在企业网络管理、家庭实验室运维或安全审计场景中，快速掌握本地网络设备的分布是一项基础但关键的需求。传统的网络发现工具如 nmap、arp-scan 通常需要 root 权限来构造原始数据包或直接读取系统 ARP 缓存，这在多用户环境、容器化部署或受管终端上往往难以满足。Whosthere 是一个用 Go 编写的现代终端用户界面（TUI）工具，通过组合无特权的服务发现协议与 ARP 缓存触发技术，实现了在用户空间完成 LAN 发现的完整能力。本文将从协议层实现、并发扫描架构到 TUI 交互设计，深入剖析其工程化参数与可落地配置。
无特权发现的协议组合策略
Whosthere 的核心设计理念是利用操作系统提供的无特权网络接口，结合多种发现协议覆盖不同类型的设备。其发现机制由三部分组成：mDNS/Bonjour 扫描器、SSDP 扫描器以及ARP 缓存探测，三者并发执行以最大化覆盖范围与响应速度。
mDNS（Multicast DNS）是 zeroconf 协议族的核心成员，它在本地链路使用 224.0.0.251 组播地址（IPv4）或 ff02::fb（IPv6）进行 DNS 风格的查询与响应。由于 mDNS 查询通过普通 UDP 套接字发送，任何用户都可以向组播地址发起查询，而响应同样以普通 UDP 数据包返回，无需特殊权限。Whosthere 的 mDNS 扫描器向局域网组播地址发送针对 _services._dns-sd._udp.local 的 PTR 记录查询，获取所有注册的服务类型，进而对每种服务发送进一步的 A/AAAA 记录查询以获取设备 IP。这一过程完全基于标准 Go 网络库：net.DialUDP 或更上层的 net.ResolveMulticastDN 实现，兼容 Linux、macOS 与 Windows 的组播路由行为。
SSDP（Simple Service Discovery Protocol）是 UPnP 设备发现的基础协议，使用 239.255.255.250:1900 组播地址发送 M-SEARCH 请求。响应设备会在 HTTP 格式的报文中包含设备描述 URL、服务类型列表等信息。Whosthere 的 SSDP 扫描器构建符合 SSDP 规范的 M-SEARCH 请求并通过 UDP 套接字发送，解析 HTTP 响应中的 LOCATION 和 USN 字段提取设备标识与描述地址。由于 SSDP 同样基于 UDP 且不涉及特殊套接字类型，Go 程序在非特权用户下即可完成收发。
然而，仅凭 mDNS 与 SSDP 并不能发现所有设备 —— 许多嵌入式设备、网络打印机或老旧终端并不支持这些服务发现协议。Whosthere 的第三层发现机制利用了 ARP 缓存的读取特性：任何用户都可以读取 /proc/net/arp（Linux）或通过 arp -a 命令（macOS/Windows）获取当前 ARP 缓存内容，问题是初始 ARP 缓存往往是空的或过时。Whosthere 的解决方案是执行无特权 ARP 探测：在目标子网范围内并发发起 TCP 连接到常见端口（如 22、80、443）或 UDP 探测（发送到随机高位端口），这些连接尝试会触发操作系统的 ARP 解析，将目标 IP 映射到 MAC 地址并写入 ARP 缓存。随后 Whosthere 读取本地 ARP 缓存，即可获得已解析设备的 IP-MAC 对应关系。整个过程不需要构造 ARP 原始数据包，仅使用普通 Socket API，对用户权限无要求。
并发扫描器的架构与 goroutine 编排
Whosthere 的扫描器设计充分利用了 Go 的并发模型，将三种发现机制实现为独立的 goroutine，通过 channel 进行结果聚合与状态同步。理解其并发编排对于调优扫描速度、资源占用以及适配不同网络环境至关重要。
扫描入口位于 scanner/scanner.go 中的 Run 方法，该方法接收扫描配置与结果回调函数。首先，主 goroutine 根据配置初始化三种扫描器的实例：mdnsScanner、ssdpScanner 和 arpSweeper。随后，使用 sync.WaitGroup 启动所有扫描器 goroutine，每种扫描器在其内部实现中进一步细分为查询发送、响应接收与解析的阶段。以 mDNS 扫描器为例，它首先构建 mDNS 查询报文，使用 net.ListenMulticastUDP 监听响应，设定一个 time.After 超时控制整个扫描阶段的时长，然后将解析结果通过 channel 发送回主 goroutine。
