使用。可以在核心交换机上查 ARP 表和租约做交叉比对。华为交换机用display arp all思科用show ip arp。如果某个 IP 在 ARP 表里对应两个 MAC或者 ARP 表里的 MAC 和租约里的 MAC 不一致冲突就坐实了。2.3 为什么交换机 MAC 地址表翻转是冲突的「黑匣子」很多人只盯着 ARP忽略了交换机 MAC 地址表的异常。当两个设备使用同一个 IP 但 MAC 不同时交换机会在收到源 MAC 为 A 的帧时把端口 1 和 MAC A 绑定收到源 MAC 为 B 的帧时把端口 2 和 MAC B 绑定。这本身没问题问题在于发往这个 IP 的流量会根据 ARP 解析结果选择 MAC而 ARP 解析结果在两端之间摇摆导致交换机不断更新同一个 MAC 的出口端口。在华为或 H3C 交换机上display mac-address | include MAC可以看到某个 MAC 对应的端口。如果同一个 MAC 在极短时间内出现在不同端口说明有设备在冒充或存在环路。更直接的信号是交换机的日志里出现MAC address flapping告警。这个告警是定位重复 IP 的强证据因为它直接告诉你哪个 MAC 在哪些端口之间翻转。# 华为交换机查看 MAC 地址漂移告警日志 display logbuffer | include MAC # 查看指定 MAC 的地址表项 display mac-address | include 5489-98xx-xxxx参数上logbuffer是交换机内存中的日志缓冲区include MAC过滤出与 MAC 相关的条目。如果你看到MAC move或flapping关键字记录下涉及的端口号直接去那两个端口查接了什么设备重复 IP 的源头就在其中。3. 用 Nmap 主动扫描定位重复 IP 的实操步骤3.1 Nmap 扫描前的准备与参数选择被动观察 ARP 表适合已知怀疑对象的情况但如果你连哪个 IP 冲突都不确定就需要主动扫描。Nmap 是这里最顺手的工具它能在扫描过程中发现同一 IP 响应多个 MAC 的异常。先确认 Nmap 已安装。Kali 自带CentOS 用yum install nmapUbuntu 用apt install nmap。扫描局域网时最有效的参数组合是-snping 扫描不做端口扫描配合-PRARP ping。在同一个二层网络里ARP ping 比 ICMP ping 可靠得多因为很多主机防火墙会拦 ICMP 但不拦 ARP。# 对整个 /24 网段做 ARP 扫描输出 IP 和 MAC nmap -sn -PR 192.168.1.0/24 -oG scan_result.txt参数说明-sn告诉 Nmap 只做主机发现不扫端口速度快-PR强制使用 ARP 请求做发现仅适用于本地网段-oG输出 grep 友好格式方便后续用脚本提取。扫描完成后scan_result.txt里每行包含Host: 192.168.1.x (MAC: xx:xx:xx:xx:xx:xx)这样的记录。3.2 从扫描结果里筛出重复 IP 的脚本写法Nmap 正常扫描不会主动告诉你「这个 IP 有两个 MAC」因为它在设计上假设一个 IP 对应一个主机。但你可以通过多次扫描并比对结果来发现异常。更直接的办法是用arp-scan工具它专门做二层发现输出格式更适合检测重复。# 使用 arp-scan 扫描局域网输出 IP、MAC、厂商 sudo arp-scan --interfaceeth0 --localnet # 如果只能用 Nmap连续扫描两次并比对 MAC nmap -sn -PR 192.168.1.0/24 -oG scan1.txt sleep 5 nmap -sn -PR 192.168.1.0/24 -oG scan2.txt # 提取两次扫描中同一 IP 的 MAC找出不一致的 grep Host: scan1.txt | awk {print $2, $NF} | sort mac1.txt grep Host: scan2.txt | awk {print $2, $NF} | sort mac2.txt diff mac1.txt mac2.txtarp-scan的输出里如果同一个 IP 出现两行不同 MAC冲突就直接暴露了。用 Nmap 两次扫描再diff的思路逻辑是正常设备 MAC 不会变如果两次扫描之间某个 IP 的 MAC 变了要么是设备换了网卡概率极低要么就是有两个设备在抢这个 IP。awk {print $2, $NF}提取 IP 和最后一个字段MACsort保证顺序一致后再比对。