打开终端，扫描敲下 nmap -sn 192.168.1.0/24，网段几秒钟后屏幕上跳出二十几个 IP 地址。有设这是扫描我上个月搬进新办公室后做的第一件事。结果有点意外——除了自己的网段笔记本和手机，网段里还躺着三台没见过的有设设备：一个海康威视的摄像头、一台树莓派、扫描以及一个 MAC 地址显示为 Espressif 的网段模块。房东留下的有设，还是扫描隔壁蹭网的？不知道。但这就是网段扫网段的意义：你永远不知道自己的网络里藏着什么。

扫描网段这件事，有设说白了就是扫描向一个 IP 范围里的所有地址发问：“有人吗？” 谁回应了，谁就是网段活着的设备。最原始的有设办法是 ping 扫，比如在 Linux 下 for i in $(seq 1 254); do ping -c 1 -W 1 192.168.1.$i & done，但这样效率低，而且很多设备默认不响应 ICMP 请求。Windows 自带的 arp -a 只能看到最近有过通信的设备，不全面。真正干活还得靠 nmap 或者更轻量的 arp-scan。

arp-scan 在局域网里几乎是降维打击。它直接发 ARP 请求，只要设备在同一个广播域里，网卡就必须回应——除非对方开了防火墙或者处于休眠。命令简单到离谱：sudo arp-scan -I eth0 -l，一秒出结果。我习惯加上 --ignoredups 去掉重复项，输出干净得像刚擦过的玻璃。有一次在客户现场，他们坚称网段里只有十五台设备，arp-scan 跑出来三十七台。后来查出来是几个员工私自接的路由器，下面还挂着各自的智能音箱和摄像头。客户脸色不太好看，但这正是扫描的价值。

nmap 的 -sn 参数做 ping 扫描，不扫端口，速度很快。但它在跨网段时比 arp-scan 更靠谱，因为 ARP 广播过不了路由器。如果你想连端口和服务一起看，那就得去掉 -sn，加上 -sS 或者 -sT。我一般先用 nmap -sn 摸清存活主机，再对感兴趣的 IP 单独跑 nmap -sV -O。别一上来就全端口扫描，-p- 扫 65535 个端口，碰到老旧的打印机或工控设备，轻则卡死，重则直接重启。这不是危言耸听，我搞崩过一台西门子的 PLC，被现场工程师骂了半小时。

MAC 地址是另一个金矿。每个网卡的前六位十六进制代表厂商，比如 00:1A:2B 是 Ayecom，B8:27:EB 是树莓派基金会。看到 DC:A6:32 就知道是 Raspberry Pi 4，看到 AC:84:C6 大概率是 TP-Link 的路由器。有时候设备名会骗人，但 MAC 厂商不会。我见过一台主机名写着 “iPhone” 的设备，MAC 却是 Intel 的网卡——明显是有人改了主机名在伪装。扫描的时候多看一眼 MAC，能省掉很多猜测。

扫描完了干什么？我习惯把结果丢进一个 CSV 或者直接记在笔记里，标注哪些是自己的，哪些是已知的，哪些是“待确认”。待确认的设备如果连着几天都在，那就得查。先看它开了什么端口，22 是 SSH，80 是 Web，554 是 RTSP 视频流。用 curl 或者浏览器访问一下，很多时候登录页面会直接告诉你它是什么。还认不出来，就拔网线——物理隔离永远是最有效的排查手段。拔了之后扫描结果里它消失了，那说明它就在你的局域网里，没跑。

别在公共网络里乱扫。公司内网、学校宿舍、咖啡馆的 Wi-Fi，未经授权扫描可能违反规定，严重的算非法侵入计算机信息系统。自己的家庭网络、自己负责的办公网段，随便扫。我见过有人在公司用 nmap 扫全网段，结果触发了 IDS 告警，被安全部门请去喝茶。技术本身没毛病，用在哪里、有没有授权，才是关键。

最后说个细节：扫描频率别太高。有些老设备被连续 ARP 请求打多了会假死，尤其是那些基于单片机的物联网模块。我一般把间隔设在 1 到 2 秒，虽然慢点，但稳。扫完记得把结果存下来，下次再扫的时候对比一下，新出现的设备、消失的设备、MAC 变了的设备，都是线索。网络跟房间一样，定期扫一扫，才知道角落里积了什么灰。