RT

Sieci komputerowe

ARP i ICMP

Sieci + CyberbezpieczeństwoI i II stopień

ARP ustala adres MAC następnego lokalnego odbiorcy dla znanego IPv4. ICMP pomaga później sprawdzić osiągalność IP.

ARP RequestARP ReplyIPv4 → MACbrama domyślnaping

ARP

IPv4 → MAC

Request / Reply

opcode 1 / 2

Diagnostyka

arp, ip neigh

Pola protokołu

Co przenosi komunikat ARP

ARP działa na styku adresacji IPv4 i lokalnego Ethernetu. Komunikat ARP jest przenoszony bezpośrednio w ramce Ethernet z EtherType 0x0806; nie jest pakietem IP.

Podstawowe pola komunikatu ARP
PoleWartość / przykładZnaczenie
EtherType ramki0x0806Informuje, że payload Ethernet zawiera ARP.
Hardware type1 dla EthernetOkreśla technologię adresu sprzętowego.
Protocol type0x0800 dla IPv4Określa protokół, którego adres jest rozwiązywany.
Opcode1 Request, 2 ReplyRozróżnia zapytanie i odpowiedź.
Sender MAC / IPv4Adresy nadawcyPozwalają odbiorcy poznać lub odświeżyć mapowanie.
Target MAC / IPv4Adresy celuRequest pyta o MAC dla wskazanego IPv4; Reply przekazuje odpowiedź.
01

ARP w lokalnym segmencie

Host A: 192.168.1.10 Cel lokalny: 192.168.1.20 ARP Request, broadcast: Kto ma 192.168.1.20? ARP Reply, zwykle unicast: 192.168.1.20 ma MAC 02:00:00:00:01:20

Dla celu w tej samej podsieci komputer szuka MAC hosta końcowego. Po odpowiedzi może zbudować ramkę, w której docelowy IPv4 oraz docelowy MAC należą do tego hosta.

Request jest rozgłaszany w lokalnej domenie L2, a typowa odpowiedź hosta docelowego jest unicatem do pytającego.
02

ARP dla celu lokalnego i dla bramy

Host: 192.168.1.10/24 Serwer zdalny: 198.51.100.20 Brama: 192.168.1.1 ARP dotyczy 192.168.1.1 Pakiet IP: 192.168.1.10 → 198.51.100.20 Ramka w pierwszym LAN: MAC hosta → MAC bramy
Porównanie decyzji ARP dla celu lokalnego i zdalnego
PrzypadekIPv4 pytania ARPDestination MAC pierwszej ramkiSource IPDestination IP
Cel 192.168.1.20 w tej samej /24192.168.1.20MAC hosta 192.168.1.20Host końcowyHost końcowy
Cel 198.51.100.20 poza /24192.168.1.1MAC bramy 192.168.1.1Host lokalnyZdalny host 198.51.100.20

Router odbiera tę ramkę, usuwa nagłówek L2 i tworzy nową ramkę odpowiednią dla kolejnego łącza. Bez NAT docelowy adres IP nadal wskazuje zdalny host końcowy.

Dla celu lokalnego host szuka MAC odbiorcy, a dla celu zdalnego MAC bramy; docelowy adres IP nadal wskazuje host końcowy.

Cache sąsiadów

Tablica ARP i wygasanie wpisów

Wpisy dynamiczne i statyczne w tablicy ARP
Typ wpisuPochodzenieZachowanieOgraniczenie
DynamicznyPoznany podczas komunikacji ARPMoże zostać odświeżony lub usunięty przez systemCzas i reguły wygasania zależą od systemu i stanu wpisu
StatycznyDodany administracyjnieNie jest poznawany zwykłym Request/ReplyWymaga utrzymania i łatwo staje się nieaktualny po zmianie sprzętu

Nie istnieje jeden uniwersalny czas życia wpisu ARP. Windows, Linux i urządzenia sieciowe mogą używać innych stanów, zegarów oraz reguł odświeżania. Dokumentuj wynik konkretnego systemu zamiast zakładać stałą liczbę minut.

