ARP表是本机缓存的IP-MAC映射关系，仅含近期通信设备，非全网扫描结果；执行arp -n可快速查看原始条目，配合ping触发通信或清空缓存后探测，能提升覆盖度。
在 macOS 终端中分析局域网 ARP 表，核心是理解它反映的是“本机近期通信过的设备映射关系”，不是全网扫描结果。它轻量、即时、无需安装工具，但需要配合操作才能获取更完整信息。
直接查看当前 ARP 缓存条目
打开终端（Command + 空格 → 输入“终端”→ 回车），执行：
- arp -a：显示所有已缓存的 IP-MAC 映射，含主机名（如 router (192.168.1.1) at a8:da:0c:e8:0e:e6 on en0）；但若网络中存在大量未响应的 DNS 反查，可能卡顿或延迟。
- arp -n：跳过主机名解析，只输出原始 IP、MAC 和接口（如 ? (192.168.1.1) at a8:da:0c:e8:0e:e6 on en0），响应更快，适合脚本或快速筛查。
让 ARP 表更全面：先触发通信再查
ARP 表只记录实际交互过的设备。如果某台设备没和你的 Mac 通联过，就不会出现在表里。这时需主动“唤醒”它：
- 用 ping -c 2 192.168.1.100（替换为目标 IP）发送两个 ICMP 请求；收到回复后，系统会自动发起 ARP 查询并缓存结果。
- 对整个子网“广播探测”：先 ping 子网广播地址（如 ping -c 1 192.168.1.255），多数在线设备会响应 ICMP，从而触发它们进入你的 ARP 表。
- 清空旧缓存确保干净：运行 sudo arp -a -d（需输入密码），再执行上述 ping 操作，接着 arp -n 查看更新后的结果。
识别可疑条目：排查 IP 冲突或异常设备
ARP 表本身不标“异常”，但可通过细节判断：
- 同一 IP 地址对应多个不同 MAC 地址（多次执行 arp -n | grep "192.168.1.100" 发现 MAC 变化）→ 很可能发生了 IP 冲突。
- 出现大量 (incomplete) 条目（如 ? (192.168.1.50) at <incomplete> on en0）→ 表示发出了 ARP 请求但无人应答，该 IP 可能关机、断网，或开启了 ARP 过滤。
- MAC 地址前缀可查厂商（如 a8:da:0c 开头大概率是华硕路由器），结合 IP 段判断是否为预期设备（比如 192.168.1.100 是打印机，但 MAC 厂商却是苹果 → 值得留意）。
补充验证：结合路由器界面交叉比对
ARP 表是“客户端视角”，路由器 DHCP 或连接设备列表是“服务端视角”，两者互补：
- 在 Safari 中访问路由器地址（如 http://192.168.1.1，具体值可在“系统设置 > 网络 > 当前连接 > 详细信息 > TCP/IP”中确认“路由器”字段）。
- 登录后查找“连接设备”“DHCP 客户端列表”或“Attached Devices”，对比其中的 IP+MAC 是否与 arp -n 输出一致。
- 若路由器显示某设备在线，但 ARP 表里没有 → 说明它没和你的 Mac 通信过；若 ARP 表有而路由器没有 → 可能是静态 IP 设备未走 DHCP，或路由器列表未刷新。