注意扫描前确认你有网络管理员的授权。未经授权的扫描在某些环境里会被安全设备拦截并告警别给自己找麻烦。3.3 结合 DHCP 中继与路由器 ARP 表做交叉验证Nmap 扫描能发现「当前在线」的冲突但如果冲突设备是间歇性上线比如员工笔记本偶尔接入扫描可能刚好错过。这时候需要回到网络设备侧做交叉验证。在华为 AR 路由器上display arp all会列出所有 ARP 表项。如果某个 IP 对应的 MAC 在短时间内变化路由器日志里会有记录。更系统的做法是开启 ARP 检测功能。华为交换机支持arp anti-attack check user-bind enable配合 DHCP Snooping 绑定表可以自动丢弃 IP 与 MAC 不匹配的 ARP 报文。这个配置的本质是把 DHCP Snooping 生成的「IP-MAC-端口」绑定表作为合法依据任何不符合绑定表的 ARP 报文都被视为攻击或冲突。# 华为交换机开启 DHCP Snooping 和 ARP 检测 system-view dhcp snooping enable dhcp snooping trusted interface GigabitEthernet0/0/1 arp anti-attack check user-bind enable参数说明dhcp snooping trusted指定连接 DHCP 服务器的上行端口为信任端口只有信任端口的 DHCP 应答才被转发arp anti-attack check user-bind enable开启后交换机检查 ARP 报文中的 IP 和 MAC 是否与绑定表一致不一致就丢弃。这个配置能从根本上阻止重复 IP 设备对外通信但前提是绑定表已经通过 DHCP Snooping 正确生成。如果网络里有大量静态 IP 设备需要手动添加静态绑定否则它们会被误杀。4. 排查重复 IP 时最容易踩的五个坑4.1 只清 ARP 缓存不找根源十分钟后故障重现现象发现冲突后执行arp -d清空缓存网络恢复了几分钟然后又开始丢包。 原因清 ARP 缓存只是让主机重新发起 ARP 请求如果冲突设备还在线新的 ARP 应答依然会从两个 MAC 返回缓存很快又进入摇摆状态。 解决清缓存只是临时验证手段必须同时用arp-scan或交换机 MAC 表定位冲突设备的物理端口把其中一台设备关机或改 IP才算真正解决。4.2 在跨网段环境里用 Nmap ARP 扫描结果一片空白现象执行nmap -sn -PR 10.0.0.0/24后没有任何主机被发现但网段里明明有设备。 原因-PR是 ARP 扫描只能在本地二层广播域内工作。如果你在三层路由的另一端ARP 请求无法跨网段传播。 解决跨网段扫描改用-PEICMP echo或-PSTCP SYN ping但要注意这些方式可能被防火墙拦截。更可靠的做法是登录目标网段的核心交换机查 ARP 表而不是从远端扫描。4.3 DHCP 地址池排除范围没配静态 IP 和动态租约撞车现象某台打印机配置了静态 IP192.168.1.50运行几天后突然无法访问ping 显示 IP 被另一台笔记本占用。 原因DHCP 地址池范围是192.168.1.10到192.168.1.200没有把192.168.1.50排除DHCP 服务器在租约到期后把这个地址分配给了笔记本。 解决在 DHCP 配置里用excluded-address或华为的excluded-ip-address把静态 IP 段排除。更规范的做法是静态 IP 统一规划在地址池范围之外比如地址池用.100到.200静态设备用.2到.99。4.4 多台 DHCP 服务器共存客户端拿到两个网段的地址现象同一局域网内部分设备能上网部分设备拿到169.254.x.x或另一个网段的 IP互相 ping 不通。 原因网络里接入了第二台 DHCP 服务器比如有人私接了一台家用路由器它的地址池和主 DHCP 服务器重叠或冲突客户端先收到谁的应答就用谁的。 解决在接入交换机上开启 DHCP Snooping把连接合法 DHCP 服务器的端口设为 trusted其他端口设为 untrusteduntrusted 端口收到的 DHCP Offer 报文直接丢弃。同时排查私接路由器拔掉或改为 AP 模式。4.5 交换机 MAC 地址表翻转告警被忽略拖到全网瘫痪才处理现象交换机日志里反复出现MAC address flapping但网络还能用运维没当回事。某天整个楼层断网重启交换机才恢复。 原因MAC 翻转说明存在二层环路或重复 IP 冒充持续翻转会耗尽交换机 CPU 和 MAC 表空间最终导致转发面崩溃。 