通过监控ARP缓存表和DHCP服务器租约，结合IP地址中主机号与子网掩码的对应关系，网络管理员可以快速扫描并发现被修改的IP地址，从而解决IP冲突与安全风险。
什么是IP地址中的主机号？如何查询？
IP地址由网络号和主机号两部分组成，子网掩码界定了分界，IP 192.168.1.100/24，网络号是192.168.1.0，主机号是100,主机号唯一标识了同一网段内的设备。
查询主机号的方法很简单：将IP地址与子网掩码进行按位与运算得到网络号，剩余部分即主机号，也可以使用在线计算器或命令行工具，Windows的ipconfig，Linux的ifconfig,都能直接显示所属子网和主机部分。
理解主机号对于识别IP变更很有帮助，当一台设备的主机号发生改变，基本可以确定IP被人为修改，掌握IP地址主机号查询方法,是后续扫描的基础。
为什么要扫描修改了IP地址的主机？
在企业网络中，私自修改IP地址的后果很严重，IP地址冲突是最常见的，两台设备配置相同IP会导致双方频繁掉线，安全审计要求所有设备IP在管控范围内,未授权的IP修改可能意味着设备被入侵或用作跳板。
据统计，相当一部分网络故障报修与IP地址误改有关，行业共识认为，定期扫描网络并识别IP变更是网络管理员的必备技能。局域网IP地址冲突检测方法也因此成为网络维护中的高频需求。
如何扫描修改了IP地址的主机？四种方法详解
ARP表对比扫描
ARP表保存了IP与MAC的对应关系，定期执行arp命令并保存输出，对比前后差异,可以快速发现IP变更。
具体操作步骤：
- 在Windows中打开命令提示符，输入
arp -a > arp_baseline.txt,保存当前ARP表。 - 经过一段时间后，再次输入
arp -a > arp_current.txt。 - 使用文本比较工具（如Beyond Compare）或脚本比较两个文件,找出差异条目。
- 重点检查MAC地址相同但IP不同的行,这表示该设备修改了IP。
基线中有168.1.10 00-11-22-33-44-55，当前中变为168.1.20 00-11-22-33-44-55，说明MAC为00-11-22-33-44-55的设备将IP从.10改为了.20。
实用脚本示例（Windows批处理）：
arp -a > arp_%date:~0,4%%date:~5,2%%date:~8,2%.txt保存为bat文件，每天运行一次，积累历史数据,便于后期快速对比。
Ping扫描与主机发现
利用Ping扫描可以探测当前在线的IP地址，对比两次扫描结果，若某IP消失且新IP出现,则可能是同一设备修改了IP。
常用命令：
- nmap:
nmap -sn 192.168.1.0/24 -oG scan.txt输出主机列表。 - Windows:
for /L %i in (1,1,254) do ping -n 1 -w 100 192.168.1.%i && find "TTL"效率较低。 - Linux:
fping -a -g 192.168.1.0/24 2>/dev/null快速列出存活主机。
建议使用nmap，因为它支持输出格式化和脚本扩展，配合diff命令可以自动化对比扫描结果。
DHCP日志审计
如果网络使用DHCP，DHCP服务器记录所有租约，通过查看日志,可以找到同一MAC地址在不同时间获得的IP地址。
操作路径：
- Windows DHCP服务器：在事件查看器-应用程序和服务日志-Microsoft-Windows-DHCP Server Events/Operational中，筛选事件ID 10（分配成功）和ID 11（租约释放）。
- Linux DHCP服务器（通常为dhcpd）：查看
/var/log/dhcpd.log，使用grep过滤特定MAC,观察其IP变化历史。
grep 00:11:22:33:44:55 /var/log/dhcpd.log | grep "DHCPACK" 可以列出该MAC所有获得IP的记录。
IP地址管理工具（IPAM）
使用专用工具可以自动化扫描并记录IP历史。免费IP地址管理软件如phpIPAM、NetBox等，支持导入网络结构，定期扫描IP使用情况,当发现IP变更时发送告警。
- 推荐工具：Advanced IP Scanner（免费，图形化）、phpIPAM（开源，Web管理）、SolarWinds IPAM（商业，功能全面）。
- 操作步骤：安装工具，设置扫描范围，执行扫描,查看变更记录。
这些工具能直观展示主机号占用情况，并自动生成报表,极大减轻人工负担。
IP地址修改扫描工具对比：收费与免费
不同的工具适合不同规模的网络，下表对比四款常用工具，方便IP地址修改扫描工具对比时参考：
| 工具名称 | 类型 | 扫描速度 | 主要功能 | 费用 |
|---|---|---|---|---|
| nmap | 开源 | 极快 | 端口扫描，主机发现，脚本扩展 | 免费 |
| Advanced IP Scanner | 免费软件 | 快 | 图形化，局域网扫描，远程控制 | 免费 |
| SolarWinds IPAM | 商业 | 中等 | 自动发现，IP地址管理，告警 | 收费 |
| phpIPAM | 开源 | 中等 | Web界面，数据库支持，历史记录 | 免费 |
对于大多数中小企业，免费工具足够，如果需要严格审计和告警，商业工具更全面，选择时需考虑网络规模、预算和技术能力。
如何结合主机号快速判断IP变更
在规划网络时，管理员通常会为不同用途预留主机号段，办公区使用1-50，服务器使用51-100，打印机使用101-150，当扫描发现主机号出现在不属于它的区域，比如服务器段出现IP 192.168.1.20,则很可能设备被修改了IP。
如果同一子网内出现主机号超出规划范围，也需要排查，通过定期记录主机号分布，可以从宏观上掌握IP变更趋势，具体操作：将每次扫描结果去重后提取主机号，按数值排序,异常值一目了然。
常见问题解答：IP地址修改扫描常见问题
扫描时发现同一IP对应多个MAC，怎么办？
这种情况通常有两个原因：一是IP地址冲突，即两台设备配置了相同的IP；二是ARP攻击，恶意设备伪造MAC，建议立即断开网络，使用arp -d清空缓存，再逐一连接设备确认，对于冲突,更改其中一台的IP即可。
有没有免费的IP地址扫描工具推荐？
对于快速扫描，推荐Advanced IP Scanner和Angry IP Scanner，两者都提供图形界面，操作简单，如果需要长期监控和IP地址管理，可以考虑部署phpIPAM免费开源软件,支持自动发现和记录变更。
扫描IP修改时需要注意哪些操作细节？
确保有管理员权限，否则部分命令无法获取完整信息，扫描操作应在网络空闲时段进行，避免大量Ping包影响正常业务，建议建立基线数据，首次扫描后保存快照，方便后续对比,免费的IP地址扫描工具通常能满足日常需求。
通过上述方法，网络管理员可以轻松实现IP地址变更的扫描与发现，理解主机号概念，善用工具,网络管理将更加高效。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/559100.html
