ARP

Che cos'è ARP?

ARP sta per Address Resolution Protocol. È un meccanismo di rete che traduce gli indirizzi IP nei corrispondenti indirizzi MAC. Pertanto, una tabella ARP deve essere mantenuta nell'host o nella rete di livello 3 per memorizzare le informazioni di mappatura degli indirizzi IP e degli indirizzi MAC. La tabella ARP è generalmente suddivisa in statica e dinamica.

ARP è essenziale?

Sì. Per abilitare la comunicazione tra host o dispositivi di rete di livello 3 su una LAN, il mittente deve conoscere l'indirizzo IP di destinazione per inviare pacchetti IP. Tuttavia, prima che questi pacchetti possano essere trasmessi sulla rete fisica, devono essere incapsulati con indirizzi MAC. Di conseguenza, gli host o i dispositivi di rete di livello 3 devono mantenere una tabella ARP per memorizzare le mappature tra indirizzi IP e indirizzi MAC.

I diversi tipi di ARP

ARP dinamico

Le voci ARP dinamiche vengono generate o mantenute automaticamente quando i pacchetti ARP vengono inviati e ricevuti. Le voci ARP statiche possono invecchiare, aggiornare o sovrascrivere queste tabelle.

L'ARP dinamico è più appropriato per servizi e reti complesse sensibili ai ritardi di trasmissione.

ARP statico

L'ARP statico consente agli amministratori di rete di stabilire manualmente associazioni fisse tra indirizzi IP e indirizzi MAC. Le voci ARP statiche non scadono né vengono sovrascritte dalle voci ARP dinamiche, mantenendo il sistema sicuro.

In genere, i dispositivi di rete utilizzano ARP per apprendere e aggiornare dinamicamente le voci ARP. Tuttavia, durante un attacco ARP alla rete, le voci ARP dinamiche possono essere aggiornate in modo errato o scadere, causando comunicazioni anomale tra gli utenti autorizzati.

Le voci ARP statiche non vengono né invecchiate né sovrascritte dalle voci ARP dinamiche, garantendo così comunicazioni sicure. Se una voce ARP statica è configurata su un dispositivo, il dispositivo può utilizzare solo l'indirizzo MAC specificato per comunicare con il dispositivo peer. Ciò impedisce agli aggressori di rete di utilizzare pacchetti ARP per modificare la mappatura degli indirizzi IP e MAC, garantendo così una comunicazione sicura tra dispositivi. Le voci ARP statiche sono generalmente configurate sui dispositivi gateway.

Le voci ARP statiche sono classificate in voci brevi e lunghe:

Voci ARP statiche brevi:

L'amministratore di rete identifica manualmente la mappatura tra indirizzi IP e MAC senza specificare la VLAN e l'interfaccia in uscita. Se l'interfaccia in uscita è un'interfaccia Ethernet di livello 2, le voci ARP statiche brevi non possono essere utilizzate direttamente per l'inoltro dei pacchetti. Il dispositivo deve prima emettere un pacchetto di richiesta ARP. Supponiamo che gli indirizzi IP e MAC di origine del pacchetto di risposta ARP ricevuto corrispondano alla voce ARP statica. In tal caso, il dispositivo aggiungerà le informazioni sulla VLAN e sull'interfaccia del pacchetto di risposta ARP ricevuto alla voce ARP statica per il successivo inoltro dei pacchetti.

Voci ARP statiche lunghe:

L'amministratore di rete stabilisce manualmente la mappatura tra indirizzo IP e indirizzo MAC e specifica la VLAN e l'interfaccia in uscita a cui viene inviato il pacchetto. Le voci ARP statiche lunghe sono consigliate perché possono essere utilizzate direttamente per l'inoltro dei pacchetti.

ARP gratuito

Gratuitous ARP consente a un dispositivo di rete di inviare un pacchetto di richiesta ARP in cui il suo indirizzo IP è l'indirizzo IP di destinazione.

Funzioni principali del Gratuitous ARP:

1. Rilevamento dei conflitti di indirizzi IP: Quando un dispositivo riceve una risposta ARP alla sua richiesta Gratuitous ARP, ciò indica che un altro dispositivo di rete utilizza lo stesso indirizzo IP. Il dispositivo invierà quindi periodicamente richieste Gratuitous ARP finché il conflitto non sarà risolto.

