简介用于以太网环境诊断的 arping 工具源码包为网络管理员、协议学习者和 C 开发者提供了一份可直接编译运行的实战样例重点演示如何通过地址解析协议向指定主机发送请求并接收响应以获取其物理地址。压缩包共含十九个文件整体约二十一 KB其中 C 源文件与头文件构成核心代码另有 Visual Studio 的工程文件、过滤器及旧版本备份方便在 Windows 环境里打开并跟踪调试。已有七百三十一人学习使用。通过阅读 Arp 报文生成、以太网帧封装以及命令行交互等模块读者能快速理解 ARP 协议的工作流程从报文构建到网卡发送再到响应解析的全过程一目了然并可将示例改造成用于网络连通性检测、ARP 欺骗预警的小工具。项目虽小但结构清晰适合作为网络编程与协议分析的入门材料也可作为课程设计的参考代码。1. 先搞清楚 arping 是干嘛的一条命令把 IP 换成 MAC网络排查里最常遇到的场景是ping 网关能通但你想知道网关对应的网卡物理地址或者想确认某个空闲 IP 到底有没有主机在占用。单纯 ping 只能证明主机在线拿不到网卡硬件地址arping 就是干这个的——往以太网里发一条 ARP 请求目标主机只要在线就会回包它的 MAC 地址直接打印在终端里。我最初接触 arping是排查交换机下接的哑终端设备设备不开机但网线还插着ping 不通用 arping 却能测出交换机是否还记住了它的 MAC。对做网络运维、嵌入式调试、写局域网扫描脚本的人来说arping 是比 ping 更底层一层的探针能看到第二层的信息。2. 安装与第一条命令从装包到拿到目标 MAC 的完整链路2.1 三种安装方式和一条验证命令先解决工具本身。Debian/Ubuntu 系的机器一条命令装完sudo apt-get install arpingCentOS/RHEL 系用 yum包名有时叫iputils-arping有时叫arping取决于发行版仓库的命名习惯sudo yum install arping装完先验证版本顺便确认是不是 GNU 版的 arping。这个细节很关键后面会提到——某些发行版默认装的是 iputils 版用法和输出格式有差异arping -V逻辑说明-V打印版本号。如果是 iputils 版输出类似arping utility, iputils version如果是 GNU 版的 arping常见于apt install arping装出来的 Thomas Habets 维护版输出会带上 build 信息。两个版本的参数体系大体一致但-D、-U这类高级参数的行为稍有区别下文会专门讲。参数说明-V只是版本探测不属于日常使用参数。真正的实用参数从-I开始下面逐步展开。2.2 第一条命令的完整解读从 ARP 请求到打印 MAC装好之后直接对网段内一台主机发请求。假设你的网卡叫eth0目标主机 IP 是192.168.1.1sudo arping -I eth0 -c 4 192.168.1.1正常回复长这样GNU 版输出ARPING 192.168.1.1 from 192.168.1.100 eth0 Unicast reply from 192.168.1.1 [00:1A:2B:3C:4D:5E] 0.876ms Unicast reply from 192.168.1.1 [00:1A:2B:3C:4D:5E] 0.712ms Unicast reply from 192.168.1.1 [00:1A:2B:3C:4D:5E] 0.854ms Unicast reply from 192.168.1.1 [00:1A:2B:3C:4D:5E] 0.801ms Sent 4 probes (4 broadcast(s)) Received 4 responses (0 requests)逻辑说明sudo必须有权限才能发裸 ARP 包-I eth0指定从哪个网卡发出去不指定的话 arping 有可能走默认路由选了错误网卡-c 4表示只发 4 次探测就停避免无限发包发到天荒地老。[00:1A:2B:3C:4D:5E]就是目标主机的 MAC中间那串0.876ms是收到回包的时延。参数说明-I后面跟的是网卡名不是 IP。