arping是唯一能绕过ICMP限制、直接穿透二层广播域验证IP是否被占用的工具；需在第三方同网段主机执行sudo arping -c 5 -I eth0 [目标IP]，若收到多个不同MAC的Unicast reply即确认冲突。
当你在局域网中配置静态IP后突然出现SSH断连、服务不可达或间歇性丢包，又排除了防火墙和路由问题，就要立即怀疑IP地址被其他设备占用——arping是唯一能绕过ICMP限制、直接穿透二层广播域验证真实占用情况的工具。
确认arping是否已安装
执行 arping --version，若提示 command not found，则需安装。
Ubuntu/Debian系统运行：sudo apt update && sudo apt install iputils-arping。
CentOS/RHEL 8+ 运行：sudo dnf install iputils；RHEL 7 或 CentOS 7 用：sudo yum install iputils。
【注意：容器内运行需额外授权】 若在 Docker 容器中使用，必须启动时添加 --cap-add=NET_RAW，否则权限不足会静默失败。
从第三方主机发起探测
这一步绝不能跳过：你无法在本机检测自己正在使用的IP是否冲突——Linux内核会对发往本机IP的ARP请求强制应答，无论该IP是否真由你持有，结果永远显示“通”，完全掩盖真实冲突。
找一台同网段、网络可达的Linux主机（如跳板机、测试机、同事电脑），确保它与目标IP处于同一子网且物理链路畅通（不能跨VLAN，也不能被交换机ACL拦截）。
执行命令：sudo arping -c 5 -I eth0 192.168.1.100，其中 eth0 替换为实际网卡名（可用 ip -br a 查看），192.168.1.100 替换为目标待检IP。
若输出中出现两行及以上 Unicast reply from 192.168.1.100 [xx:xx:xx:xx:xx:xx] 且 MAC 地址不同（例如 [40:f4:ec:76:79:c2] 和 [50:7b:9d:25:29:59]），即确认存在IP冲突。
比对并定位冒用设备
第一步：在你本机上查出该IP对应的真实MAC：ip link show dev eth0 | grep link/ether（假设IP配在eth0上）。
第二步：将上一步得到的MAC与arping输出中各条reply的MAC逐一对比。
第三步：找出那个与你本机MAC不一致的MAC地址——它就是抢占者。
第四步：用 sudo arp-scan --interface=eth0 --localnet | grep "40:f4:ec:76:79:c2"（替换为实际冲突MAC）全网扫描，直接获取该MAC绑定的IP地址。注意：此操作需root权限，且可能触发交换机端口安全告警。
如果扫描无结果，可能是抢占设备已关机、休眠，或其MAC被固件刷写错误导致错乱（常见于IoT设备）。
排除误报干扰
方法一：检查目标设备是否启用ARP抑制策略。某些高可用VIP场景会设置 net.ipv4.conf.eth0.arp_ignore = 1，导致不响应arping。此时需在探测机上同步执行：sudo tcpdump -i eth0 arp host 192.168.1.100 -c 5，观察是否有ARP请求发出、是否收到任何应答——若请求发出但无应答，才可能是策略过滤而非空闲。
方法二：用 ip neigh show 192.168.1.100 替代老旧的 arp -n，它能显示更细的状态（如 STALE、FAILED），可识别出应答不稳定、MAC频繁跳变等异常模式。
方法三：确认探测机自身网络干净。比如你用跳板机去测，先检查它是否也配了同网段静态IP，或它的ARP缓存是否已被污染（执行 ip neigh flush all 后重试）。