2. Annuncio di un nuovo indirizzo MAC: Se l'indirizzo MAC di un dispositivo cambia, ad esempio quando viene sostituita una scheda di rete, il dispositivo invia richieste ARP gratuite per informare gli altri dispositivi sulla rete del nuovo indirizzo MAC. Ciò garantisce che le tabelle ARP vengano aggiornate con le informazioni corrette.

3. Informare il gruppo VRRP dello switch Master/backup In un gruppo VRRP (Virtual Router Redundancy Protocol): quando avviene una commutazione tra i dispositivi master e di backup, il nuovo dispositivo master invia pacchetti Gratuitous ARP per notificare agli altri dispositivi del gruppo che la commutazione è avvenuta.

Proxy ARP

Proxy ARP è una tecnica che consente ai dispositivi su una determinata rete di rispondere alle richieste ARP provenienti da indirizzi di rete che non si trovano su quella rete.

Caratteristiche principali del Proxy ARP:

-Distribuzione del gateway: Viene in genere implementato su un gateway di rete e non richiede alcuna modifica alla configurazione degli host di rete.

-Occultamento della topologia: Il Proxy ARP nasconde la topologia fisica della rete, consentendo ai dispositivi su reti fisiche diverse di comunicare come se fossero sulla stessa rete.

-Modifica selettiva della tabella ARP: Questo modifica solo le tabelle ARP degli host, lasciando invariate le tabelle ARP e di routing del gateway.

ARP proxy instradato

Routing Proxy ARP consente ai dispositivi di comunicare sullo stesso segmento di rete logico ma su reti fisiche diverse.

Un host non può inoltrare dati ad altri dispositivi di rete senza un indirizzo gateway predefinito. Routing Proxy ARP risolve questo problema.

Ad esempio, Host_1 e Host_2 si trovano sullo stesso segmento di rete logico ma sono connessi tramite VLAN diverse (VLANIF 10 e VLANIF 20). Host_1 invia una richiesta ARP per trovare l'indirizzo MAC di Host_2, ma poiché si trovano su reti fisiche diverse, Host_2 non riceve la richiesta. Con Routing Proxy ARP abilitato, lo switch risponde alla richiesta ARP di Host_1 con il proprio indirizzo MAC. Host_1 invia quindi i dati allo switch, che li inoltra a Host_2 come proxy.

Proxy ARP intra-VLAN

Quando due utenti si trovano nella stessa VLAN, ma è configurato l'isolamento delle porte, l'abilitazione del proxy ARP intra-VLAN sulle interfacce VLAN associate consente la comunicazione di Layer 3.

Ad esempio, si considerino Host_1 e Host_2, che sono collegati a uno switch e assegnati alla VLAN 10. A causa dell'isolamento delle porte, non sono in grado di comunicare al livello 2. Tuttavia, quando il proxy ARP intra-VLAN è abilitato, lo switch può facilitare la comunicazione al livello 3. Quando lo switch riceve un pacchetto di richiesta ARP con un indirizzo di destinazione che non corrisponde al proprio, cerca una voce ARP corrispondente all'interfaccia. Se trova una voce per Host_2, lo switch risponde con il proprio indirizzo MAC a Host_1 e inoltra il pacchetto a Host_2, agendo di fatto come proxy.

Proxy ARP inter-VLAN

Quando due host si trovano sullo stesso segmento di rete ma in VLAN diverse, l'abilitazione del proxy ARP inter-VLAN sulle relative interfacce VLAN (come le interfacce VLANIF o le sottointerfacce) consente la comunicazione Layer 3.

Ad esempio, Host_1 e Host_2 potrebbero trovarsi sullo stesso segmento di rete ma appartenere rispettivamente alla VLAN 10 e alla VLAN 20. Poiché si trovano in VLAN diverse, non possono comunicare al Layer 2. Abilitando il proxy ARP inter-VLAN sullo switch, gli host possono comunicare al Layer 3. Quando lo switch riceve una richiesta ARP con un indirizzo di destinazione che non corrisponde al proprio, cerca una voce ARP (appresa dinamicamente o configurata staticamente) per Host_2. Se trova una corrispondenza, lo switch invia il proprio indirizzo MAC a Host_1 e inoltra il pacchetto a Host_2, funzionando da proxy.