不确定网卡名就执行ip link或ifconfig -a看一眼。-c不设置的话默认会一直发下去脚本里必须强制指定。2.3 退出码与脚本里的判断逻辑arping 退出码是个容易踩坑的点。-c指定次数跑完后正常匹配返回 0-w超时内没等到回复返回非零值。在脚本里直接拿退出码判断在线状态时要注意 iputils 版和 GNU 版的差异前者成功返回 0失败返回 1后者对“收到回复但数量不够”的场景也会返回非零。sudo arping -I eth0 -c 1 -w 2 192.168.1.1 /dev/null 21 if [ $? -eq 0 ]; then echo 主机在线 else echo 无响应或超时 fi逻辑说明把输出重定向到/dev/null只保留退出码。-w 2是总超时 2 秒-c 1是发 1 次请求。整个命令块放进if判断是脚本探测主机存活的最小范式。参数说明-w的单位是秒控制整个命令的最长等待时间。当-c和-w同时存在时先到者生效。调大-w能容忍丢包但会拖慢批量扫描的节奏。3. 深入参数细节指定网卡、超时重试与不回源边界3.1 一张表讲透常用参数我用 arping 的频率不算低真正天天用的参数就这几个参数作用典型值备注-I 网卡指定发包用的网卡eth0、ens33多网卡机器必加-c 次数发送探测包次数1、4不设会无限发-w 秒总超时上限2、5与-c先到者生效-t MAC指定目标 MAC做单播探测00:11:22:33:44:55跨网段排障有用-s IP指定源 IP本机 IP不指定时自动选-r只输出 MAC 地址无参数值适合脚本提取-x只输出 IP 地址无参数值与-r二选一-q安静模式不打印回复明细无参数值配合退出码使用-U发送 Gratuitous ARP 更新无参数值用于刷新交换机 MAC 表-D检测 IP 冲突无参数值返回 1 表示冲突存在逻辑说明-t单播探测是很多人忽略的功能。默认 arping 用广播发送请求-t指定目标 MAC 后会变成点对点的单播探测适合在目标主机 ARP 缓存未过期时快速拿 MAC也适合确认两台设备二层是否直通。参数说明-r和-x是 GNU 版独有的iputils 版不一定支持。跨平台写脚本时先确认版本否则参数不识别会直接报错退出。-U和-D放在一起看-U是主动告诉别人“我的 MAC 是这个”-D是问“这个 IP 有没有人用”。3.2 跨网段探测arping 不回源的两个边界arping 只能工作在同一个二层广播域内也就是同一网段。拿 arping 去 ping 一个跨路由的 IP绝大多数情况下收不到回复原因不是目标不在线而是 ARP 请求根本不会跨三层转发。常见做法是把-I指向目标网段对应的网关网卡再用-t指定网关的 MAC 来验证链路。sudo arping -I eth0 -s 192.168.1.100 -t 00:11:22:33:44:55 192.168.50.2逻辑说明这条命令从eth0出发源 IP 设为192.168.1.100目标 MAC 是网关00:11:22:33:44:55目标 IP 写成192.168.50.2。实际发出去的 ARP 请求目标是网关 MAC但包内携带的目标 IP 是远端主机。这种用法用来验证“链路到网关这一段是否健康”拿不到远端主机的 MAC。参数说明-s必须填本网卡的真实 IP填错会导致对端回包无人认领。-t填错则请求直接沉底连网关都不会理你。3.3 用-r直接提取 MAC少一步手工复制脚本里批量拿 MAC 时-r参数能省掉 grep 和 awk 的麻烦sudo arping -I eth0 -c 1 -w 2 -r 192.168.1.1输出只有一行 MAC干净利落00:1A:2B:3C:4D:5E逻辑说明-r让 arping 只打印目标 MAC 的裸字符串没有前缀没有时延。配合$(...)命令替换直接赋值给变量避免解析输出文本时被时延数字干扰。参数说明-r在 iputils 版里是“以 raw 模式显示”但行为可能不同建议在目标机器上先手动跑一次看输出格式。GNU 版下-r和-x互斥同一命令里同时出现会导致参数解析异常。4. 批量扫描整个以太网段循环脚本与并发控制4.1 写一个/24网段扫描脚本单机探测只是热身实际运维场景里经常要扫一整个网段找出哪些 IP 在线、它们对应的 MAC 是什么。