IP地址冲突已发生，需分三步定位：先用dmesg和ip neigh确认内核告警与多MAC映射；再用arping探测抢占设备；最后通过交换机查端口或arp-scan扫描定位物理位置。
当你在Linux服务器上突然发现SSH连接时断时续、服务响应忽快忽慢，甚至内核日志里反复刷出“duplicate address detected”报错，大概率是局域网里有设备悄悄占用了你的IP——这不是网络波动，是IP地址冲突正在发生。必须立刻从本机出发，分层定位，不能只靠猜。
第一步：确认本机是否已触发内核级冲突告警
执行 dmesg | grep -i "duplicate\|arp"，重点看输出中是否有带时间戳的“IPv4: duplicate address detected!”行。如果有，说明内核已捕获到免费ARP（gratuitous ARP）冲突报文，冲突真实存在且正在干扰通信。
运行 ip neigh show 查看ARP缓存表，若同一IP地址对应两个及以上不同MAC地址（例如192.168.1.100同时映射到00:1a:2b:3c:4d:5e和aa:bb:cc:dd:ee:ff），这就是冲突最直接的证据。
【注意：此时不要立刻执行 ip neigh flush all】 清空缓存会暂时掩盖现象，但无法定位源头，反而让后续抓包失去参照。
第二步：用arping从同网段其他主机发起探测
arping是唯一能绕过ICMP限制、直击二层广播域的检测工具。它不依赖目标是否禁ping、是否开防火墙，只要物理链路通、在同一个子网，就能收到真实应答。
方法一：快速验证IP是否被占用
在另一台同网段Linux主机（如跳板机）上执行：sudo arping -c 3 -w 2 -I eth0 192.168.1.100
若返回“Unicast reply from 192.168.1.100 [xx:xx:xx:xx:xx:xx]”，说明该IP已被使用；若全程Timeout，通常表示空闲（但需排除目标关机或ARP抑制策略）。
方法二：揪出所有抢占者
当arping输出中出现两条及以上不同MAC的reply（例如[40:f4:ec:76:79:c2]和[50:7b:9d:25:29:59]），说明至少两台设备声称拥有该IP。此时立即比对本机真实MAC：ip link show eth0 | grep ether
找出与你配置该IP的设备不符的那个MAC——它就是冲突源。
第三步：定位冲突设备物理位置
① 在确认冲突MAC后（比如40:f4:ec:76:79:c2），优先登录同网段交换机，执行 show mac address-table | include 40f4.ec76.79c2（Cisco）或对应厂商命令，直接查出该MAC绑定的物理端口号。
② 若无交换机权限，改用arp-scan全网扫描：sudo arp-scan --interface=eth0 --localnet | grep "40:f4:ec:76:79:c2"
该命令会列出该MAC对应的IP（注意：需root权限，且可能触发端口安全告警）。
③ 如果扫描不到结果，检查该设备是否处于休眠、离线状态，或其MAC被固件篡改（常见于刷写OpenWrt的IoT设备）。
执行完这三步后，你已拿到冲突设备的MAC、IP、所在交换机端口——下一步就是去机柜拔网线或联系责任人改IP。
