计算IP主机地址范围是定位和扫描修改过IP主机的第一把钥匙，通过子网掩码与IP地址的与运算，就能圈定合法主机区间，再配合ARP扫描和ICMP探测即可锁定目标。
当一台主机偷偷改了IP地址,你不可能像翻通讯录一样直接找到它，网络世界里的“住址”是IP，但IP背后还藏着一层子网掩码，只有先算出合法的IP主机地址范围，你才知道该扫描哪个网段、哪些地址是异常闯入者，这篇文章不讲虚的，直接带你从计算到扫描，一步步把改过IP的主机揪出来。
先算清楚IP主机地址范围，扫描才有方向
很多网管员一上来就扫IP,结果扫了半天发现目标根本不在同一个子网，原因很简单：IP地址范围没算对，IP地址本身是一个32位二进制数，子网掩码则告诉你怎么切分网络部分和主机部分，主机部分全为0的是网络地址，全为1的是广播地址，这两个都不能分配给设备使用，剩下的中间区间，才是你真正可以扫描的“活人区”。
主机地址范围的计算步骤：以192.168.1.0/24为例
拿最常见的C类地址来说,IP为192.168.1.0，子网掩码为255.255.255.0（即/24），计算过程分三步：
- 把IP地址和子网掩码都转换成二进制,做“与”运算，得到网络地址，192.168.1.0与255.255.255.0相与，结果就是192.168.1.0。
- 将子网掩码按位取反,再与网络地址相加，得到广播地址，这里取反后为0.0.0.255，加上去得到192.168.1.255。
- 网络地址加1,广播地址减1，就得到合法主机范围：168.1.1 至 192.168.1.254。
这个网段最多能容纳254台主机,如果你遇到的是/25子网，比如192.168.1.0/25，掩码变成255.255.255.128，那么主机范围就变成192.168.1.1到192.168.1.126，可用主机数只有126台。子网掩码每多一位，可用主机数就少一半，这也是为什么改过IP的主机经常跑出既定范围之外。
计算时最容易栽的两个坑
第一个坑是忘了排除网络地址和广播地址,有人直接把整个IP段都当成可用地址，扫描时把广播地址也发ICMP包，结果收到一堆无关设备的响应，干扰判断，第二个坑是混淆掩码位数和可用主机数，30的子网，掩码为255.255.255.252，可用主机只有2台，如果你负责管理一条点对点链路，扫描范围就是两个特定IP，而不是整个段，行业共识认为，这类计算错误是IP地址管理混乱的主因之一。
ip主机地址范围计算工具，手动算完还要交叉验证
虽然手动计算能锻炼基本功,但实际排查中没人愿意拿笔慢慢算，现在有不少在线计算器和命令行工具能帮你快速出结果，但工具只是辅助，
你必须理解能用的工具在算什么，不然算错了都不知道。
常用计算工具与手动计算结果对比
下面这张表列出了三种常见计算方式在192.168.10.0/27网段下的结果对比，掩码为255.255.255.224。
| 计算方式 | 网络地址 | 广播地址 | 可用主机范围 |
|---|---|---|---|
| 手动二进制运算 | 168.10.0 | 168.10.31 | 168.10.1 – 192.168.10.30 |
| 在线IP计算器 | 168.10.0 | 168.10.31 | 168.10.1 – 192.168.10.30 |
| ipcalc命令（Linux） | 168.10.0 | 168.10.31 | 168.10.1 – 192.168.10.30 |
可以看到三种方式结果完全一致,实际操作用ipcalc最方便，在Linux终端输入ipcalc 192.168.10.0/27，回车后网络地址、广播地址、掩码、主机范围一目了然，Windows系统没有自带这个命令，但可以用ipconfig /all查看本机掩码，再用打开浏览器搜索“ip主机地址范围计算工具”，找一个靠谱的在线页面输入IP和掩码就行。
当计算范围扩大时，你的扫描策略要跟着变
假设你原本分配了/24的段，但某台设备把IP改成了192.168.2.x，这个地址根本不在你的计算范围内，此时如果还盯着192.168.1.0/24扫描，永远找不到它。正确做法是先算一下整个私网段的范围，比如把掩码放宽到/16，也就是255.255.0.0，那么主机范围就是192.168.0.1到192.168.255.254，这个范围够大，但扫起来也更耗时，业内专家指出，解决这类问题要分两步走：先粗扫整个大类网段，再细扫目标区域，不能指望一次ping遍全部六万多个地址。
如何扫描修改了IP地址的主机？三种落地方法
范围算准了,下一步就是动真格，扫描的核心思路不是“猜”，而是通过设备的响应痕迹和网络设备上的记录来“对账”，下面三种方法按推荐程度排序。
ARP扫描，离线改IP也躲不过
ARP（地址解析协议）是局域网通信的基础，任何一台设备只要想发包，就必须先发送ARP请求来解析目标IP对应的MAC地址。扫描工具通过发送大量ARP请求，就能让所有活着的设备现出原形，即使一台主机改了IP地址，只要它连接在同一个二层网络里，它的MAC地址就变不了，你用ARP扫描获取的是IP和MAC的对应关系表，只要和交换机端口绑定表一比对，谁改了IP立刻暴露。
实操步骤：
- Windows下打开命令提示符,用
