Was ist ARP?

Das Address Resolution Protocol (ARP) ordnet die IP-Adresse eines Geräts dessen Hardware-MAC-Adresse zu, sodass zwei Geräte im selben Ethernet-Segment Frames austauschen können. Ein Gerät sendet eine ARP-Anfrage für eine IP-Adresse im Rundfunkmodus, der Besitzer antwortet mit seiner MAC-Adresse, und der Anfragende speichert diese Zuordnung im Cache.

Die wichtigsten Erkenntnisse

• ARP ordnet IP-Adressen in einem lokalen Netzwerksegment MAC-Adressen zu.
• Eine ARP-Anfrage im Broadcast-Modus löst eine Unicast-Antwort aus, die anschließend zwischengespeichert wird.
• Mit Proxy-ARP kann ein Gerät ARP-Anfragen im Namen eines anderen Geräts beantworten.
• Die ARP-Unterdrückung verhindert ARP-Flooding über EVPN/VXLAN-Fabrics hinweg.
• Versa Director kann ARP-Einträge anzeigen, einschließlich MAC-Adresse und Hardwaretyp.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ARP & Versa · Häufig gestellte Fragen

Warum ist ARP wichtig?

ARP wandelt die Layer-3-Adressierung in etwas um, das ein Ethernet-Netzwerk tatsächlich umsetzen kann. Das IP-Routing entscheidet, zu welchem Subnetz ein Paket gehört, doch Frames werden im LAN ausschließlich anhand von MAC-Adressen weitergeleitet – bevor ein Host also einen Peer im selben Segment erreichen kann, muss er im Rahmen eines ARP-Austauschs diese MAC-Adresse ermitteln. Ohne diesen Austausch könnte IP über Ethernet nicht funktionieren.

Diese Abhängigkeit macht ARP zudem zu einem sicherheitsrelevanten Faktor. Das Standard-ARP verfügt über keine integrierte Authentifizierung, sodass ein Host beliebige IP-zu-MAC-Zuordnungen vorgeben kann – dies bildet die Grundlage für ARP-Spoofing und Man-in-the-Middle-Angriffe in lokalen Netzwerken. Und da ARP-Anfragen als Broadcast gesendet werden, kann es in großen oder virtualisierten Netzwerken, insbesondere in EVPN/VXLAN-Fabrics, die sich über viele Standorte erstrecken, zu einem erheblichen Overhead kommen, wenn ARP nicht optimiert ist.

Was ist ARP?

ARP arbeitet direkt innerhalb von Ethernet-Frames – mit einem eigenen EtherType, ohne IP-Header – und funktioniert nur innerhalb einer einzigen Broadcast-Domäne, da Anfragen Router nicht überqueren. Wenn ein Host ein Ziel in seinem lokalen Subnetz erreichen muss, überprüft er zunächst seinen ARP-Cache. Ist kein Eintrag vorhanden, sendet er eine ARP-Anfrage („Wer hat 10.0.0.5? Teile es 10.0.0.1 mit“) an jedes Gerät im Segment. Der Besitzer antwortet mit einer Unicast-ARP-Antwort, und der Anfragende speichert die Zuordnung im Cache, damit er die Abfrage nicht für jedes Paket wiederholen muss.

Router und Layer-3-Switches verwalten für jedes angeschlossene Subnetz eigene ARP-Tabellen und aktualisieren die Einträge, bevor diese ablaufen. Da die Einträge nach einer bestimmten Zeit verfallen, stellt sich das ARP-Protokoll nach einem Austausch der Netzwerkkarte oder einer Neuzuweisung der IP-Adresse von selbst wieder her – das nächste Paket löst einfach einen neuen Austausch aus.

Arten von ARP

Dynamisches ARP ist die Standardeinstellung: Einträge werden aus Anfrage-Antwort-Austauschen gelernt und verfallen nach einer bestimmten Zeit, wodurch die Tabelle automatisch auf dem neuesten Stand gehalten wird. Statische ARP-Einträge werden manuell konfiguriert und binden eine IP-Adresse dauerhaft an eine MAC-Adresse – nützlich für Geräte, die niemals gefälscht werden dürfen. Proxy-ARP ermöglicht es einem Gerät, Anfragen im Namen eines anderen zu beantworten, sodass ein Anfragender eine Adresse erreicht, die sich tatsächlich an einem anderen Ort befindet. Gratuitous ARP ist ein Vorgang, bei dem ein Host unaufgefordert seine eigene Zuordnung bekanntgibt; dies dient dazu, Adresskonflikte zu erkennen und Caches nach einem Failover zu aktualisieren, beispielsweise wenn ein VRRP-Backup eine virtuelle IP-Adresse übernimmt.

