network-scanner

Network Scanner 是一款专为本地网络环境设计的设备发现与安全审计工具，基于业界标准的 nmap 引擎构建，提供企业级的网络资产扫描能力。该工具不仅能够快速识别局域网内的活跃设备，收集 IP 地址、MAC 地址、设备厂商及主机名等关键信息，更通过创新的多层安全防护机制，有效防止用户意外扫描公共网络而引发的法律风险和服务商投诉。

核心用法

用户可通过简单的命令行界面执行网络扫描任务。基础用法包括自动检测当前网络环境、扫描指定 CIDR 网段、配置具名网络（如"home"、"office"）以便快速调用，以及通过自定义 DNS 服务器进行反向解析。工具支持 JSON 和 Markdown 两种输出格式，便于集成到自动化脚本或生成可视化文档。首次使用时，用户可通过 --init-config 生成配置文件模板，在 ~/.config/network-scanner/networks.json 中预定义受信任的网络环境和黑名单，大幅简化后续操作流程。

显著优点

该工具最突出的优势在于其三层安全防护体系：首先，黑名单机制（blocklist）可永久屏蔽特定网段；其次，公共 IP 拦截功能自动阻止对非 RFC1918 私有地址范围的扫描；最后，路由验证确保临时扫描目标必须通过私有网关可达。这种设计显著降低了误操作风险。此外，工具对权限要求透明，明确提示 sudo 需求用于 ARP 扫描获取 MAC 地址，同时提供 --no-sudo 降级选项。多格式输出支持（JSON/Markdown）使其既能满足自动化集成需求，又能直接生成可读性强的网络文档。

潜在缺点与局限性

尽管功能完善，该工具仍存在一定局限性。首先，它依赖外部系统二进制文件（nmap、dig、ip route），这意味着在隔离环境或容器化部署中可能面临依赖缺失问题。其次，MAC 地址识别功能需要 root 权限，在权限严格受限的环境中可能无法获取完整的设备指纹信息。作为社区个人开发者（T3 来源）维护的项目，其长期维护稳定性和企业级支持服务相对有限。此外，虽然具备公网拦截功能，但工具本身不具备漏洞扫描或深度安全检测能力，仅作为网络发现层使用。

适合的目标群体

该工具特别适合以下场景：家庭网络管理员进行 IoT 设备盘点、中小企业 IT 部门执行定期网络资产审计、DevOps 工程师在部署前验证网络拓扑、以及安全研究人员进行内网环境测绘。对于需要生成合规性网络文档或集成到 Home Assistant 等自动化平台的用户尤为适用。

使用风险

使用过程中需注意：大规模扫描（如 /16 网段）可能对网络性能产生短暂影响；依赖项（nmap）本身若存在未修补的漏洞可能影响工具安全性；在共享环境中使用 sudo 执行扫描需警惕命令注入风险（尽管当前代码已验证无此类漏洞）；配置文件中的敏感网络信息（如内网拓扑）需妥善保管，防止信息泄露。