扫描持续时间由 scan_duration 参数控制，默认值为 10 秒。这一参数的意义在于：为每种扫描器设定独立的时间窗口，确保 ARP 探测有足够时间遍历子网（取决于子网大小与超时配置），同时避免单个扫描器阻塞整体进度。若 scan_duration 设置过短，可能导致 ARP 缓存未完全填充；若设置过长，则影响交互响应速度。Whosthere 建议用户根据实际网络规模调整此参数：在 /24 子网且设备稀疏的环境中，10 秒通常足够；在 /16 大型网络中，可能需要延长至 20-30 秒。
扫描间隔由 scan_interval 参数控制，默认值为 20 秒。该参数定义了两次完整扫描之间的空闲期，适用于持续监控场景。若仅需一次性发现，可通过命令行参数 --once 或配置 scan_interval: 0 禁用循环扫描。在资源受限的嵌入式设备上，增大扫描间隔可降低 CPU 与网络负载；在需要快速感知新设备接入的高频监控场景，可将间隔压缩至 5-10 秒，但需注意避免对网络造成不必要的广播风暴。
设备元数据 Enrichment：OUI 厂商识别与端口指纹
发现设备 IP 仅是第一步，Whosthere 通过 OUI（Organizationally Unique Identifier）查找为每台设备补充厂商信息，并在详情视图中提供可选的端口扫描能力。这些 Enrichment 功能显著提升了可操作性。
OUI 是 MAC 地址的前 24 位，由 IEEE 分配给各设备制造商。Whosthere 在启动时加载内置的 OUI 数据库（或通过配置指定外部数据库路径），每当 ARP 解析或 mDNS/SSDP 响应提供设备 MAC 地址时，即查询 OUI 数据库并匹配厂商字符串。例如 MAC 地址 00:1A:2B 对应某厂商，Whosthere 将在 TUI 设备列表中显示为 <厂商名> <型号或系列>。OUI 数据库的覆盖范围取决于内置数据的时效性，对于数据库未收录的 OUI，则显示 "Unknown" 并保留原始 MAC 地址。
端口扫描是可选功能，默认禁用以避免未经授权的探测行为。用户进入设备详情视图后按 p 键触发扫描，Whosthere 根据 port_scanner.tcp 配置列表发起 TCP 快速连接探测。默认扫描端口包括 21（FTP）、22（SSH）、80（HTTP）、443（HTTPS）、3389（RDP）、5432（PostgreSQL）等常见服务端口，共 22 个。扫描超时由 port_scanner.timeout 参数控制，默认 5 秒。对于高延迟网络或需要更激进扫描策略的场景，可将超时降低至 2 秒以提升响应速度，但可能漏判慢响应服务；或将超时提高至 10 秒以确保覆盖性。端口扫描结果在详情视图中以服务名称 + 端口号形式展示，帮助用户快速识别设备类型与运行服务。
TUI 交互设计：键位映射与状态机实现
Whosthere 的终端界面基于 tview 库构建，这是一个支持复杂布局与事件处理的 TUI 框架。TUI 的交互设计借鉴了 Vim 的键位习惯，提供了高效的导航与操作体验。
主界面分为设备列表区与详情展示区，焦点状态决定了按键绑定的目标。设备列表视图的键位映射如下：j 与 k 分别向下 / 向上移动选中项，对应 Vim 的光标移动习惯；g 跳转到列表顶部，G 跳转到列表底部。搜索功能由 / 键触发，进入正则表达式输入模式，支持按 IP、主机名、MAC 地址或厂商名过滤。搜索结果实时匹配，用户按 ESC 清除搜索并返回全量列表。y 键将当前选中设备的 IP 地址复制到系统剪贴板，这一功能在 Linux X11 环境下依赖 libx11 库，Wayland 环境需通过 XWayland 或外部剪贴板工具中转。
详情视图在用户按 Enter 后展开，显示设备的所有已知元数据：IP 地址、MAC 地址、OUI 厂商、主机名（若 mDNS/SSDP 响应中包含）、最后活跃时间戳以及可选的端口扫描结果。在此视图中，p 键触发端口扫描，Tab 键在可能的操作按钮间切换焦点（如确认删除、历史记录查看），ESC 返回设备列表视图。全局热键 CTRL+t 打开主题选择器，可在预设主题间切换或进入自定义颜色配置；CTRL+c 终止应用程序。
TUI 的状态管理通过 tview 的 Application 实例与自定义状态机实现。主循环监听键盘事件，根据当前焦点视图与状态标志分发处理逻辑。对于耗时操作（如端口扫描、OUI 数据库加载），Whosthere 在后台 goroutine 中执行，并通过 tview.AsyncRun 将结果安全地写回 UI 线程，避免界面冻结。这种分离确保了交互响应的流畅性 —— 即使扫描仍在进行，用户仍可上下浏览已有结果或切换视图。
配置参数工程化：可调阈值与生产部署建议