解决把 MAC 翻转告警接入监控系统收到告警后立即定位端口。华为交换机可以用display mac-address flapping查看翻转记录结合display interface brief确认端口状态。如果确认是重复 IP 导致按前面章节的方法定位并隔离设备。5. 从检测到预防把重复 IP 挡在发生之前检测重复 IP 是事后补救真正省心的做法是让冲突压根不发生。我自己的习惯是新网络上线时就把 DHCP Snooping 和 IP-MAC 绑定表配好静态 IP 设备全部登记在案地址池范围留足余量。这样即使有人私接设备交换机也会在第一层把它拦下来。一个具体技巧是定期做「租约-ARP 表」对账。写一个脚本每天凌晨从 DHCP 服务器导出活跃租约再从核心交换机导出 ARP 表比对两者的 IP-MAC 映射。不一致的记录自动发邮件告警。这个脚本用 Python 写最顺手核心逻辑就是两个字典的键值比对。import re def parse_leases(filepath): leases {} with open(filepath) as f: content f.read() # 匹配 lease 块中的 IP 和 hardware ethernet for block in re.findall(rlease (\d\.\d\.\d\.\d) \{(.*?)\}, content, re.S): ip, body block mac_match re.search(rhardware ethernet ([\da-f:]), body) state_match re.search(rbinding state (\w), body) if mac_match and state_match and state_match.group(1) active: leases[ip] mac_match.group(1).lower() return leases def parse_arp_table(filepath): arp {} with open(filepath) as f: for line in f: # 适配华为 display arp all 输出格式 parts line.split() if len(parts) 3 and re.match(r\d\.\d\.\d\.\d, parts[0]): arp[parts[0]] parts[1].lower() return arp leases parse_leases(/var/lib/dhcp/dhcpd.leases) arp parse_arp_table(arp_table.txt) for ip, mac in leases.items(): if ip in arp and arp[ip] ! mac: print(f冲突告警: {ip} 租约MAC{mac}, ARP表MAC{arp[ip]})这段代码的逻辑是parse_leases用正则提取租约文件中所有active状态的 IP 和 MACparse_arp_table解析交换机 ARP 表输出这里按华为格式处理思科格式需要调整列索引最后遍历租约字典如果同一个 IP 在 ARP 表里的 MAC 和租约不一致就打印告警。参数上re.S让正则的.匹配换行符因为租约块是多行的lower()统一 MAC 大小写避免格式差异导致误判。这个脚本我跑了两年多抓到过三次静态 IP 和 DHCP 租约撞车的情况每次都是在用户报障之前就处理掉了。唯一要注意的是交换机 ARP 表的输出格式因厂商和型号而异华为、思科、H3C 的列顺序不同解析函数需要按实际输出调整。别指望一份脚本通吃所有设备但思路是通用的拿到两边的 IP-MAC 映射比对不一致就查。最后说个血泪教训曾经有一次为了省事在核心交换机上没配 DHCP Snooping结果一台测试机手动配了网关的 IP整个办公区断网半小时。从那以后我经手的每一台接入交换机DHCP Snooping 和 ARP 检测都是标配没有例外。希望帮到你。本文还有配套的精品资源点击获取 重复IP冲突排查指南：从ARP、DHCP到Nmap检测与预防
