简介本资源面向C#开发者与网络运维人员提供一套在局域网中通过抓取ARP包来侦测网络设备、识别IP冲突设备的完整实现方案。核心功能已封装为独立类便于直接集成到自有项目中适用于网络监控、故障排查与设备发现等场景需要具备一定的C#与网络协议基础。压缩包共36个文件约1002KB包含11个cs源码文件、4个exe可执行程序、2个dll动态库以及config、resx、csproj、sln等工程与配置文件并附带WinPcap_4_1_3安装包、SharpPcap.dll与PacketDotNet.dll依赖库开箱即可编译运行。开发环境为VS2015与.NET 4.5.2。目前已有560人学习下载。资源内提供使用示例读者可据此快速理解ARP抓包流程、设备列表获取逻辑与IP冲突判定思路并参考工程结构完成二次开发与排错。1. 用 SharpPcap 抓 ARP 包把局域网里打架的 IP 揪出来机房巡检时最怕遇到一种情况某台设备时通时断ping 网关偶尔丢包重启交换机也不见好。登上去一看日志大概率是 IP 冲突——两台设备配了同一个地址ARP 表在两者之间反复横跳。这种问题用 ping 扫段是扫不出来的因为冲突设备都会响应你分不清谁是谁。真正靠谱的做法是直接监听局域网里的 ARP 报文从协议层看谁在抢同一个 IP。这份资源给的就是一套基于 C# 和 SharpPcap 的抓包方案跑在 Windows 上不需要装 Wireshark 就能把在线设备和冲突设备列出来。适合做网络运维、弱电集成、或者需要在自己工具里嵌一套局域网设备发现能力的开发者。下面从抓包原理讲到代码落地再到实际排查时踩过的坑一步步拆开。2. ARP 抓包原理与 SharpPcap 选型为什么不用 ping 扫段2.1 ARP 协议在设备发现里的角色局域网里设备要通信先得知道对方的 MAC 地址。这个过程靠 ARP主机广播一个「谁是这个 IP」的请求持有该 IP 的设备单播回复自己的 MAC。正常情况下一问一答干净利落。但 IP 冲突时同一个 IP 会有两台设备分别回复请求方拿到两个不同 MACARP 缓存就会来回覆盖表现为网络断续。抓 ARP 包做设备发现本质是监听这些广播请求和单播回复。相比 ping 扫段它有三个好处一是不需要目标设备开放 ICMP很多工控设备默认禁 ping二是能看到 MAC 地址直接定位到物理网卡三是能捕获冲突——同一个 IP 出现两个不同 MAC 的回复这就是冲突的铁证。常见做法是抓一段时间的 ARP 流量把「IP → MAC」的映射关系累积起来出现一对多就是冲突。2.2 为什么选 SharpPcap 而不是 WinPcap 原生调用SharpPcap 是 .NET 下对 libpcap/WinPcap/Npcap 的托管封装C# 里调它比直接 P/Invoke 省事得多。选型上主要看几点跨版本兼容SharpPcap 同时支持 WinPcap 和 NpcapWin10 以后推荐装 NpcapAPI 是面向对象的抓包、过滤、解析各环节都有现成类过滤器语法直接复用 BPF写arp就能只收 ARP 包不用在应用层再筛一遍。我一般会这样组织用CaptureDeviceList.Instance枚举网卡选目标网卡后开一个LibPcapLiveDevice挂上arp过滤器注册OnPacketArrival回调。回调里把原始字节解析成 ARP 结构提取发送方 IP、发送方 MAC、目标 IP。这里有个细节——ARP 回复里「发送方」才是真正持有该 IP 的设备请求里发送方是发起方别搞混。2.3 环境准备与依赖安装先确认系统里有抓包驱动。Win10/Win11 上装 Npcap安装时勾选「WinPcap API-compatible Mode」否则 SharpPcap 找不到设备。然后建一个 .NET 控制台项目通过 NuGet 装 SharpPcap 和 PacketDotNetdotnet new console -n ArpMonitor cd ArpMonitor dotnet add package SharpPcap dotnet add package PacketDotNetSharpPcap 负责抓包PacketDotNet 负责把原始字节解析成 ARP 字段两个配合能省掉手写字节偏移的活。装完先跑一个最小示例确认能列出网卡using SharpPcap; // 枚举本机所有可抓包的网卡 var devices CaptureDeviceList.Instance; foreach (var dev in devices) { // 打印网卡名和描述确认目标网卡在列表里 Console.WriteLine(${dev.Name} - {dev.Description}); }这段代码不抓包只验证驱动和权限。