arp -a查看本机ARP缓存，不过缓存可能不全。 - 更可靠的是用Nmap的ARP扫描模式：
nmap -sn -PR 192.168.1.0/24。 - 或者用GNU工具
arp-scan --interface eth0 192.168.1.0/24，这个命令在Linux下显示所有存活主机的IP和MAC，速度非常快。
我平时排查改IP的主机,最依赖的就是arp-scan，它能直接列出所有响应ARP请求的设备，哪怕对方配置了防火墙屏蔽了ping，ARP响应照样发出来。
ip地址段扫描命令，批量探测存活状态
当你不确定目标IP在不在某个范围时,就要用到ip地址段扫描，最基础的是ping sweep，对区间内每个IP发一个ICMP echo请求，Windows下可以用for /L %i in (1,1,254) do @ping -n 1 -w 500 192.168.1.%i | find "TTL="，Linux下可以写个for循环或直接用nmap。
Nmap是更专业的工具,扫描整个子网：nmap -sP 192.168.1.0/24，其中-sP表示ping扫描，不探测端口，速度快，如果你怀疑改IP的主机开放了某个特定端口（比如远程桌面3389），还可以用nmap -p 3389 192.168.1.0/24，这样只筛选开启该端口的主机，大幅缩小排查范围。
一个容易被忽略的细节：ICMP扫描会被防火墙策略干扰，有些主机改了IP后，安全软件会默认拦截外部ping，这时Nmap的-sP会走TCP ACK探测和ARP探测，比单纯ping可靠得多，实操中最好把两种方式结合起来，先用ARP扫描保底，再用Nmap的TCP扫描补漏。
登录交换机查MAC地址，从根上定位物理端口
如果扫描已经找到可疑的IP和MAC,下一步要确定它在哪面墙上、哪个机柜里，这时候不用再去ping，直接登录核心交换机或接入层交换机，用命令查找MAC地址对应的端口。
以华为交换机为例：
display mac-address <MAC地址>，返回结果会显示学习到这个MAC的VLAN和接口编号。
思科交换机用show mac address-table address <MAC地址>。
查到接口后,再通过display ip routing-table或display arp看该接口下绑定的IP，就能确定是哪台设备、接在哪个端口，这招对“改了IP又改了主机名”的顽固分子尤其有效，因为MAC是烧录在网卡里的，动不了手脚。
当主机改了IP导致冲突，网段里一片乱怎么办
不少场景下,扫描发现目标不只是改了IP，还引发了IP地址冲突，两台主机用同一个IP，网络时好时坏，大家都会卡顿，很多人慌乱中随意改自己的IP来“避让”，这反而让问题更难查，正确做法是先把冲突网段隔离，再按顺序查。
IP地址冲突排查的四个实操动作
- 在交换机上开启STP和防ARP欺骗功能,先保证二层网络稳定，避免伪造ARP包干扰判断。
- 断开可疑端口的网络连接（把网线或
shutdown接口），观察日志中冲突告警是否消失。 - 在核心交换机上执行
display arp conflict（华为）或show ip arp inspection（思科），查看系统记录的IP冲突历史列表。 - 对被冲突的IP发起单一目标扫描,比如
nmap -sP 192.168.1.100，记录响应主机的MAC，再和交换机端口表比对。
这里要特别提醒：不要盲目改自己的电脑IP来躲避冲突，因为对方可能也是无辜的，改了IP反而破坏了原有规划，扫到了真实MAC地址和端口后，直接拔线，让对方找你联系统一分配地址，才是正解，很多网管员觉得扫描难，其实难的不是技术，而是没按“计算范围-ARP扫描-查交换机”这个顺序走。
常见问题解答
问：ip主机地址范围计算需要知道哪些信息？
只需要两个参数：IP地址和子网掩码（或前缀长度，如/24），如果只知道IP但不知道掩码，可以假设默认类别，但这样会算不准，尤其是遇到VLSM变长子网掩码时，保险做法是查设备配置或登录路由器看接口下的掩码设置。
问：扫描修改了IP地址的主机时，为什么有时候Nmap扫不到？
大概率是主机开启了严格防火墙,只允许特定来源的流量通过，Nmap的-sP会按照“ARP请求、ICMP echo、TCP ACK”顺序探测，如果全部被静默丢弃，就会显示为离线，这时改用ARP扫描直接作用于二层，或者用-sS（TCP SYN半开扫描）探测常见端口，往往能有所发现，更彻底的方案是登录交换机看ARP表，只要主机发过任何网络通信，交换机上就有它的MAC和IP记录。
问：怎样防止主机随意修改IP地址导致我今后反复扫描排查？
依赖扫描只是事后补救,更有效的是在网络入口做端口安全配置，在交换机接入端口执行命令port-security enable，并设置port-security max-mac-num 1，再将合法MAC地址静态绑定到端口，这样任何设备改了IP地址，只要MAC不在授权列表内，端口就会被自动禁用，此外采用DHCP Snooping技术，只信任来自核心交换机的DHCP响应，能拦截私自配置的静态IP，扫描与防御互相配合，才能让网络长久清净。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/587549.html