简介这份PDF资料面向网络管理员与运维初学者聚焦网络中重复IP地址的检测与IP地址冲突的防范问题。内容从冲突成因讲起涵盖静态地址误配、DHCP范围重叠、设备休眠唤醒后重新占用地址等典型场景并给出可落地的排查思路。资源共1个PDF文件压缩包约42KB篇幅精炼适合作为日常巡检与故障排查的速查参考。资料重点介绍了利用ARP数据包检测重复IP的方法向目标IP发送ARP请求若收到多个不同MAC地址回应即可判定存在冲突同时说明了Nmap进行本地子网ARP扫描的用法以及思科路由器ARP广播、微软TCP/IP协议栈自动检测等辅助手段。此外还整理了使用DHCP自动分配、维护静态地址记录、定期扫描、配置DHCP服务器避免范围重叠等预防建议。目前已有11118人学习下载适合需要快速掌握重复IP检测与冲突预防要点的读者参考。1. 重复 IP 是怎么把一张网搞瘫的从 ARP 冲突到 DHCP 地址池翻车办公室里最玄学的故障不是交换机烧了也不是光纤被挖断而是某天早上大家陆续反馈「网时通时断」。你 ping 网关前三个包通第四个超时第五个又通打开arp -a网关的 MAC 地址一会儿是这个、一会儿是那个。这种场景十有八九是网络里出现了重复 IP 地址——两台设备配了同一个 IP或者一台静态配置的设备抢了 DHCP 地址池里已经租出去的地址。重复 IP 的本质是二层寻址的冲突。同一广播域内IP 到 MAC 的映射靠 ARP 维护当两个网卡都声称自己拥有同一个 IP交换机的 MAC 地址表就会在两个端口之间反复翻转发往这个 IP 的流量被轮流投递到两台机器表现就是丢包、延迟抖动、TCP 连接被重置。它不会像环路那样瞬间打满带宽而是像慢性病一样让局部网络持续不稳定排查起来非常费时间。这篇内容面向的是需要维护局域网稳定性的运维、网络工程师以及被「IP 冲突」告警反复骚扰的 IT 支持人员。我会把检测重复 IP 的几条可靠路径讲清楚从 ARP 表这个最直接的证据源到 DHCP 服务端的租约审计再到用 Nmap 做主动扫描最后落到路由器与交换机的配置侧预防。目标很明确——让你下次遇到 IP 冲突时能在十分钟内定位到冲突设备接在哪个端口而不是靠拔网线碰运气。2. 先搞懂 ARP 与 DHCP 在冲突里各自扮演什么角色2.1 ARP 缓存是发现重复 IP 的第一现场ARP 协议的工作方式决定了它是重复 IP 最敏感的探测器。当主机 A 想和 IP192.168.1.100通信时它广播一个 ARP 请求「谁有 192.168.1.100请告诉 192.168.1.1」。正常情况下只有一个设备回应。如果存在重复 IP你会收到两个不同的 ARP 应答携带两个不同的 MAC 地址。在 Linux 或 macOS 上arp -a会显示当前 ARP 缓存。如果同一个 IP 对应的 MAC 地址在短时间内发生变化基本可以确认冲突。Windows 上同样可以用arp -a但 Windows 的 ARP 缓存更新策略更保守有时需要先arp -d清空再重新触发。# Linux 下持续观察网关 IP 的 MAC 变化间隔 1 秒共 20 次 for i in $(seq 1 20); do arp -n 192.168.1.1 | awk {print $1, $3, strftime(%H:%M:%S)} sleep 1 done这段脚本的逻辑很简单每次读取 ARP 表中指定 IP 的 MAC 地址并打印时间戳。如果输出里 MAC 地址出现交替说明有两个设备在响应同一个 IP 的 ARP 请求。参数上-n表示不解析主机名避免 DNS 查询拖慢输出awk提取第一列IP和第三列MAC。实际排查时把192.168.1.1换成你怀疑冲突的地址即可。注意ARP 缓存有老化时间Linux 默认约 60 秒Windows 约 15 到 45 秒。观察窗口要覆盖至少两个老化周期否则可能漏判。2.2 DHCP 租约冲突地址池里的「隐形占位」DHCP 场景下的重复 IP 更隐蔽。常见情况有三种一是静态配置的设备占用了 DHCP 地址池范围内的地址DHCP 服务器不知情把这个地址又租给了别人二是 DHCP 服务器迁移或重建后租约文件丢失旧租约仍在客户端生效新服务器重新分配了相同地址三是多个 DHCP 服务器在同一广播域内同时工作各自分配地址时没有协调。检测 DHCP 租约冲突核心是拿到服务端的租约数据库和实际在线的设备做比对。以常见的isc-dhcp-server为例租约文件通常在/var/lib/dhcp/dhcpd.leases。# 提取当前有效租约中的 IP 和 MAC 对应关系 grep -E ^(lease| hardware ethernet| binding state active) /var/lib/dhcp/dhcpd.leases \ | awk /^lease/{ip$2} /hardware ethernet/{mac$3} /binding state active/{print ip, mac}这段命令逐行扫描租约文件用awk状态机把lease行里的 IP、hardware ethernet行里的 MAC、以及状态为active的记录关联起来输出。