ARP

Was ist ARP?

ARP steht für Address Resolution Protocol. Es ist ein Netzwerkmechanismus, der IP-Adressen in entsprechende MAC-Adressen übersetzt. Daher muss im Host oder im Layer-3-Netzwerk eine ARP-Tabelle gepflegt werden, um die Zuordnungsinformationen von IP-Adressen und MAC-Adressen zu speichern. Die ARP-Tabelle wird im Allgemeinen in statisch und dynamisch kategorisiert.

Ist ARP unerlässlich?

Ja. Um die Kommunikation zwischen Hosts oder Layer-3-Netzwerkgeräten in einem LAN zu ermöglichen, muss der Absender die Ziel-IP-Adresse zum Senden von IP-Paketen kennen. Bevor diese Pakete jedoch über das physische Netzwerk übertragen werden können, müssen sie mit MAC-Adressen gekapselt werden. Folglich müssen Hosts oder Layer-3-Netzwerkgeräte eine ARP-Tabelle führen, um die Zuordnungen zwischen IP-Adressen und MAC-Adressen zu speichern.

Die verschiedenen ARP-Typen

Dynamisches ARP

Dynamische ARP-Einträge werden automatisch generiert oder gepflegt, wenn ARP-Pakete gesendet und empfangen werden. Statische ARP-Einträge können altern, aktualisiert werden oder diese Tabellen überschreiben.

Dynamisches ARP eignet sich besser für Dienste und komplexe Netzwerke, die empfindlich auf Übertragungsverzögerungen reagieren.

Statisches ARP

Statisches ARP ermöglicht Netzwerkadministratoren, feste Zuordnungen zwischen IP-Adressen und MAC-Adressen manuell herzustellen. Statische ARP-Einträge altern nicht und werden nicht durch dynamische ARP-Einträge überschrieben, wodurch das System sicher bleibt.

Netzwerkgeräte verwenden normalerweise ARP, um ARP-Einträge dynamisch zu erlernen und zu aktualisieren. Bei einem ARP-Angriff auf das Netzwerk können dynamische ARP-Einträge jedoch fälschlicherweise aktualisiert oder als veraltet eingestuft werden, was zu Kommunikationsstörungen zwischen autorisierten Benutzern führt.

Statische ARP-Einträge werden weder gealtert noch durch dynamische ARP-Einträge überschrieben und gewährleisten so eine sichere Kommunikation. Wenn ein statischer ARP-Eintrag auf einem Gerät konfiguriert ist, kann das Gerät nur die angegebene MAC-Adresse verwenden, um mit dem Peer-Gerät zu kommunizieren. Dadurch wird verhindert, dass Netzwerkangreifer ARP-Pakete verwenden, um die Zuordnung von IP- und MAC-Adressen zu ändern, wodurch eine sichere Kommunikation zwischen Geräten gewährleistet wird. Statische ARP-Einträge werden in der Regel auf Gateway-Geräten konfiguriert.

Statische ARP-Einträge werden in kurze und lange Einträge unterteilt:

Kurze statische ARP-Einträge:

Der Netzwerkadministrator identifiziert manuell die Zuordnung zwischen IP- und MAC-Adressen, ohne VLAN und ausgehende Schnittstelle anzugeben. Wenn die ausgehende Schnittstelle eine Layer-2-Ethernet-Schnittstelle ist, können kurze statische ARP-Einträge nicht direkt für die Paketweiterleitung verwendet werden. Das Gerät muss zunächst ein ARP-Anforderungspaket senden. Angenommen, die Quell-IP- und MAC-Adressen des empfangenen ARP-Antwortpakets stimmen mit dem statischen ARP-Eintrag überein. In diesem Fall fügt das Gerät die VLAN- und Schnittstelleninformationen des empfangenen ARP-Antwortpakets dem statischen ARP-Eintrag für die anschließende Paketweiterleitung hinzu.

Lange statische ARP-Einträge:

Der Netzwerkadministrator legt die Zuordnung von IP-Adresse und MAC-Adresse manuell fest und gibt das VLAN und die ausgehende Schnittstelle an, an die das Paket gesendet wird. Lange statische ARP-Einträge werden empfohlen, da sie direkt für die Paketweiterleitung verwendet werden können.

Gratuitous ARP

Gratuitous ARP ermöglicht es einem Netzwerkgerät, ein ARP-Anforderungspaket zu senden, bei dem seine IP-Adresse die Ziel-IP-Adresse ist.

Hauptfunktionen von Gratuitous ARP:

1. Erkennen von IP-Adresskonflikten: Wenn ein Gerät eine ARP-Antwort auf seine Gratuitous-ARP-Anfrage erhält, weist dies darauf hin, dass ein anderes Netzwerkgerät dieselbe IP-Adresse verwendet. Das Gerät sendet dann periodisch Gratuitous-ARP-Anfragen, bis der Konflikt behoben ist.

