ARP

Что такое ARP?

ARP расшифровывается как Address Resolution Protocol. Это сетевой механизм, который преобразует IP-адреса в соответствующие MAC-адреса. Поэтому на хосте или в сети уровня 3 должна поддерживаться таблица ARP для хранения информации о соответствии IP-адресов и MAC-адресов. Таблица ARP обычно подразделяется на статическую и динамическую.

Необходим ли ARP?

Да. Чтобы обеспечить связь между хостами или сетевыми устройствами уровня 3 в локальной сети, отправителю необходимо знать IP-адрес назначения для отправки IP-пакетов. Однако прежде чем эти пакеты смогут передаваться по физической сети, их необходимо инкапсулировать с MAC-адресами. Поэтому хосты или сетевые устройства уровня 3 должны поддерживать ARP-таблицу для хранения соответствий между IP- и MAC-адресами.

Различные типы ARP

Динамический ARP

Динамические записи ARP автоматически создаются или поддерживаются при отправке и получении пакетов ARP. Статические записи ARP могут устаревать, обновляться или перезаписывать эти таблицы.

Динамический ARP больше подходит для служб и сложных сетей, чувствительных к задержкам передачи данных.

Статический ARP

Статический ARP позволяет сетевым администраторам вручную устанавливать фиксированные соответствия между IP-адресами и MAC-адресами. Записи статического ARP не устаревают и не перезаписываются записями динамического ARP, что обеспечивает безопасность системы.

Обычно сетевые устройства используют ARP для динамического изучения и обновления записей ARP. Однако во время ARP-атаки в сети динамические записи ARP могут быть некорректно обновлены или устареть, что приводит к нарушению связи между авторизованными пользователями.

Статические записи ARP не устаревают и не перезаписываются динамическими записями ARP, что обеспечивает безопасную связь. Если на устройстве настроена статическая запись ARP, устройство может использовать для связи с одноранговым устройством только указанный MAC-адрес. Это предотвращает использование сетевыми злоумышленниками пакетов ARP для изменения соответствия IP- и MAC-адресов и тем самым гарантирует безопасную связь между устройствами. Статические записи ARP обычно настраиваются на шлюзовых устройствах.

Статические записи ARP подразделяются на короткие и длинные записи:

Краткие статические записи ARP:

Сетевой администратор вручную определяет соответствие между IP- и MAC-адресами без указания VLAN и исходящего интерфейса. Если исходящий интерфейс является интерфейсом Ethernet уровня 2, короткие статические записи ARP нельзя использовать непосредственно для пересылки пакетов. Сначала устройство должно отправить пакет ARP-запроса. Предположим, что исходные IP- и MAC-адреса полученного пакета ARP-ответа совпадают со статической записью ARP. В этом случае устройство добавит информацию о VLAN и интерфейсе из полученного пакета ARP-ответа в статическую запись ARP для последующей пересылки пакетов.

Длительные статические записи ARP:

Сетевой администратор вручную устанавливает соответствие между IP-адресом и MAC-адресом, а также указывает VLAN и исходящий интерфейс, через которые отправляется пакет. Рекомендуется использовать длинные статические записи ARP, поскольку их можно напрямую применять для пересылки пакетов.

Gratuitous ARP

Gratuitous ARP позволяет сетевому устройству отправлять пакет ARP-запроса, в котором его IP-адрес является целевым IP-адресом.

Основные функции Gratuitous ARP:

1. Обнаружение конфликтов IP-адресов: Когда устройство получает ответ ARP на свой безвозмездный запрос ARP, это означает, что другое сетевое устройство использует тот же IP-адрес. Затем устройство будет периодически отправлять безвозмездные запросы ARP, пока конфликт не будет устранён.

2. Объявление нового MAC-адреса: Если MAC-адрес устройства изменяется, например при замене сетевого адаптера, устройство отправляет запросы Gratuitous ARP, чтобы уведомить другие устройства в сети о новом MAC-адресе. Это гарантирует обновление таблиц ARP правильной информацией.

3. Уведомление группы VRRP о ведущем/резервном коммутаторе В группе VRRP (Virtual Router Redundancy Protocol): когда происходит переключение между основным и резервным устройствами, новое основное устройство отправляет пакеты Gratuitous ARP, чтобы уведомить другие устройства в группе о том, что переключение выполнено.

Прокси-ARP

Proxy ARP — это технология, которая позволяет устройствам в определенной сети отвечать на ARP-запросы от сетевых адресов, не принадлежащих этой сети.

Основные функции Proxy ARP:

-Развёртывание шлюза: Обычно он развёртывается на сетевом шлюзе и не требует внесения каких-либо изменений в конфигурацию сетевых узлов.

-Скрытие топологии: Proxy ARP скрывает физическую топологию сети, позволяя устройствам в разных физических сетях взаимодействовать так, как будто они находятся в одной сети.

-Выборочная модификация таблицы ARP: Это изменяет только ARP-таблицы хостов, оставляя ARP-таблицу и таблицы маршрутизации шлюза без изменений.

Маршрутизируемый прокси-ARP

Маршрутизация Proxy ARP позволяет устройствам обмениваться данными в одном логическом сегменте сети, но в разных физических сетях.

Хост не может пересылать данные другим сетевым устройствам без адреса шлюза по умолчанию. Маршрутизация Proxy ARP решает эту проблему.

Например, Host_1 и Host_2 находятся в одном логическом сегменте сети, но подключены через разные VLAN (VLANIF 10 и VLANIF 20). Host_1 отправляет ARP-запрос, чтобы узнать MAC-адрес Host_2, но поскольку они находятся в разных физических сетях, Host_2 не получает этот запрос. При включённом Routing Proxy ARP коммутатор отвечает на ARP-запрос Host_1 своим MAC-адресом. Затем Host_1 отправляет данные коммутатору, который пересылает их Host_2 в качестве прокси.

Прокси-ARP внутри VLAN

Когда два пользователя находятся в одной VLAN, но настроена изоляция портов, включение прокси-ARP внутри VLAN на соответствующих интерфейсах VLAN обеспечивает связь уровня 3.

Например, рассмотрим Host_1 и Host_2, подключенные к коммутатору и назначенные VLAN 10. Из-за изоляции портов они не могут обмениваться данными на уровне 2. Однако при включении прокси-ARP внутри VLAN коммутатор может обеспечить связь на уровне 3. Когда коммутатор получает пакет ARP-запроса с адресом назначения, не совпадающим с его собственным, он ищет запись ARP, соответствующую интерфейсу. Если он находит запись для Host_2, коммутатор отвечает Host_1 своим MAC-адресом и пересылает пакет Host_2, фактически действуя как прокси.

Прокси-ARP между VLAN

Когда два хоста находятся в одном сетевом сегменте, но в разных VLAN, включение прокси-ARP между VLAN на соответствующих интерфейсах VLAN (например, интерфейсах VLANIF или субинтерфейсах) обеспечивает связь уровня 3.

Например, Host_1 и Host_2 могут находиться в одном сетевом сегменте, но принадлежать соответственно VLAN 10 и VLAN 20. Поскольку они находятся в разных VLAN, они не могут взаимодействовать на уровне 2. При включении на коммутаторе прокси-ARP между VLAN хосты могут взаимодействовать на уровне 3. Когда коммутатор получает запрос ARP с адресом назначения, не совпадающим с его собственным, он ищет запись ARP (изученную динамически или настроенную статически) для Host_2. Если совпадение найдено, коммутатор отправляет Host_1 свой MAC-адрес и пересылает пакет Host_2, функционируя как прокси.