参数说明binding state active过滤掉已释放或过期的租约如果你的 DHCP 服务是华为交换机内置的租约查看命令是display ip pool used输出格式不同但思路一致——拿到 IP 与 MAC 的绑定关系。拿到租约列表后下一步是确认这些 IP 当前是否真的只被一个 MAC 使用。可以在核心交换机上查 ARP 表和租约做交叉比对。华为交换机用display arp all思科用show ip arp。如果某个 IP 在 ARP 表里对应两个 MAC或者 ARP 表里的 MAC 和租约里的 MAC 不一致冲突就坐实了。2.3 为什么交换机 MAC 地址表翻转是冲突的「黑匣子」很多人只盯着 ARP忽略了交换机 MAC 地址表的异常。当两个设备使用同一个 IP 但 MAC 不同时交换机会在收到源 MAC 为 A 的帧时把端口 1 和 MAC A 绑定收到源 MAC 为 B 的帧时把端口 2 和 MAC B 绑定。这本身没问题问题在于发往这个 IP 的流量会根据 ARP 解析结果选择 MAC而 ARP 解析结果在两端之间摇摆导致交换机不断更新同一个 MAC 的出口端口。在华为或 H3C 交换机上display mac-address | include MAC可以看到某个 MAC 对应的端口。如果同一个 MAC 在极短时间内出现在不同端口说明有设备在冒充或存在环路。更直接的信号是交换机的日志里出现MAC address flapping告警。这个告警是定位重复 IP 的强证据因为它直接告诉你哪个 MAC 在哪些端口之间翻转。# 华为交换机查看 MAC 地址漂移告警日志 display logbuffer | include MAC # 查看指定 MAC 的地址表项 display mac-address | include 5489-98xx-xxxx参数上logbuffer是交换机内存中的日志缓冲区include MAC过滤出与 MAC 相关的条目。如果你看到MAC move或flapping关键字记录下涉及的端口号直接去那两个端口查接了什么设备重复 IP 的源头就在其中。3. 用 Nmap 主动扫描定位重复 IP 的实操步骤3.1 Nmap 扫描前的准备与参数选择被动观察 ARP 表适合已知怀疑对象的情况但如果你连哪个 IP 冲突都不确定就需要主动扫描。Nmap 是这里最顺手的工具它能在扫描过程中发现同一 IP 响应多个 MAC 的异常。先确认 Nmap 已安装。Kali 自带CentOS 用yum install nmapUbuntu 用apt install nmap。扫描局域网时最有效的参数组合是-snping 扫描不做端口扫描配合-PRARP ping。在同一个二层网络里ARP ping 比 ICMP ping 可靠得多因为很多主机防火墙会拦 ICMP 但不拦 ARP。# 对整个 /24 网段做 ARP 扫描输出 IP 和 MAC nmap -sn -PR 192.168.1.0/24 -oG scan_result.txt参数说明-sn告诉 Nmap 只做主机发现不扫端口速度快-PR强制使用 ARP 请求做发现仅适用于本地网段-oG输出 grep 友好格式方便后续用脚本提取。扫描完成后scan_result.txt里每行包含Host: 192.168.1.x (MAC: xx:xx:xx:xx:xx:xx)这样的记录。3.2 从扫描结果里筛出重复 IP 的脚本写法Nmap 正常扫描不会主动告诉你「这个 IP 有两个 MAC」因为它在设计上假设一个 IP 对应一个主机。但你可以通过多次扫描并比对结果来发现异常。更直接的办法是用arp-scan工具它专门做二层发现输出格式更适合检测重复。# 使用 arp-scan 扫描局域网输出 IP、MAC、厂商 sudo arp-scan --interfaceeth0 --localnet # 如果只能用 Nmap连续扫描两次并比对 MAC nmap -sn -PR 192.168.1.0/24 -oG scan1.txt sleep 5 nmap -sn -PR 192.168.1.0/24 -oG scan2.txt # 提取两次扫描中同一 IP 的 MAC找出不一致的 grep Host: scan1.txt | awk {print $2, $NF} | sort mac1.txt grep Host: scan2.txt | awk {print $2, $NF} | sort mac2.txt diff mac1.txt mac2.txtarp-scan的输出里如果同一个 IP 出现两行不同 MAC冲突就直接暴露了。