Ein fünftes Muster spielt bei modernen Fabrics eine Rolle: ARP-Unterdrückung. Anstatt dass jede Anfrage ein EVPN/VXLAN-Netzwerk überflutet, werden lokal ermittelte Zuordnungen direkt an entfernte Peers weitergeleitet, die lokal im Namen der Fabric antworten.

ARP & Versa

Auf VOS-Geräten ist ARP konfigurierbar und nicht nur ein Hintergrundprotokoll, an das man nicht herankommt. Die Schnittstellen bieten auf physischen Schnittstellen und Subschnittstellen die Registerkarte „Static ARP“ an, über die eine Host-IP-Adresse manuell an eine MAC-Adresse gebunden werden kann. Über die Registerkarte „Proxy-ARP“ (Release 21.2.1+) kann ein VOS-Gerät Anfragen nach Adressen in NAT-Pools innerhalb oder außerhalb des Subnetzes der Schnittstelle beantworten und dabei die physische MAC-Adresse des Ports zurückgeben; ist der VRRP-Status der Schnittstelle nicht aktiv, unterdrückt das Gerät diese Antworten.

In EVPN/VXLAN-Fabrics – die zum Aufbau von Zero-Trust-LAN-Segmenten und für die allgemeine Layer-2-Weiterleitung verwendet werden – verhindert die ARP-Unterdrückung (Release 22.1.1+) eine Flut von Anfragen an jeden Peer: Lokal erlernte Einträge werden im gesamten EVPN-Netzwerk bekannt gegeben, und Peers führen Proxy-ARP für entfernte Hosts durch. IRB-Schnittstellen, die das Routing zwischen einem Layer-3-Netzwerk und einer Bridge-Domäne ermöglichen, werden von anderen Switches über eine gewöhnliche ARP-Anfrage erkannt. Versa Director zeigt die ARP-Einträge eines Netzwerks an, einschließlich Schnittstellenname, MAC-Adresse und Hardwaretyp.

Häufig gestellte Fragen

Was ist der Unterschied zwischen ARP und RARP?

ARP ordnet eine IP-Adresse einer MAC-Adresse zu; RARP macht das Gegenteil – ein Gerät sendet seine bekannte MAC-Adresse im Rundfunk aus, um seine IP-Adresse abzufragen. Diese Funktion wurde früher von diskless Workstations beim Systemstart genutzt. RARP ist mittlerweile veraltet; diese Aufgabe übernimmt nun DHCP.

Wie funktionieren eine ARP-Anfrage und eine ARP-Antwort?

Ein Host sendet eine ARP-Anfrage mit der Frage „Wer hat diese IP-Adresse?“, die von jedem Gerät im Segment empfangen wird. Nur der Eigentümer antwortet und sendet eine Unicast-ARP-Antwort mit seiner MAC-Adresse, die der Anfragende anschließend im Cache speichert.

Was ist ARP-Spoofing?

ARP-Spoofing ist ein Angriff, bei dem ein Host gefälschte ARP-Antworten sendet, um seine eigene MAC-Adresse mit der IP-Adresse eines anderen Geräts – häufig der des Gateways – zu verknüpfen und so den Datenverkehr über den Angreifer umzuleiten. Dies funktioniert, da das Standard-ARP-Protokoll keine Authentifizierung vorsieht.

Was ist Proxy-ARP?

Bei Proxy-ARP beantwortet ein Gerät ARP-Anfragen im Namen eines anderen Hosts, der im selben Segment nicht direkt erreichbar ist. Der Datenverkehr gelangt an die MAC-Adresse des Proxys, der ihn weiterleitet – dies ist nützlich, um NAT-Pools ohne Neunummerierung zu erreichen.

Was ist ARP-Unterdrückung?

Durch die ARP-Unterdrückung wird verhindert, dass ARP-Anfragen über das gesamte EVPN-/VXLAN-Netzwerk gesendet werden. Stattdessen werden lokal ermittelte IP-zu-MAC-Zuordnungen an alle EVPN-Peers weitergeleitet, die die Anfragen lokal über Proxy-ARP beantworten, wodurch der Broadcast-Verkehr in großen Netzwerken reduziert wird.

Mehr zu ARP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ARP informieren, sollten Sie sich als Nächstes diese Artikel ansehen.