arping是唯一能直接、轻量、实时验证局域网ip是否被抢占的工具，它不依赖icmp、不走路由，仅通过arp请求探测同一二层广播域内的ip占用情况；因linux内核对本机ip的arp请求会强制应答，故不可在本机检测自身ip冲突，必须从同网段其他主机发起探测。
arping 是唯一能直接、轻量、实时验证局域网 IP 是否被抢占的工具。它不依赖 ICMP，不走路由，只发 ARP 请求——这意味着即使目标禁 ping、关闭防火墙、或运行在容器里，只要在同一个二层广播域，arping 就能抓到响应。
为什么不能在本机用 arping 检自己的 IP？
Linux 内核对「自己 IP 的 ARP 请求」有特殊处理：收到请求后会直接应答，无论该 IP 是否真由本机持有。这导致 arping -I eth0 192.168.1.100 在本机执行时，永远返回 “Reply from 192.168.1.100”，完全无法发现冲突。
- 必须从另一台同网段、可通信的 Linux 主机（比如跳板机、测试机）发起探测
- 目标 IP 必须处于同一子网，且物理/虚拟链路可达（例如不能跨 VLAN 或被交换机 ACL 拦截）
- 若目标设备启用了
arp_ignore或arp_announce内核参数（常见于高可用 VIP 场景），可能抑制应答，需结合tcpdump -i eth0 arp确认是否真没响应，还是被策略过滤
arping 输出中看到多个 MAC 怎么快速定位冲突源？
当 arping 返回两条及以上不同 MAC 的 reply（如 [40:f4:ec:76:79:c2] 和 [50:7b:9d:25:29:59]），说明至少两台设备声称拥有该 IP。关键不是“谁先响”，而是“谁该响”：
- 先在本机查真实 MAC：
ip link show dev eth0 | grep link/ether，确认你配置该 IP 的设备实际 MAC 是哪个 - 再比对
arping结果中哪个 MAC 与之不符——那个就是抢占者 - 用
arp-scan --interface=eth0 --localnet | grep扫描全网，直接定位该 MAC 对应的 IP（注意：arp-scan需 root，且可能触发交换机端口安全告警） - 如果扫描不到，可能是抢占设备离线、休眠、或 MAC 地址被伪装（如某些 IoT 设备刷写固件后 MAC 错乱）
如何把 arping 检测做成自动化巡检？
不能靠 cron 每分钟跑一次 arping —— 频繁发 ARP 包会干扰网络，且无状态检测意义有限。真正可用的方案是「按需触发 + 响应归档」：
- 写一个检查脚本，只在配置新静态 IP 前运行：
sudo arping -c 3 -w 2 -I eth0 192.168.1.100 | grep "Unicast reply" | head -1；超时或无输出才继续部署 - 把历史检测结果存进日志，例如：
echo "$(date): $(hostname) checked 192.168.1.100 → $(sudo arping -c 1 -w 1 -I eth0 192.168.1.100 2>/dev/null | grep 'Unicast reply' | awk '{print $5}' | tr -d '[]')" >> /var/log/ip-conflict-check.log - 避免用
-D（duplicate address detection）模式：它只返回 exit code，不输出 MAC，无法区分是“空闲”还是“被未知设备占用” - 别依赖单次
-c 1：网络抖动可能导致漏判，-c 3 -w 2是平衡准确率和耗时的合理组合
arping 看到两个 MAC 时，不要急着拔网线，先确认哪个 MAC 是你本该拥有的——否则可能误关关键服务。