用 Nmap 两次扫描再diff的思路逻辑是正常设备 MAC 不会变如果两次扫描之间某个 IP 的 MAC 变了要么是设备换了网卡概率极低要么就是有两个设备在抢这个 IP。awk {print $2, $NF}提取 IP 和最后一个字段MACsort保证顺序一致后再比对。注意扫描前确认你有网络管理员的授权。未经授权的扫描在某些环境里会被安全设备拦截并告警别给自己找麻烦。3.3 结合 DHCP 中继与路由器 ARP 表做交叉验证Nmap 扫描能发现「当前在线」的冲突但如果冲突设备是间歇性上线比如员工笔记本偶尔接入扫描可能刚好错过。这时候需要回到网络设备侧做交叉验证。在华为 AR 路由器上display arp all会列出所有 ARP 表项。如果某个 IP 对应的 MAC 在短时间内变化路由器日志里会有记录。更系统的做法是开启 ARP 检测功能。华为交换机支持arp anti-attack check user-bind enable配合 DHCP Snooping 绑定表可以自动丢弃 IP 与 MAC 不匹配的 ARP 报文。这个配置的本质是把 DHCP Snooping 生成的「IP-MAC-端口」绑定表作为合法依据任何不符合绑定表的 ARP 报文都被视为攻击或冲突。# 华为交换机开启 DHCP Snooping 和 ARP 检测 system-view dhcp snooping enable dhcp snooping trusted interface GigabitEthernet0/0/1 arp anti-attack check user-bind enable参数说明dhcp snooping trusted指定连接 DHCP 服务器的上行端口为信任端口只有信任端口的 DHCP 应答才被转发arp anti-attack check user-bind enable开启后交换机检查 ARP 报文中的 IP 和 MAC 是否与绑定表一致不一致就丢弃。这个配置能从根本上阻止重复 IP 设备对外通信但前提是绑定表已经通过 DHCP Snooping 正确生成。如果网络里有大量静态 IP 设备需要手动添加静态绑定否则它们会被误杀。4. 排查重复 IP 时最容易踩的五个坑4.1 只清 ARP 缓存不找根源十分钟后故障重现现象发现冲突后执行arp -d清空缓存网络恢复了几分钟然后又开始丢包。 原因清 ARP 缓存只是让主机重新发起 ARP 请求如果冲突设备还在线新的 ARP 应答依然会从两个 MAC 返回缓存很快又进入摇摆状态。 解决清缓存只是临时验证手段必须同时用arp-scan或交换机 MAC 表定位冲突设备的物理端口把其中一台设备关机或改 IP才算真正解决。4.2 在跨网段环境里用 Nmap ARP 扫描结果一片空白现象执行nmap -sn -PR 10.0.0.0/24后没有任何主机被发现但网段里明明有设备。 原因-PR是 ARP 扫描只能在本地二层广播域内工作。如果你在三层路由的另一端ARP 请求无法跨网段传播。 解决跨网段扫描改用-PEICMP echo或-PSTCP SYN ping但要注意这些方式可能被防火墙拦截。更可靠的做法是登录目标网段的核心交换机查 ARP 表而不是从远端扫描。4.3 DHCP 地址池排除范围没配静态 IP 和动态租约撞车现象某台打印机配置了静态 IP192.168.1.50运行几天后突然无法访问ping 显示 IP 被另一台笔记本占用。 原因DHCP 地址池范围是192.168.1.10到192.168.1.200没有把192.168.1.50排除DHCP 服务器在租约到期后把这个地址分配给了笔记本。 解决在 DHCP 配置里用excluded-address或华为的excluded-ip-address把静态 IP 段排除。更规范的做法是静态 IP 统一规划在地址池范围之外比如地址池用.100到.200静态设备用.2到.99。4.4 多台 DHCP 服务器共存客户端拿到两个网段的地址现象同一局域网内部分设备能上网部分设备拿到169.254.x.x或另一个网段的 IP互相 ping 不通。 原因网络里接入了第二台 DHCP 服务器比如有人私接了一台家用路由器它的地址池和主 DHCP 服务器重叠或冲突客户端先收到谁的应答就用谁的。 解决在接入交换机上开启 DHCP Snooping把连接合法 DHCP 服务器的端口设为 trusted其他端口设为 untrusteduntrusted 端口收到的 DHCP Offer 报文直接丢弃。