Qu'est-ce que l'ARP ?

Le protocole ARP (Address Resolution Protocol) établit une correspondance entre l'adresse IP d'un périphérique et son adresse MAC matérielle, afin que deux périphériques situés sur le même segment Ethernet puissent échanger des trames. Un périphérique diffuse une requête ARP concernant une adresse IP ; le propriétaire répond en indiquant son adresse MAC, et le demandeur enregistre cette correspondance dans sa mémoire cache.

Points clés à retenir

• Le protocole ARP permet de faire correspondre les adresses IP aux adresses MAC sur un segment de réseau local.
• Une requête ARP diffusée génère une réponse en monodiffusion, qui est ensuite mise en cache.
• Le proxy ARP permet à un appareil de répondre aux requêtes ARP au nom d'un autre appareil.
• La suppression des paquets ARP empêche les inondations de paquets ARP diffusés sur les structures EVPN/VXLAN.
• Versa Director permet d'afficher les entrées ARP, notamment l'adresse MAC et le type de matériel.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · ARP et Versa · FAQ

Pourquoi l'ARP est-il important ?

Le protocole ARP permet de transformer l'adressage de couche 3 en un format que le réseau Ethernet est réellement capable de prendre en charge. Le routage IP détermine à quel sous-réseau appartient un paquet, mais les trames ne circulent au sein d'un réseau local (LAN) qu'à l'aide d'adresses MAC. Ainsi, avant qu'un hôte puisse atteindre un pair situé sur le même segment, il doit procéder à un échange ARP pour connaître cette adresse MAC. Sans cela, le protocole IP ne pourrait pas fonctionner sur Ethernet.

Cette dépendance confère également à l’ARP une importance en matière de sécurité. Le protocole ARP standard ne dispose d’aucun mécanisme d’authentification intégré ; un hôte peut donc revendiquer n’importe quel mappage IP-MAC de son choix, ce qui est à l’origine de l’usurpation ARP et des attaques de type « homme au milieu » sur les réseaux locaux. De plus, les requêtes ARP étant diffusées en broadcast, les réseaux de grande envergure ou virtualisés, en particulier les structures EVPN/VXLAN couvrant de nombreux sites, peuvent subir une surcharge importante si l’ARP n’est pas optimisé.

Qu'est-ce que l'ARP ?

L’ARP opère directement au sein des trames Ethernet – avec son propre EtherType, sans en-tête IP – et ne fonctionne qu’au sein d’un seul domaine de diffusion, puisque les requêtes ne traversent pas les routeurs. Lorsqu’un hôte doit atteindre une destination sur son sous-réseau local, il consulte d’abord son cache ARP. S’il n’y trouve aucune entrée, il diffuse une requête ARP (« Qui possède l’adresse 10.0.0.5 ? Préviens 10.0.0.1 ») à tous les périphériques du segment. Le propriétaire répond par une réponse ARP en monodiffusion, et le demandeur met en cache cette correspondance afin de ne pas avoir à répéter la recherche pour chaque paquet.

Les routeurs et les commutateurs de couche 3 gèrent leurs propres tables ARP pour chaque sous-réseau connecté, en actualisant les entrées avant leur expiration. Comme les entrées expirent, le protocole ARP se rétablit automatiquement après un remplacement de carte réseau ou une réattribution d'adresse IP : le paquet suivant déclenche simplement un nouvel échange.

Types d'ARP

L'ARP dynamique est le mode par défaut : les entrées sont apprises à partir d'échanges de requêtes/réponses et expirent selon un délai défini, ce qui permet de maintenir automatiquement la table à jour. Les entrées ARP statiques sont configurées manuellement, en associant de manière permanente une adresse IP à une adresse MAC – ce qui est utile pour les périphériques qui ne doivent en aucun cas faire l'objet d'une usurpation d'identité. L'ARP proxy permet à un périphérique de répondre à des requêtes au nom d'un autre, de sorte qu'un demandeur accède à une adresse qui se trouve en réalité ailleurs. L’ARP gratuit est un hôte qui annonce spontanément son propre mappage ; il sert à détecter les conflits d’adresses et à actualiser les caches après un basculement, par exemple lorsqu’une sauvegarde VRRP prend le relais d’une adresse IP virtuelle.