Whosthere 的行为高度可配置，所有参数通过 YAML 格式的配置文件管理。理解这些参数的工程含义有助于在不同场景下优化性能与效果。
配置文件的搜索路径遵循 XDG 规范：$XDG_CONFIG_HOME/whosthere/config.yaml，若未设置则回退至 ~/.config/whosthere/config.yaml。用户可通过环境变量 WHOSTHERE_CONFIG 指定自定义路径，便于在不同场景下切换配置。日志输出默认写入 $XDG_STATE_HOME/whosthere/app.log，日志级别可通过 WHOSTHERE_LOG 环境变量设为 debug、info、warn 或 error。
对于生产部署场景，建议关注以下参数组合。高频监控配置适用于需要快速感知网络变化的场景：scan_interval: 5s、scan_duration: 15s，同时确保 scanners.arp.enabled: true 以覆盖非服务发现型设备。此配置在 254 台设备的 /24 子网上约占 2-5 Mbps 持续流量，ARP 探测包约 150-200 个 / 秒，对普通网络设备影响可控。低功耗配置适用于嵌入式设备或资源受限环境：scan_interval: 60s、scan_duration: 8s，可关闭 SSDP 扫描（scanners.ssdp.enabled: false）以减少组播流量，仅保留 mDNS 与 ARP 组合。大规模网络配置适用于 /16 以上子网：scan_duration: 30s，同时在 network_interface 参数中指定目标网卡以避免跨接口扫描，ARP 探测的超时参数（默认从操作系统继承）可在系统层面通过 sysctl net.ipv4.neigh.*.gc_stale_time 调整以平衡缓存命中率与响应及时性。
Daemon 模式与 HTTP API：集成与二次开发
Whosthere 不仅提供交互式 TUI，还支持以守护进程模式运行并暴露 HTTP API，便于与其他运维工具集成。启动命令为 whosthere daemon --port 8080，API 端点设计简洁：
GET /devices：返回所有已发现设备的 JSON 数组，每个条目包含 IP、MAC、主机名、OUI 厂商、最后更新时间戳及端口扫描结果（如已执行）。GET /device/{ip}：返回指定 IP 设备的完整元数据，响应格式与/devices中的单个条目一致。GET /health：返回服务健康状态，用于监控检查。
这一 API 设计使得 Whosthere 可作为轻量级网络发现服务嵌入更大的监控体系。例如，配合 Prometheus 的 blackbox_exporter 实现网络可达性监控；或与资产管理系统集成，自动同步发现的设备信息。由于 Whosthere 在后台持续运行并维护设备状态数据库，API 响应延迟极低，适合实时查询场景。
对于需要二次开发的用户，Whosthere 的内部 scanner 包暴露了 Scanner、MDNSScanner、SSDPScanner 等接口，可直接复用其协议实现。TUI 包中的 Application、DeviceList、DetailsView 等组件基于 tview 构建，支持自定义布局或嵌入到更大的终端应用中。OUI 数据库加载逻辑位于 internal/enrichment/oui.go，若需扩展厂商数据，可在此处注入自定义查询函数。
工程实践要点：权限边界与网络影响
在使用 Whosthere 进行网络发现时，需注意其设计假设与限制条件。首先，尽管 Whosthere 本身不要求特权权限，但其 ARP 探测机制依赖于操作系统的 ARP 缓存更新行为。在启用了 ARP 防护（如 Dynamic ARP Inspection）的企业网络中，TCP/UDP 探测包可能被交换机过滤或忽略，导致 ARP 缓存不更新，此时 Whosthere 的覆盖范围将受限。
其次，mDNS 与 SSDP 扫描的覆盖范围取决于局域网设备的 UPnP/zeroconf 支持情况。多数 IoT 设备、家庭路由器和智能家电会响应 SSDP，但工业设备或隔离网段设备可能不在此列。结合三种扫描器可最大化覆盖，但无法保证 100% 发现率。
最后，Whosthere 的端口扫描功能仅在获得授权的网络环境中使用。默认禁用是出于合规考量，在企业环境中部署前应与网络管理员确认扫描策略符合安全策略。工具本身在 README 中明确声明仅限授权网络使用，开发者与使用者均需遵守当地法律法规。
资料来源：
- Whosthere GitHub 仓库：https://github.com/ramonvermeulen/whosthere