Skip to main content
 首页 » DevOps

地址解析协议(ARP) 分析

2022年07月27日48sharpest

什么是ARP协议

ARP(A ddress R esolution P rotocol)— 地址解析协议 ,用于将IP地址解析为MAC地址。复杂来说,ARP用于32位IPv4地址和以太网的48位MAC地址之间的映射。

与ARP相反功能的协议称为 RARP(Reverse Address Resolution Protocol)逆地址解析协议 。用于将MAC地址转换为IP地址。一般用于无盘系统中。

一个基本的例子

PC1 访问 网关(switch0,192.168.1.1)

网络拓扑结构如下图:

环境

  1. PC1 没有ARP缓存

  2. PC1 ,PC2,Switch0 在同一个网段同一个Vlan

PC1 执行如下命令,并且监听并捕获e0/0 和 e0/1 两个端口(只捕获ARP协议)

VPCS> ping 192.168.1.1 

捕获结果

e0/0

e0/1

捕获分析

  • No.773帧,PC1 向 Switch0 发送一个帧,Switch 0在本Vlan广播 ,查找谁的IP是192.168.1.1

  • No770,Switch广播帧到网段,向e0/1 发送广播帧,PC2接受但没有回复。

  • No774,Switch0 答复了PC1。表明192.168.1.1 对应的MAC地址是我的

NO.773 帧:

需要注意的是

  1. 目标地址是一个广播地址(MAC全为1的),用来对全网进行广播。

  2. opcode 字段为 1,是一个ARP请求

NO.774

需要注意:

  1. opcode 字段值为2,为ARP应答

  2. 发送方MAC和IP为Switch0 的映射

  3. 目标MAC为PC1 的MAC地址,这里目标IP没有,是直接交付的帧。

简单来说就是这样:

image

结论

解析IP分为以下几个步骤:

  • 发送帧查找局域网中有无对应的MAC地址

  • 有则回复,如果局域网中没有这个对应MAC,ARP会有一个规定时间,超过这个时间则认为没有。

需要注意以下几点:

  • ARP不是广播回复,是直接应答原始请求的发送方。

  • 接受到回复的主机将映射存储在本地的缓存中以供下次使用。

ARP缓存

ARP 缓存用来记录每个接口从网络层地址(IP地址)到硬件地址的最新映射 (MAC地址)。

其正常到期时间是条目创建开始后的20分钟[RFC1122]

查看ARP缓存

通过使用命令

> arp -a 

windows平台下的显示结果:

类型字段指明了映射关系是通过动态获取还是静态获取

ARP帧

下图显示了ARP帧的格式:

字段解释:

以太网帧头部

    - DST:目的地址

    - SRC : 源地址

    - 长度或类型:多数情况用于确定后面的协议类型,在ARP帧中,这个值是0x0806

固定大小:

    - 硬件类型:指出硬件地址的类型。对以太网来说该值为1

    - 协议类型:指出映射的协议地址类型。位于IPv4地址,该值为0x0800

    - 硬件大小,协议大小:

        分别指出硬件地址和协议地址的字节数

        对于以太网使用IPv4地址的ARP请求或应答,它们的值分别为6和4

    - op:指出操作的类型,这个值是必须的(?由于ARP请求和ARP应答的长度/类型字段相同)

        ARP请求(值为1)

        ARP应答(2)

        RARP请求(3)

        RARP应答(4)

可变大小:

    - 发送方硬件地址

    - 发送方协议地址

    - 目的硬件地址

    - 目的协议地址

  • FSC:用于校验

ARP帧的示例

下图是一个ARP帧的示例,1.2 主机查找1.5主机的ARP请求帧:

其中 :

以太网帧部分

  • 前导码和SFD占了8个bit

  • 目的地址为FFFF.FFFF.FFFF(全1的广播地址),同网段同vlan的所有主机将接受到这个帧

  • type(类型)字段为0x0806,用来表示这是一个ARP帧

ARP帧部分:

    - HARDWARE TYPE(硬件类型):在以太网中该值为1

    - PROTOCAL TYPE(协议类型):0x0800,对于IPv4地址,该值为0x0800

    - 硬件大小(HLEN)和协议大小(PLEN)

        这里分别是0x06和0x04 ,表示MAC 6字节,IPv4地址4字节

    - OP(OPCODE):操作码,这里表示ARP请求(值为1)

可变大小:

  • 发送方的硬件地址(SOURCE MAC)

  • 发送方的协议地址(SOURCE IP):这里是一个IPv4地址

  • 目的硬件地址(TARGET MAC)

  • 目的协议地址(TARGET IP)

ARP缓存超时

刷新缓存,来保证映射条目是最新的。

防止出现不完整条目,比如说IP和MAC对应不上(出现这种情况可能是主机IP设置改变,网卡改变)

完整条目的超时为20分钟,不完整条目的超时为3分钟

代理ARP

代理ARP用来隐匿发送端和接收端。

代理ARP使一个系统可回答不同主机的ARP请求

这样做有两个常见原因:

  • 有些系统无法进行子网划分

  • 有些系统使用比较旧的广播地址(全零的主机ID ,而不是全1的主机ID)

免费ARP和地址冲突检测

Gratuitous ARP ,被翻译为“免费ARP”,也被称为“无故ARP”。相比“免费”这个翻译,“无故”这个更易理解:“在没有人问自己的情况下,无缘无故自问自答”,即免费ARP是设备发送的一个发送端IP地址和目标IP地址都是本设备IP地址的ARP request/reply报文

一个免费ARP的例子

PC3 的IP地址与PC1的冲突

网络拓扑结构图如下:

环境

  • 只捕获ARP帧

  • PC3 的IP地址没有设置

  • PC3的ARP缓存表是空的

分析

e0/2 端口

e0/0 端口

e0/1 端口

通过上述包分析得知:

  1. 首先PC3 先发送一个探测帧,探测是否有无相同的映射关系。

  2. PC1 回复了PC3 ,表示这个IP有人用了,用这个IP的人是我。

  3. PC2 没有回复PC3,因为没有检测到冲突。

ACD的三次探测

什么是ACD

ARP并没有为IP和MAC的映射冲突提供解决方式,而是由[RFC5277]描述IPv4地址冲突检测(ACD)
ACD 定义了ARP探测分组和ARP通告分组。探测分组是一个ARP请求分组,ARP通告与ARP探测相同,除了发送方协议地址和目的协议地址字段被填充为候选IPv4地址外。它用于通告发送方使用候选IPv4地址的意图

如下是ACD的三次通告:

  • time列中,每次间隔一秒发送,用来防止接口拥塞,网络流量激增。

ACD 被认为是一个持续的过程

这是它与免费ARP的区别

当一个主机通告它正在使用的地州,它会继续检查输入的ARP流量(请求和应答),查看自己的地址与之冲突(自己的协议地址是否出现在发送方的协议地址字段中,也就是IP地址相同),如果IP地址相同,代表发生冲突了,ACD提供了三种可能的解决方案:

  1. 停止使用这个地址

  2. 保留这个地址。 但发送一个“防御性”ARP通告,如果冲突继续,则停止使用

  3. 不理会冲突,继续使用。

与ARP有关的攻击

最为典型的中间人攻击

如下图所示:

引用/参考/使用的工具

参考书籍与网站:

https://zhiliao.h3c.com/Theme/details/27896

TCP/IP 详解 卷一

工具:

EVE-NG

Packet tracer


本文参考链接:https://www.cnblogs.com/Xrtero/p/15508911.html