如果列表为空八成是 Npcap 没装或没勾兼容模式。注意抓包需要管理员权限普通用户跑会拿不到设备。确认网卡名之后后面开抓时用dev.Name精确指定别用默认第一块多网卡机器上很容易抓错口。3. 解析 ARP 报文并构建设备列表从原始字节到 IP-MAC 映射3.1 打开设备与设置过滤器抓包前先打开设备激活混杂模式不是必须的但设了能收到更多广播。过滤器写arp就够如果只想看冲突相关的可以收紧成arp and not arp[6:2] 2之类但一般没必要ARP 流量本身不大。using SharpPcap; using PacketDotNet; var device CaptureDeviceList.Instance .First(d d.Name.Contains(你的网卡名)); // 换成实际网卡 device.Open(new DeviceConfiguration { Mode DeviceModes.Promiscuous, // 混杂模式收全广播 ReadTimeout 1000 // 读超时 1 秒避免阻塞 }); // BPF 过滤器只收 ARP 包 device.Filter arp;ReadTimeout设 1000 毫秒是经验值太短会频繁空转太长关程序时响应慢。Promiscuous模式在交换网络里作用有限但无线网卡或镜像口上能多收一些。开完设备就可以挂回调了。3.2 回调里解析 ARP 字段回调收到的是原始包用 PacketDotNet 解出 ARP 对象再取字段。关键字段是SenderProtocolAddress发送方 IP和SenderHardwareAddress发送方 MAC。// 用字典累积 IP - MAC 集合一个 IP 对应多个 MAC 就是冲突 var ipToMacs new Dictionarystring, HashSetstring(); device.OnPacketArrival (sender, e) { var raw Packet.ParsePacket(e.GetPacket().LinkLayerType, e.GetPacket().Data); var arp raw.ExtractArpPacket(); if (arp null) return; var ip arp.SenderProtocolAddress.ToString(); var mac arp.SenderHardwareAddress.ToString(); if (!ipToMacs.ContainsKey(ip)) ipToMacs[ip] new HashSetstring(); ipToMacs[ip].Add(mac); // 同一 IP 收到不同 MAC 就会累积 }; device.StartCapture();这里用HashSet而不是单个字符串就是为了让冲突自然浮现——同一个 IP 加进两个 MAC集合大小变成 2。ExtractArpPacket()返回 null 说明不是 ARP 包直接跳过。注意SenderProtocolAddress在请求包里是发起方 IP在回复包里才是持有方两种都要收才能覆盖完整。3.3 输出在线设备与冲突设备抓够一段时间后停掉遍历字典分类输出。集合大小为 1 的是正常设备大于 1 的是冲突。device.StopCapture(); device.Close(); foreach (var kv in ipToMacs) { if (kv.Value.Count 1) { // 正常设备一个 IP 对应一个 MAC Console.WriteLine($[在线] {kv.Key} - {string.Join(,, kv.Value)}); } else { // 冲突设备一个 IP 对应多个 MAC Console.WriteLine($[冲突] {kv.Key} - {string.Join(,, kv.Value)}); } }输出里冲突行会列出所有抢同一 IP 的 MAC拿着 MAC 去交换机查端口就能定位到物理设备。实际跑的时候建议抓 30 秒以上ARP 广播有周期太短会漏设备。如果只想看冲突可以在输出前过滤Count 1。3.4 参数调优与抓包时长抓包时长和过滤器是两个最影响结果的参数。时长太短冷门设备不发 ARP 就抓不到太长字典膨胀但信息量不增。我一般设 60 秒配合定时器自动停。过滤器如果只想看冲突可以改成arp and arp[6:2] 2只收 ARP 回复因为冲突主要体现在回复里但这样会漏掉只发请求的设备看场景取舍。另外DeviceConfiguration里的BufferSize可以调大默认值在高流量网段可能丢包。设成 1MB 到 4MB 之间比较稳。这些参数没有万能值得按自己网段的设备密度试。