在局域网运维中，地址解析协议（ARP）是设备通信的基础。当一台主机需要向同网段另一台机器发送数据时，它必须先知道对方网卡的物理地址。基于R语言我们可以编写轻量脚本，主动发送ARP请求并收集应答，从而绘制出IP与MAC的对应表，并进一步发现其中存在的冲突现象。这种方法不需要安装复杂的嗅探软件，仅需R环境与系统网络命令即可完成。
ARP协议基本原理与R语言调用思路
ARP协议工作于数据链路层与网络层之间，其核心是一个广播问询与单播应答的过程。源主机会在局域网内广播“谁是192.168.1.10”的请求包，目标主机收到后返回自己的MAC地址。R语言本身不提供原生网卡抓包能力，但可以通过system函数调用操作系统的arp、ping等命令，或者使用processx包执行外部程序，再对文本输出做正则提取，从而间接实现扫描。
在具体实现前，需要厘清一个概念：ARP缓存表是系统维护的动态映射，而非实时全网状态。因此仅读取本地缓存无法发现未通信过的设备。我们的R脚本应当先触发网段内存活主机响应，例如依次ping地址，再读取arp缓存，这样才能得到较完整的列表。如下代码展示了如何在Windows下利用R批量ping并导出缓存：
# 定义网段
net <- "192.168.1."
for (i in 1:254) {
ip <- paste0(net, i)
# 发送一次ping以触发ARP学习
system(paste("ping -n 1 -w 200", ip), ignore.stdout = TRUE)
}
# 读取ARP表
arp_raw <- system("arp -a", intern = TRUE)
writeLines(arp_raw, "arp_dump.txt")
该方案优点是零依赖、逻辑直观；缺点在于扫描速度受系统ping间隔限制，且跨平台命令参数不同。在Linux下需将ping改为ping -c 1 -W 1，arp命令输出格式也有所差异，脚本中应当做条件判断。理解这些差异是写出健壮扫描器的前提。
MAC地址扫描结果的结构化解析
原始arp输出是杂乱文本，必须解析为数据框才能分析。R语言的stringr与readr包可以高效完成此事。我们关注三列：IP地址、物理地址、类型（动态或静态）。通过正则匹配MAC的十六进制模式，可将文本转为整齐的tibble，便于后续冲突检测。
以下示例将前面保存的arp_dump.txt转换为结构化对象，并清洗掉无效行。注意不同系统MAC分隔符可能是短横线或冒号，解析时需统一。代码同时标记了重复IP的出现次数，为冲突识别做准备：
library(stringr)
library(dplyr)
lines <- readLines("arp_dump.txt")
# 提取IP与MAC，兼容-和:分隔
pattern <- "(\d+\.\d+\.\d+\.\d+)\s+([0-9a-fA-F]{2}[-:][0-9a-fA-F]{2}[-:][0-9a-fA-F]{2}[-:][0-9a-fA-F]{2}[-:][0-9a-fA-F]{2}[-:][0-9a-fA-F]{2})"
matched <- str_match(lines, pattern)
arp_df <- data.frame(
ip = matched[,2],
mac = matched[,3],
stringsAsFactors = FALSE
) %>% filter(!is.na(ip))
arp_df$mac <- tolower(gsub("-", ":", arp_df$mac))
print(arp_df)
解析后若发现某个IP对应多条不同MAC记录，理论上不应出现在单台主机缓存中，但若脚本多次运行合并文件就可能暴露冲突。更严谨的做法是在同一时刻抓包，而不是依赖缓存。对于小规模网络，上述数据框已足够支撑基础运维报表的生成，例如输出CSV给非技术人员查看。
局域网MAC冲突检测与异常告警
真正的ARP冲突通常指同一IP被不同MAC占用，或同一MAC绑定多IP（克隆攻击）。在R中只需对结构化数据做分组计数即可定位。我们利用dplyr的group_by与filter找出异常组，并用邮件或日志方式告警。相比被动等待用户报障，这种主动脚本能缩短故障时间。
下面代码演示冲突判定：若同一IP出现超过一个MAC，则标记为冲突；若同一MAC对应多个IP且非网关常见行为，也列入观察。实际网络中路由器可能代理ARP，需设置白名单避免误报。脚本可配置定时任务，例如每十分钟运行一次，将结果追加到历史表，形成趋势图。
conflict <- arp_df %>%
group_by(ip) %>%
summarise(mac_n = n_distinct(mac)) %>%
filter(mac_n > 1)
if (nrow(conflict) > 0) {
message("发现IP冲突：")
print(conflict)
# 可调用sendmailR发送通知
} else {
message("当前无IP-MAC冲突")
}
除IP冲突外，还应关注ARP表项频繁刷新，这往往意味着网络中存在欺骗病毒。R可计算相邻两次扫描的MAC变化率，超过阈值即记录。通过将扫描、解析、检测三环节封装为函数，我们能构建出一个简易但实用的局域网健康监控工具，帮助管理员在纯脚本环境下掌控二层网络状态。