Un cinquième principe est important dans les structures modernes : la suppression ARP. Au lieu que chaque requête inonde un réseau EVPN/VXLAN, les mappages appris localement sont annoncés directement aux pairs distants, qui répondent localement au nom de la structure.

ARP & Versa

Sur les appareils VOS, le protocole ARP est configurable ; il ne s’agit pas simplement d’un protocole fonctionnant en arrière-plan et auquel on ne peut pas accéder. Les interfaces proposent un onglet « Static ARP » (ARP statique) sur les interfaces physiques et les sous-interfaces, permettant d’associer manuellement une adresse IP d’hôte à une adresse MAC. Un onglet « Proxy ARP » (version 21.2.1 et suivantes) permet à un appareil VOS de répondre aux requêtes d’adresses issues de pools NAT situés à l’intérieur ou à l’extérieur du sous-réseau de l’interface, en renvoyant l’adresse MAC physique du port ; si l’état VRRP de l’interface n’est pas actif, l’appareil retient ces réponses.

Sur les structures EVPN/VXLAN – utilisées pour créer des segments LAN « Zero Trust » et pour le routage de couche 2 en général –, la suppression ARP (à partir de la version 22.1.1) empêche les requêtes d’inonder chaque pair : les entrées apprises localement sont diffusées sur l’ensemble du réseau EVPN, et les pairs effectuent un ARP proxy pour les hôtes distants. Les interfaces IRB, qui assurent le routage entre un réseau de couche 3 et un domaine de pont, sont détectées par les autres commutateurs via une requête ARP classique. Versa Director affiche les entrées ARP d’un réseau, notamment le nom de l’interface, l’adresse MAC et le type de matériel.

Questions fréquentes

Quelle est la différence entre ARP et RARP ?

Le protocole ARP permet de mapper une adresse IP à une adresse MAC ; le protocole RARP fait l'inverse : un périphérique diffuse son adresse MAC connue pour demander son adresse IP. Ce protocole était autrefois utilisé par les postes de travail sans disque dur au démarrage. Le protocole RARP est désormais obsolète ; c'est le protocole DHCP qui se charge désormais de cette tâche.

Comment fonctionnent une requête et une réponse ARP ?

Un hôte diffuse une requête ARP demandant « qui possède cette adresse IP », et tous les périphériques du segment la reçoivent. Seul le propriétaire y répond en envoyant une réponse ARP en monodiffusion contenant son adresse MAC, que le demandeur enregistre ensuite dans sa mémoire cache.

Qu'est-ce que l'usurpation d'adresse ARP ?

L'usurpation ARP est une attaque dans laquelle un hôte envoie des réponses ARP falsifiées afin d'associer sa propre adresse MAC à l'adresse IP d'un autre périphérique – souvent celle de la passerelle –, redirigeant ainsi le trafic vers l'attaquant. Cette technique fonctionne car le protocole ARP standard ne prévoit aucune authentification.

Qu'est-ce que le proxy ARP ?

On parle de « Proxy ARP » lorsqu'un périphérique répond à des requêtes ARP au nom d'un autre hôte qui n'est pas directement accessible sur le même segment. Le trafic est acheminé vers l'adresse MAC du proxy, qui le transmet ensuite – ce qui est utile pour accéder à des pools NAT sans avoir à renuméroter les adresses.

Qu'est-ce que la suppression ARP ?

La suppression ARP empêche la diffusion des requêtes ARP sur l'ensemble d'une structure EVPN/VXLAN. Les correspondances IP-MAC apprises localement sont alors diffusées à tous les pairs EVPN, qui répondent aux requêtes localement via le proxy ARP, ce qui réduit le trafic de diffusion sur les grandes structures.

En savoir plus sur l'ARP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'ARP, voici quelques liens qui pourraient vous intéresser.