03

ICMP, ping i podgląd sąsiadów

Ping wysyła ICMP Echo Request i oczekuje Echo Reply. Brak odpowiedzi nie zawsze oznacza wyłączony host: firewall może blokować ICMP, a problem może leżeć w routingu, VLAN-ie lub niższej warstwie.

Polecenia do odczytu tablicy sąsiadów i testu ICMP
SystemPolecenieZnaczenie
Windowsarp -aPokazuje lokalne mapowania IPv4 ↔ MAC.
Windowsping 192.168.1.1Generuje ruch IP do bramy; jeśli mapowania brakuje, wcześniej może pojawić się ARP.
Linuxip neighPokazuje wpisy sąsiadów i ich bieżące stany.
Linuxping -c 4 192.168.1.1Wysyła cztery ICMP Echo Request do bramy.
Ping bada osiągalność IP, a arp/ip neigh pokazuje mapowania potrzebne do utworzenia lokalnej ramki.

Bezpieczeństwo

ARP spoofing i poisoning

ARP nie uwierzytelnia nadawcy mapowania. Fałszywy Reply może zatruć cache i skierować ruch do niewłaściwego MAC, umożliwić podsłuch w nieszyfrowanym ruchu albo spowodować odmowę usługi.

Ochrona może obejmować segmentację, monitoring zmian mapowań, poprawnie zaprojektowany DHCP Snooping i Dynamic ARP Inspection na zgodnych switchach oraz uwierzytelnione szyfrowanie aplikacji. Statyczne wpisy mają ograniczoną skalowalność i nie są uniwersalnym rozwiązaniem.

Zobacz defensywną analizę zagrożeń ARP i MITMSprawdź DAI i bindingi DHCP w CYB-03

Zadania

Zadania tematyczne

Odpowiedzi ukryte

Najpierw rozwiąż zadania samodzielnie. Odpowiedzi rozwiń dopiero wtedy, gdy masz własny wynik.

Zadanie 1łatwyJakie wartości opcode mają ARP Request i ARP Reply?
Sprawdź odpowiedź: Request ma opcode 1, a Reply opcode 2.
Zadanie 2średniHost 192.168.1.10/24 wysyła dane do 192.168.1.20. Dla którego IPv4 wykona ARP?
Sprawdź odpowiedź: Dla 192.168.1.20, ponieważ cel znajduje się w tej samej podsieci.
Zadanie 3średniHost 192.168.1.10/24 wysyła dane do 198.51.100.20 przez 192.168.1.1. Jakie będą cele IP i MAC pierwszej ramki?
Sprawdź odpowiedź: Docelowy IP pozostaje 198.51.100.20, a docelowy MAC jest adresem interfejsu bramy 192.168.1.1.
Zadanie 4średniDlaczego nie można podać jednego uniwersalnego czasu życia dynamicznego wpisu ARP?
Sprawdź odpowiedź: Systemy stosują różne zegary i stany cache, a konfiguracja oraz aktywność mogą zmieniać moment odświeżenia lub usunięcia wpisu.
Zadanie 5trudniejszyNa czym polega ARP spoofing i dlaczego szyfrowanie aplikacji nadal ma znaczenie?
Sprawdź odpowiedź: Napastnik wysyła fałszywe mapowania IPv4–MAC, aby skierować ruch do siebie lub zakłócić komunikację. Uwierzytelnione szyfrowanie ogranicza możliwość odczytu i modyfikacji treści, choć nie usuwa problemu przekierowania lub odmowy usługi.

Pytania kontrolne

Zatrzymaj się i odpowiedz

  1. 1Do czego służy ARP i dlaczego działa lokalnie?
  2. 2Jak są adresowane typowy Request i typowy Reply?
  3. 3Czym różnią się wpisy dynamiczne i statyczne?
  4. 4Jakie adresy ma ramka do celu w tej samej podsieci?
  5. 5Dlaczego do celu zdalnego host szuka MAC bramy?
  6. 6Jak ograniczać ryzyko ARP spoofingu?
Lista: Sieci komputerowe
Przełączanie sieciAdresacja IPv4