办公室网速突然变慢，域网路由器指示灯闪得跟疯了似的扫描。我第一反应是软件有人在下片，但查了后台流量，域网总带宽只用了不到三成。扫描问题出在局域网内部——某台设备在疯狂发ARP广播，软件把交换机端口堵了。域网找出这台机器，扫描靠的软件就是netscan。

netscan不是域网什么新东西，九十年代末就有类似工具。扫描现在还在用的软件版本大多开源，界面朴素得像个记事本，域网但扫起局域网来比Windows自带的扫描网络发现快得多。它干的软件事很简单：向整个网段发ARP请求，谁回应就把IP和MAC地址记下来。整个过程两三秒，192.168.1.0/24这种C段能扫出所有在线设备。

我习惯在路由器上开个镜像口，把netscan挂上去跑。有次帮朋友看他的小公司网络，二十来台设备，netscan扫出来二十三个IP。多出来那三个，两个是打印机休眠后没释放的租约，另一个是财务电脑上偷偷装的虚拟机。朋友当场脸就绿了——那台虚拟机跑着个代理，把公司出口带宽占了一半。

netscan的原始版本只显示IP和MAC，现在GitHub上有人加了端口扫描和主机名解析。我一般不用那些花哨功能，端口扫描用nmap更专业。netscan的核心价值就是快和轻。它不依赖SNMP，不需要在每台机器装agent，甚至不需要管理员权限。插上网线就能跑，这对临时排查特别有用。

有回在客户现场，他们的IT说网络没问题，是我方设备不兼容。我掏出笔记本，netscan扫了一遍，发现网关的MAC地址和IT提供的文档对不上。后来查出来是有人私接了个路由器，DHCP服务没关，把半个楼层的设备都带偏了。IT脸色不太好看，但问题确实解决了。

netscan也有局限。跨网段扫不了，VLAN隔离的环境里只能扫本VLAN。无线网络如果开了客户端隔离，也扫不到其他设备。这些限制反而让它更可靠——能扫到的都是真实存在的二层邻居，不会像某些扫描器那样被防火墙的假响应骗了。

用netscan最爽的时刻，是看着列表里突然冒出一个陌生MAC。那通常意味着有设备不该连进来。我见过最离谱的一次，是会议室电视的投屏功能自动开了热点，把隔壁公司的设备也吸进来了。netscan一扫，列表里多了七个MAC，其中三个是手机。后来把电视的直连功能关了才消停。

工具好不好用，看你在什么场景。netscan不适合做资产管理系统，也不适合长期监控。它就是一把螺丝刀，拧螺丝的时候顺手，但你不会拿它当锤子使。我电脑里常年放着，跟ping和tracert一个文件夹。哪天网络又抽风了，双击运行，三秒出结果。比翻路由器后台快，比问同事“你刚才动什么了”靠谱。

最后说个细节。netscan扫出来的MAC地址，前六位是厂商代码。有次扫到一个以“00:1A:2B”开头的设备，查了下是某国产手机品牌。但那层楼没人用这牌子手机。顺着交换机端口找过去，发现是保洁阿姨放在工具间的旧手机，连着WiFi自动同步照片，把上传带宽占满了。这事后来成了我们办公室的段子，但netscan确实帮了大忙。