nmap 主机发现怎么组合
-sn 让 nmap 只做主机发现而不扫端口，适合在正式扫描前建立存活清单。探测协议的选择决定准确率：同网段默认走 ARP（二层可达，一般不受上层过滤影响，可靠性最高），跨网段需要组合 -PS 指定端口的 TCP 探测与 -PE 的 ICMP 回显。把探测方式与结果一起记录，才能在出现漏报时解释原因——这是内网评估里最容易被质疑的一环。
基本信息
| 同网段 | ARP 探测（默认，可靠性高） |
|---|---|
| 跨网段 | -PS 指定端口 + -PE ICMP 组合 |
| 参数 | -sn 只发现不扫端口；-n 不做 DNS 解析；--reason 输出判定依据 |
| 记录 | 探测方式、时间戳、判定依据 |
| 前提 | 与客户安全团队同步时间窗口 |
典型使用场景
- 内网评估的第一步，建立存活资产底表
- 核对台账与实际在线情况，发现影子资产
- 跨网段场景解释「为什么某些主机扫不到」
- 变更后复核新接入设备
- 为后续端口扫描划定范围，减少无效请求
组合示例
组合示例
nmap -sn 10.0.10.0/24 # 同网段：默认 ARP 探测最可靠
nmap -sn -PS22,80,443 -PE 10.0.20.0/24 # 跨网段：TCP 端口 + ICMP 组合
nmap -sn -n --reason 10.0.10.0/24 # --reason 记录判定依据，便于解释漏报
nmap -sn --send-eth 10.0.10.0/24 # 二层直发，绕过本机 TCP/IP 栈限制
# 分批执行并记录时间；发现被阻断时先联系客户解封再继续判定依据读法
| 依据 | 含义 | 注意点 |
|---|---|---|
| arp-response | 二层收到应答 | 同网段最可靠，跨网段不适用 |
| echo-reply | ICMP 应答 | 被屏蔽时完全失效 |
| syn-ack / reset | TCP 端口有响应 | 说明目标主机与端口可达 |
| no-response | 无任何应答 | 不能判定不存在，需换协议复测 |
扫描频率过高会被 IPS 判为攻击行为：提前与客户监控团队同步时间窗口与出口 IP，避免被当成真实入侵处置。
只发 ICMP 会导致屏蔽网段的漏报：跨网段必须组合 TCP 端口探测，并在报告里写清所用方式与漏报可能。
存活清单的表述要留有余地：建议分「确认存活」「疑似存活」与「未响应」三档，并说明每档的判定依据，这样后续端口扫描的覆盖范围才有可解释的口径。