同时排查私接路由器拔掉或改为 AP 模式。4.5 交换机 MAC 地址表翻转告警被忽略拖到全网瘫痪才处理现象交换机日志里反复出现MAC address flapping但网络还能用运维没当回事。某天整个楼层断网重启交换机才恢复。 原因MAC 翻转说明存在二层环路或重复 IP 冒充持续翻转会耗尽交换机 CPU 和 MAC 表空间最终导致转发面崩溃。 解决把 MAC 翻转告警接入监控系统收到告警后立即定位端口。华为交换机可以用display mac-address flapping查看翻转记录结合display interface brief确认端口状态。如果确认是重复 IP 导致按前面章节的方法定位并隔离设备。5. 从检测到预防把重复 IP 挡在发生之前检测重复 IP 是事后补救真正省心的做法是让冲突压根不发生。我自己的习惯是新网络上线时就把 DHCP Snooping 和 IP-MAC 绑定表配好静态 IP 设备全部登记在案地址池范围留足余量。这样即使有人私接设备交换机也会在第一层把它拦下来。一个具体技巧是定期做「租约-ARP 表」对账。写一个脚本每天凌晨从 DHCP 服务器导出活跃租约再从核心交换机导出 ARP 表比对两者的 IP-MAC 映射。不一致的记录自动发邮件告警。这个脚本用 Python 写最顺手核心逻辑就是两个字典的键值比对。import re def parse_leases(filepath): leases {} with open(filepath) as f: content f.read() # 匹配 lease 块中的 IP 和 hardware ethernet for block in re.findall(rlease (\d\.\d\.\d\.\d) \{(.*?)\}, content, re.S): ip, body block mac_match re.search(rhardware ethernet ([\da-f:]), body) state_match re.search(rbinding state (\w), body) if mac_match and state_match and state_match.group(1) active: leases[ip] mac_match.group(1).lower() return leases def parse_arp_table(filepath): arp {} with open(filepath) as f: for line in f: # 适配华为 display arp all 输出格式 parts line.split() if len(parts) 3 and re.match(r\d\.\d\.\d\.\d, parts[0]): arp[parts[0]] parts[1].lower() return arp leases parse_leases(/var/lib/dhcp/dhcpd.leases) arp parse_arp_table(arp_table.txt) for ip, mac in leases.items(): if ip in arp and arp[ip] ! mac: print(f冲突告警: {ip} 租约MAC{mac}, ARP表MAC{arp[ip]})这段代码的逻辑是parse_leases用正则提取租约文件中所有active状态的 IP 和 MACparse_arp_table解析交换机 ARP 表输出这里按华为格式处理思科格式需要调整列索引最后遍历租约字典如果同一个 IP 在 ARP 表里的 MAC 和租约不一致就打印告警。参数上re.S让正则的.匹配换行符因为租约块是多行的lower()统一 MAC 大小写避免格式差异导致误判。这个脚本我跑了两年多抓到过三次静态 IP 和 DHCP 租约撞车的情况每次都是在用户报障之前就处理掉了。唯一要注意的是交换机 ARP 表的输出格式因厂商和型号而异华为、思科、H3C 的列顺序不同解析函数需要按实际输出调整。别指望一份脚本通吃所有设备但思路是通用的拿到两边的 IP-MAC 映射比对不一致就查。最后说个血泪教训曾经有一次为了省事在核心交换机上没配 DHCP Snooping结果一台测试机手动配了网关的 IP整个办公区断网半小时。从那以后我经手的每一台接入交换机DHCP Snooping 和 ARP 检测都是标配没有例外。希望帮到你。本文还有配套的精品资源点击获取