最朴素的做法是 for 循环#!/bin/bash for i in $(seq 1 254); do mac$(sudo arping -I eth0 -c 1 -w 1 -r 192.168.1.$i 2/dev/null) if [ -n $mac ]; then echo 192.168.1.$i - $mac fi done逻辑说明seq 1 254生成 1 到 254 的 IP 尾段每个 IP 发 1 次探测、等 1 秒。-r只输出 MAC2/dev/null把错误信息丢掉[ -n $mac ]判断变量非空——非空说明有回复把 IP 和 MAC 打出来。这个脚本能跑但 254 个 IP 串行扫完最坏情况要 254 秒太慢。参数说明-w 1是关键调优点。同一网段的主机正常响应在毫秒级1 秒等待足够改成-w 3会明显拖慢整体除非网络异常。-c 1表示只发一次不重试适合快速摸底。4.2 并发加速后台任务与 wait 的配合串行太慢改成并发。常见做法是每扫一个 IP 丢一个后台任务最后统一 wait 汇总#!/bin/bash rm -f /tmp/arp_result.txt for i in $(seq 1 254); do ( mac$(sudo arping -I eth0 -c 1 -w 1 -r 192.168.1.$i 2/dev/null) if [ -n $mac ]; then echo 192.168.1.$i - $mac /tmp/arp_result.txt fi ) done wait cat /tmp/arp_result.txt逻辑说明每个 IP 的探测放进子 shell 里末尾的甩到后台。wait等待所有后台任务结束后再统一读取结果文件。并发数受系统进程数限制/24网段 254 个并发进程对现代机器没有压力。参数说明并发写文件有竞争风险但 arping 输出很短写入冲突概率极低。如果追求严谨每个子 shell 用独立临时文件再合并也行实际意义不大。wait不带任何参数表示等待所有后台任务。4.3 先 ping 后 arping 的筛选思路并发 arping 全扫虽然快但会刷出大量广播包规模大时容易打扰网络。折中思路是先用fping或普通 ping 做一层 IP 层过滤只对回应的主机做 arping 拿 MAC#!/bin/bash for ip in $(fping -a -g 192.168.1.0/24 2/dev/null); do mac$(sudo arping -I eth0 -c 1 -w 1 -r $ip 2/dev/null) echo $ip - ${mac:-无响应} done逻辑说明fping -a -g 192.168.1.0/24直接列出所有能 ping 通的 IP-a表示只显示存活主机。循环对这些 IP 做 arping拿 MAC。这个方案的最大价值是减少广播包数量——只有活着的机器才会收到 ARP 请求。参数说明fping不是所有系统自带CentOS 装epel-release后可用。${mac:-无响应}是 shell 变量默认值语法避免变量为空时输出空行。5. 避坑手册六个 arping 常见问题与排查方法5.1 有去无回的 “no reply” 不一定是主机离线现象同一网段内 ping 目标主机完全正常arping 却一直no reply。原因最常见的坑是目标主机的防火墙或交换机端口安全策略丢弃了 ARP 请求。部分国产交换机的端口安全默认只允许特定 MAC 通过未知 MAC 发来的 ARP 直接丢弃。另外Windows 防火墙对 ICMP 放行不等于对 ARP 放行一些安全软件会拦截裸 ARP 包。解决先确认目标主机的 IP 是否真的配置在当前网段用ip neigh看本机 ARP 缓存有没有记录再检查交换机端口安全配置临时放行或关闭端口安全重测如果是 Windows 主机查一下防火墙的 ARP 过滤策略。排除以上仍不回复才判断主机离线。5.2 拿到 MAC 却不匹配多网卡和虚拟接口的干扰现象arping 返回了一个 MAC但和目标主机网卡上贴的标签物理地址对不上。