3. 自动发现技术概览

仪器自动发现的目标，是在尽量少的人工录入前提下，回答三个问题：网络里有哪些设备、它们各自提供什么能力、它们之间如何连接。围绕这三个问题，业界形成了五类互补的技术路线：主动探测、被动监听、协议指纹、服务发现与拓扑感知。它们并非互相替代，而是像五把不同焦距的镜头，共同拼出一张完整的资源视图。

一、主动探测：向网络发问，等待回声

主动探测由管理系统主动发起报文，根据响应判断目标是否存在及其基本属性。最典型的是 ICMP Echo（ping）与 TCP SYN 扫描：前者判断主机可达性，后者判断端口开放状态。在仪器场景中，还可利用仪器专有协议做“应用层探活”，例如向支持 VXI-11 的仪器发起端口映射调用，或向 SCPI 端口发送 *IDN? 查询。

# 典型主动探测组合
ping -c 2 192.168.10.21            # 链路可达性
nc -zv 192.168.10.21 5025          # SCPI Raw Socket 端口
nc -zv 192.168.10.21 111           # VXI-11 端口映射
echo "*IDN?" | nc 192.168.10.21 5025
# 返回示例：Keysight Technologies,N9020A,MY56000123,A.15.20

主动探测的优点是结果确定、可定时执行、易于纳入巡检；缺点是会产生额外流量，对实时性敏感的测量链路可能造成干扰，且部分设备默认关闭 ICMP 或限制并发连接，导致漏报。因此工程上通常采用“分片扫描 + 速率限制 + 白名单排除”的策略。

二、被动监听：只听不问，从流量中还原资产

被动监听通过镜像端口或网络分流器采集流量，解析 ARP、DHCP、mDNS、LLDP、SCPI 会话等报文，从中提取 IP、MAC、主机名、厂商与协议使用情况。它不向网络注入任何报文，因此对被测系统零干扰，特别适合在线测量系统与生产网络。

被动监听的局限在于“看不见不说话的设备”：一台已上电但长期空闲的仪器，可能长时间不产生任何流量，从而无法被发现。因此它常与主动探测形成周期互补——被动负责持续观察，主动负责定期补盲。

三、协议指纹：从响应特征识别型号与固件

协议指纹的核心思想是：不同厂商、不同型号、不同固件版本的设备，在协议实现细节上存在稳定差异。这些差异可能体现在 TCP 选项顺序、TTL 初值、窗口大小、banner 文本格式、SCPI 命令响应结构、mDNS 服务记录字段等位置。系统将这些特征与指纹库比对，即可推断设备类型。

指纹识别的准确性依赖指纹库的持续维护。新固件发布后，若指纹未更新，可能出现“识别为未知设备”或误判型号的情况，因此需要建立指纹回归测试机制。

四、服务发现：让设备主动“自报家门”

服务发现依赖设备自身对外宣告能力。常见机制包括 mDNS/DNS-SD、SSDP、WS-Discovery 以及厂商私有的发现协议。以 mDNS 为例，仪器上线后会组播宣告 _scpi-raw._tcp.local 或 _vxi-11._tcp.local 服务实例，管理端只需监听即可获得服务名、端口与 TXT 记录中的附加属性。

# 监听 mDNS 服务宣告（示意）
avahi-browse -rt _scpi-raw._tcp
# 输出示例
= eth0 IPv4 Keysight N9020A _scpi-raw._tcp local
   hostname = [n9020a-01.local]
   address  = [192.168.10.21]
   port     = [5025]
   txt      = ["model=N9020A" "serial=MY56000123"]

服务发现的优势是信息丰富、实时性好，设备上线即可被感知；不足是依赖设备实现质量，部分老设备不支持或宣告字段不完整，仍需主动探测兜底。

五、拓扑感知：把“点”连成“图”

拓扑感知关注设备之间的连接关系，数据来源包括 LLDP/CDP 邻居表、交换机 MAC 地址表、ARP 表、路由表以及 traceroute 路径。通过融合这些信息，可以构建“核心交换机—接入交换机—仪器”的层级拓扑，并定位每个仪器所连接的物理端口。

拓扑感知的价值在于故障定位：当某台仪器失联时，可快速判断是仪器本身问题、接入端口问题，还是上行链路问题。它也为资源管理提供位置属性，例如“该仪器位于三号机柜 A12 端口”。

六、案例：一次典型的自动发现流程

某实验室新增一台频谱分析仪，接入接入交换机。系统按以下顺序完成发现：

1. 被动监听捕获到该端口出现新的 ARP 与 DHCP 请求，记录 IP 与 MAC。
2. 服务发现监听到 mDNS 宣告 _scpi-raw._tcp.local，获得服务名与端口 5025。
3. 主动探测向 5025 端口发送 *IDN?，返回厂商、型号、序列号与固件版本。
4. 协议指纹比对响应结构，确认型号与固件匹配，写入资产库。
5. 拓扑感知读取交换机 LLDP 邻居表，补充“接入交换机 Gi1/0/12”位置信息。

整个流程无需人工录入，且每一步都有冗余校验，避免单一来源误判。

七、常见误区与复盘

• 只依赖主动探测：会漏掉关闭 ICMP 或限制并发的设备，且高频扫描可能干扰测量。
• 只依赖被动监听：长期空闲设备无法被发现，资产台账会随时间“缩水”。
• 指纹库长期不更新：新固件上线后识别率下降，出现大量“未知设备”。
• 忽视拓扑数据：故障时无法快速定位物理端口，排障时间成倍增加。
• 不做去重与合并：同一设备被多来源重复发现，资产库出现冗余记录。

理解这五类技术的基本原理与边界，是后续设计自动发现策略、选择扫描参数、评估发现覆盖率的基础。它们共同决定了资源管理系统的“眼睛”能看多远、看多准。