Zabbix 拓扑图不显示终端？手把手实现终端设备自动发现

在线答疑：乐维社区

一、背景

故障快速定位：终端网络不通时需快速判断是终端自身、接入端口还是上联链路问题，现有拓扑看不到终端节点，只能逐级排查，故障定位时间过程长

Zabbix 原生的网络发现和拓扑图主要面向交换机、路由器这类网络设备，下挂在交换机 Access 口上的终端设备（PC、打印机、摄像头、IoT 终端）通常无法在拓扑中体现为独立节点。在安全合规、故障定位、资产管理等场景下，客户需要看到终端设备在网络中的具体接入位置，这就要求对 Zabbix 的发现能力做扩展。

本文说明如何基于 Zabbix 的 SNMP 采集、LLD 机制和外部脚本，实现终端设备的拓扑发现。重点讲清楚终端设备为什么能被发现、依赖什么数据、发现后如何挂到拓扑上。

二、核心原理

终端设备能被纳入拓扑，依赖三个前提条件。

2.1 终端要有访问记录

终端设备通常不运行 SNMP Agent，Zabbix 无法直接轮询。发现终端的方式是查询网络设备上的记录：终端的 MAC 地址要出现在交换机的 MAC 地址表（FDB）中，终端的 IP-MAC 映射要出现在路由器的 ARP 表中。如果一台终端从未与网络通信（刚开机未获取 IP，或长时间休眠），它的 MAC 不在 FDB 中，ARP 表里也没有记录，Zabbix 无法发现它。

2.2 终端要接在 Access 口上

交换机端口分为 Access 口和 Trunk 口。Access 口连接终端设备，只属于一个 VLAN；Trunk 口用于交换机之间或交换机与路由器之间的级联，承载多个 VLAN 流量。拓扑发现时必须区分这两种端口：Access 口下挂的是终端，Trunk 口对端是另一台网络设备。Zabbix 通过 SNMP 查询交换机端口模式（涉及 BRIDGE-MIB 的 dot1dBasePortTable 和 IF-MIB 的 ifTable），可以判断端口类型，从而区分终端和网络设备。

2.3 没有访问记录就 ping 一下

FDB 和 ARP 表中的记录会老化，默认老化时间通常为 5 分钟（FDB）和 4 小时（ARP）。如果终端长时间无流量，记录会被清除，此时 Zabbix 采集不到数据，终端在拓扑中消失。解决方式是主动 ping 终端，触发 ARP 学习和 FDB 刷新。具体做法是：外部脚本在采集前，对网段内的 IP 发起 ICMP 探测，让路由器和交换机重新学习到终端的 MAC，然后再去采集 ARP 表和 FDB。

图 1 终端设备发现的三个前提条件

三、数据链路

终端设备的拓扑位置，由两类数据关联得到：路由器的 ARP 表提供 IP 与 MAC 的映射，交换机的 FDB 提供 MAC 与端口的映射。两者关联后，就能得到“终端 IP → MAC → 交换机端口”的完整链路。

3.1 路由器 ARP 表

路由器维护着本网段所有活跃终端的 IP-MAC 映射，通过 SNMP 查询 IP-MIB 的 ipNetToMediaTable（OID 1.3.6.1.2.1.4.22.1）可以获取。ARP 表是发现终端 IP 的数据来源，没有它就拿不到终端的 IP 地址。

3.2 交换机 FDB

交换机的 FDB 记录了每个端口学习到的 MAC 地址，通过 SNMP 查询 BRIDGE-MIB 的 dot1dTpFdbTable（OID 1.3.6.1.2.1.17.4.3.1）可以获取。FDB 是定位终端物理位置的数据来源，它告诉系统某个 MAC 接在交换机的哪个端口上。跨 VLAN 的终端发现需要逐个 VLAN 查询 FDB（涉及 Q-BRIDGE-MIB 的 dot1qTpFdbTable）。

3.3 数据关联

把 ARP 表和 FDB 关联：从 ARP 表拿到终端的 IP 和 MAC，用这个 MAC 去匹配各台交换机的 FDB，找到 MAC 对应的端口，就得到了终端的完整拓扑位置。这个关联逻辑由外部脚本完成，输出结果包含终端 IP、MAC、接入交换机 IP、端口号、VLAN 等字段。

图 2 ARP 表与 FDB 关联定位终端位置

四、判断逻辑

终端发现是否完整，关键看网段内有没有路由器。

4.1 有路由器的网段

路由器维护着本网段完整的 ARP 表，包含所有活跃终端的 IP-MAC 映射。Zabbix 通过查询路由器的 ARP 表，可以拿到网段内所有终端的 IP，再结合交换机 FDB 定位端口，发现是完整的。

4.2 没有路由器的网段

如果网段内只有二层交换机，没有路由器或网关设备，就没有完整的 ARP 表，Zabbix 拿不到终端的 IP。这种情况下只能通过交换机 FDB 拿到 MAC，但 MAC 无法关联到 IP，终端在拓扑中只能显示为 MAC 地址，无法显示 IP，发现是不完整的。

4.3 路由器只有一条记录

如果路由器的 ARP 表里只有一条记录，说明该网段当前只有一个终端与网络通信过。可能是网段内确实只有一台活跃终端，也可能是其他终端长时间无流量导致 ARP 记录老化。后者需要通过主动 ping 触发 ARP 学习来刷新。

图 3 网段判断逻辑流程

五、实现路径

方案分为数据采集、Zabbix 纳管、拓扑展示三层。

5.1 数据采集层

由外部脚本完成，负责查询路由器 ARP 表和交换机 FDB，关联后输出终端位置数据。脚本用 Python 配合 PySNMP 库实现，输出格式为 JSON，包含终端 IP、MAC、接入交换机 IP、端口号、VLAN 等字段。脚本通过 Zabbix 的外部检查（External Check）或 UserParameter 方式被调用，采集频率建议 5 到 10 分钟一次。

5.2 Zabbix 纳管层

通过 LLD（Low-Level Discovery）把采集到的终端数据自动创建为 Zabbix 主机。LLD 规则以脚本输出的 JSON 为数据源，过滤器配置为只纳管 Access 口下的设备。主机的设备唯一性 criteria 配置为 MAC 地址，避免 DHCP 环境下 IP 变化导致主机重复创建。主机创建时自动链接终端监控模板，并写入资产信息（接入交换机、端口、VLAN）。

5.3 拓扑展示层

在 Zabbix 的拓扑图（Topology Map）中，把网络设备作为父节点，终端设备作为子节点，根据采集到的接入交换机和端口信息建立连接关系。终端设备用不同图标区分类型（PC、打印机、摄像头）。拓扑图通过 Zabbix API 动态更新，当终端接入位置变化时，连接关系自动调整。

图 4 三层实现架构

七、总结

Zabbix 网络拓扑发现终端设备，基于 SNMP 采集、ARP/FDB 数据关联、LLD 自动发现、拓扑图绘制组合实现。核心原理是：终端要有访问记录（ARP 表和 FDB 中有它的 MAC），终端要接在 Access 口上（与网络设备端口区分），没有访问记录就 ping 一下（主动触发数据刷新）。数据链路是路由器 ARP 表提供 IP-MAC 映射，交换机 FDB 提供 MAC-端口映射，关联后得到终端的完整拓扑位置。判断逻辑的关键是网段要有路由器，有路由器才有完整的 ARP 表，终端发现才能做到不漏。