原因目标主机可能有多块网卡或开启了虚拟化桥接。KVM、VMware 的虚拟网卡 MAC 是软件生成的和物理 MAC 无对应关系。另外Linux 的 bonding、macvlan 等接口会随机生成新 MAC。解决用arping -I指定从特定网卡探测避免多路径干扰到目标主机上执行ip link查看所有接口的 MAC对照判断哪块真实存在。虚拟化环境下拿到的 MAC 是虚拟机虚拟网卡的地址不代表宿主机的物理网卡地址。5.3 arping 和 ping 结果不一致的边界现象同一台主机ping 通但 arping 超时或反过来。原因arping 依赖的目标主机的 ARP 协议栈回复能力ping 依赖 ICMP 协议栈。某些网络设备如接入层交换机的管理接口对 ICMP 回应得很好但对未知 MAC 的 ARP 请求做了限速或过滤。反过来一些嵌入式设备出厂时只实现 ARP 回复不响应 ICMP就出现 arping 通但 ping 不通。解决把结果当两个独立指标看不要互相替代。排查二层问题时接受“arping 通”作为主机在二层存在的证据排查三层连通性时再依赖 ping。5.4 网卡名写错导致 permission denied现象命令执行后立刻报permission denied或者bind: Network is unreachable。原因arping 发裸包需要绑定原始套接字网卡名写错时内核无法绑定到有效接口表现为权限错误。很多人第一反应是 sudo 没用对其实根源在-I参数的网卡名。解决先执行ip link确认网卡实际名称Ubuntu 18.04 之后的系统网卡名可能是ens33或enp0s3不是常见的eth0。确认后重写-I参数再考虑 sudo 问题。5.5 批量扫描时广播风暴拖垮交换机现象脚本加了并发后交换机 CPU 居高不下其他业务出现卡顿。原因arping 默认用广播帧发送请求并发 254 个广播瞬间打满交换机的 ARP 处理能力。家用交换机和小型办公交换机没有防护机制直接被打满。解决改成先 fping 过滤再 arping。确实需要全扫时把并发降到 20 到 30 个一批分多轮执行。另可减少单个 IP 的探测次数-c 1够用就不发第二次。5.6-U发免费 ARP 后被网关踢掉现象用arping -U -c 3 -I eth0 自己的IP验证 IP 冲突结果网络中断本机被网关注销。原因-U发送的是 Gratuitous ARP作用是主动广播“这个 IP 是我”。如果网线接的是交换机端口而交换机端口配置了 MAC 漂移检测大量免费 ARP 会被判定为地址冲突行为触发保护动作把端口 shutdown。解决-U只发一次-c 1不要高频发送。验证 IP 冲突优先用-D模式它设计用途是冲突检测行为更保守。6. 拿到 MAC 之后的一个进阶技巧用ip neigh验证 ARP 缓存状态arping 拿到的 MAC 是一次性结论但主机上线后 ARP 缓存会更新旧条目可能残留好几分钟。想确认目标主机的 MAC 是否真的被系统记住用ip neigh看缓存表更直观ip neigh show 192.168.1.1输出192.168.1.1 dev eth0 lladdr 00:1A:2B:3C:4D:5E REACHABLE说明内核已经记录了这条解析。状态是STALE或DELAY时说明条目即将过期此时再 arping 一次能刷新为REACHABLE。这个组合用法在排查“ping 通但 MAC 对不上”的问题时非常有用——先用 arping 拿到实时 MAC再对比ip neigh里的 lladdr不一致就是缓存残留不是真实地址错误。我自己的习惯是批量扫描前先看一眼交换机的 MAC 表再跑 arping 对比两边的 MAC 差异能直接定位到端口误插或 VLAN 划分错误。曾经排查一个监控网段的故障arping 全部在线但ip neigh里一半条目是 STALE交换机 MAC 表却已经老化最后定位到是交换机老化时间设太短。从那以后我每次做二层巡检都强制走一遍“先看 MAC 表、再 arping、最后 ip neigh 验证”的流程三步下来基本没有遗漏。希望这些参数和排查思路能帮到你少走我踩过的弯路。本文还有配套的精品资源点击获取