2. Ankündigung einer neuen MAC Address: Wenn sich die MAC-Adresse eines Geräts ändert, z. B. wenn ein Netzwerkadapter ersetzt wird, sendet das Gerät Gratuitous-ARP-Anfragen, um andere Geräte im Netzwerk über die neue MAC-Adresse zu informieren. Dadurch wird sichergestellt, dass ARP-Tabellen mit den korrekten Informationen aktualisiert werden.

3. Information der VRRP-Gruppe über Master/backup-Switch In einer VRRP (Virtual Router Redundancy Protocol)-Gruppe: Wenn ein Wechsel zwischen Master- und Backup-Geräten stattfindet, sendet das neue Master-Gerät Gratuitous-ARP-Pakete, um die anderen Geräte in der Gruppe darüber zu informieren, dass der Wechsel erfolgt ist.

Proxy ARP

Proxy ARP ist eine Technik, die es Geräten in einem bestimmten Netzwerk ermöglicht, ARP-Anfragen von Netzwerkadressen zu beantworten, die sich nicht in diesem Netzwerk befinden.

Wichtige Merkmale von Proxy ARP:

-Gateway-Bereitstellung: Es wird typischerweise an einem Netzwerk-Gateway eingesetzt und erfordert keine Änderungen an der Konfiguration der Netzwerk-Hosts.

-Topologie-Verbergung: Proxy ARP verbirgt die physische Netzwerktopologie und ermöglicht Geräten in verschiedenen physischen Netzwerken, so zu kommunizieren, als befänden sie sich im selben Netzwerk.

-Selektive Änderung der ARP-Tabelle: Dies ändert nur die ARP-Tabellen der Hosts, während die ARP- und Routing-Tabellen des Gateways unverändert bleiben.

Geroutetes Proxy ARP

Routing Proxy ARP ermöglicht Geräten, im selben logischen Netzwerksegment, aber in unterschiedlichen physischen Netzwerken zu kommunizieren.

Ein Host kann ohne eine Standard-Gateway-Adresse keine Daten an andere Netzwerkgeräte weiterleiten. Routing Proxy ARP behebt dieses Problem.

Beispielsweise befinden sich Host_1 und Host_2 im selben logischen Netzwerksegment, sind aber über verschiedene VLANs (VLANIF 10 und VLANIF 20) verbunden. Host_1 sendet eine ARP-Anfrage, um die MAC-Adresse von Host_2 zu finden, aber da sie sich in verschiedenen physischen Netzwerken befinden, empfängt Host_2 die Anfrage nicht. Wenn Routing Proxy ARP aktiviert ist, antwortet der Switch auf die ARP-Anfrage von Host_1 mit seiner MAC-Adresse. Host_1 sendet dann Daten an den Switch, der sie als Proxy an Host_2 weiterleitet.

Intra-VLAN Proxy ARP

Wenn sich zwei Benutzer innerhalb derselben VLAN befinden, aber Port-Isolation konfiguriert ist, ermöglicht die Aktivierung von Intra-VLAN-Proxy-ARP auf den zugehörigen VLAN-Schnittstellen die Layer-3-Kommunikation.

Betrachten Sie beispielsweise Host_1 und Host_2, die mit einem Switch verbunden und VLAN 10 zugewiesen sind. Aufgrund der Port-Isolation können sie auf Layer 2 nicht kommunizieren. Wenn jedoch Intra-VLAN-Proxy-ARP aktiviert ist, kann der Switch die Kommunikation auf Layer 3 ermöglichen. Wenn der Switch ein ARP-Anforderungspaket mit einer Zieladresse empfängt, die nicht seiner eigenen entspricht, sucht er nach einem ARP-Eintrag, der der Schnittstelle entspricht. Wenn er einen Eintrag für Host_2 findet, antwortet der Switch Host_1 mit seiner eigenen MAC-Adresse und leitet das Paket an Host_2 weiter, wodurch er effektiv als Proxy fungiert.

Inter-VLAN Proxy ARP

Wenn sich zwei Hosts im selben Netzwerksegment, aber in verschiedenen VLANs befinden, ermöglicht die Aktivierung von Inter-VLAN-Proxy-ARP auf den relevanten VLAN-Schnittstellen (z. B. VLANIF-Schnittstellen oder Sub-Interfaces) die Layer-3-Kommunikation.

Beispielsweise könnten sich Host_1 und Host_2 im selben Netzwerksegment befinden, aber VLAN 10 bzw. VLAN 20 angehören. Da sie sich in unterschiedlichen VLANs befinden, können sie nicht auf Layer 2 kommunizieren. Durch Aktivieren von Inter-VLAN-Proxy-ARP auf dem Switch können die Hosts auf Layer 3 kommunizieren. Wenn der Switch eine ARP-Anfrage mit einer Zieladresse empfängt, die nicht mit seiner eigenen übereinstimmt, sucht er nach einem ARP-Eintrag (entweder dynamisch gelernt oder statisch konfiguriert) für Host_2. Wenn er eine Übereinstimmung findet, sendet der Switch seine MAC-Adresse an Host_1 und leitet das Paket an Host_2 weiter, wobei er als Proxy fungiert.