4. 避坑与常见问题排查抓不到包、解析出错、权限报错4.1 设备列表为空或打开失败现象CaptureDeviceList.Instance返回空或者device.Open()抛异常。原因通常是 Npcap 没装、装了没勾 WinPcap 兼容模式或者程序没以管理员身份运行。解决重装 Npcap 勾选兼容模式右键以管理员运行程序。如果还不行检查是否有杀软拦截了驱动加载。4.2 抓到的包解析出 null现象ExtractArpPacket()一直返回 null明明过滤器写了arp。原因是LinkLayerType没传对或者用了e.GetPacket().Data但没带链路层类型。解决解析时用Packet.ParsePacket(e.GetPacket().LinkLayerType, e.GetPacket().Data)把链路层类型一起传进去别自己截数据。4.3 同一 IP 出现多个 MAC 但并非冲突现象输出里某个 IP 对应两个 MAC但网络其实正常。原因是抓到了 ARP 代理或网关的代理回复也可能是设备换了网卡但旧 ARP 缓存没清。解决结合抓包时间看如果两个 MAC 交替出现且间隔规律多半是代理如果旧 MAC 逐渐消失是缓存过期。真正的冲突是两个 MAC 都持续活跃。4.4 抓包期间程序卡死或无输出现象StartCapture()之后界面无响应或者回调一直不触发。原因是StartCapture()是阻塞的直接在主线程调会卡住 UI。解决放到后台线程跑或者用StartCapture()的非阻塞重载配合事件循环。回调不触发则检查过滤器是否写错arp写成ARP在 BPF 里是无效的。4.5 高流量网段丢包严重现象设备多、广播多的网段抓到的 ARP 不全。原因是默认缓冲区太小或者回调处理太慢。解决调大BufferSize回调里只做最小解析把重活挪到抓包结束后。别在回调里做 IO 或复杂计算那是丢包重灾区。5. 进阶把抓包结果落成可查询的设备台账抓到设备列表只是第一步真正省事的是把它变成能查的台账。我一般会在抓包结束后把结果写进 SQLite字段就三个IP、MAC、首次发现时间、是否冲突。这样下次巡检直接查库不用重新抓。using Microsoft.Data.Sqlite; // 建表冲突标记用整数 0/1 using var conn new SqliteConnection(Data Sourcearp.db); conn.Open(); var cmd conn.CreateCommand(); cmd.CommandText CREATE TABLE IF NOT EXISTS devices ( ip TEXT, mac TEXT, first_seen TEXT, conflict INTEGER, PRIMARY KEY (ip, mac) ); cmd.ExecuteNonQuery(); // 把内存里的字典落库 foreach (var kv in ipToMacs) { foreach (var mac in kv.Value) { var insert conn.CreateCommand(); insert.CommandText INSERT OR REPLACE INTO devices VALUES ($ip,$mac,$t,$c); insert.Parameters.AddWithValue($ip, kv.Key); insert.Parameters.AddWithValue($mac, mac); insert.Parameters.AddWithValue($t, DateTime.Now.ToString(s)); insert.Parameters.AddWithValue($c, kv.Value.Count 1 ? 1 : 0); insert.ExecuteNonQuery(); } }主键用(ip, mac)组合同一 IP 多个 MAC 会各存一行冲突标记靠conflict字段区分。INSERT OR REPLACE保证重复抓包时更新而不是报错。落库之后查冲突就一句 SQLSELECT ip, COUNT(*) FROM devices GROUP BY ip HAVING COUNT(*) 1。验证抓包结果是否可信有个简单办法拿一台已知设备手动改它的 IP 制造一次冲突看程序能不能在 60 秒内报出来。能报出来说明过滤器和解析链路是通的。另外可以对照交换机的 MAC 地址表把抓到的 MAC 和端口对应上确认没有误报。从那以后我每次上架新设备前都强制先跑一遍这个抓包脚本把台账和现场对一遍再配 IP。吃过一次两台工控机同 IP 导致产线停线的亏那之后宁可多花一分钟抓包也不拍脑袋填地址。希望帮到你。本文还有配套的精品资源点击获取