ARP

Wenn dein Laptop eine Webseite im gleichen Netzwerk erreichen soll, kennt er vielleicht die IP-Adresse des Ziels. Für die eigentliche Übertragung im lokalen Ethernet braucht er aber zusätzlich eine MAC-Adresse. ARP ist das Protokoll, das diese Zuordnung findet. Nach dieser Erklärung kannst du ARP-Request, ARP-Reply, ARP-Cache und typische Sicherheitsprobleme erklären.

Deine Lernziele

• Ich kann erklären, wozu ARP in IPv4-Netzen gebraucht wird.
• Ich kann IP-Adresse und MAC-Adresse unterscheiden.
• Ich kann den Ablauf von ARP-Request und ARP-Reply beschreiben.
• Ich kann erklären, wozu der ARP-Cache dient.
• Ich kann ARP-Spoofing als Sicherheitsproblem einordnen.

Zwei Adressen für zwei Aufgaben

Netzwerkkommunikation wirkt von außen einfach: Du gibst eine Adresse ein und Daten kommen an. Innen arbeiten aber mehrere Schichten zusammen. IP-Adressen helfen beim Weg durch Netze. MAC-Adressen helfen bei der Zustellung im lokalen Netzwerk.

Definition

ARP

ARP steht für Address Resolution Protocol. Es ermittelt in IPv4-Ethernet-Netzen zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk.

Definition

IP-Adresse

Eine IP-Adresse ist eine logische Netzwerkadresse. Sie hilft dabei, Geräte in IP-Netzen zu adressieren und Pakete über Router weiterzuleiten.

Definition

MAC-Adresse

Eine MAC-Adresse ist eine Hardwareadresse einer Netzwerkschnittstelle. In Ethernet-Netzen wird sie für die Zustellung im lokalen Netzwerk verwendet.

Die Kurzidee: IP sagt, wohin das Paket logisch soll. Ethernet braucht aber eine MAC-Adresse, um den nächsten lokalen Empfänger im Frame einzutragen. ARP schlägt diese lokale Zuordnung nach.

Beispiel

Laptop A möchte im gleichen WLAN an Drucker B senden.

• Laptop A kennt die IP-Adresse des Druckers: 192.168.1.40.
• Für den Ethernet-Frame braucht Laptop A die MAC-Adresse des Druckers.
• Wenn sie noch nicht bekannt ist, fragt Laptop A per ARP im lokalen Netz nach.

Erst danach kann Laptop A den Frame gezielt an die MAC-Adresse des Druckers senden.

Merke

ARP übersetzt nicht Namen in IP-Adressen. Das macht DNS. ARP findet zu einer lokalen IPv4-Adresse die passende MAC-Adresse.

ARP-Request: Wer hat diese IP?

Wenn ein Gerät die MAC-Adresse zu einer lokalen IP-Adresse nicht kennt, sendet es eine ARP-Anfrage. Diese Anfrage geht als Broadcast an alle Geräte im lokalen Netzwerk.

Definition

Broadcast

Ein Broadcast ist eine Nachricht an alle Geräte in einem lokalen Netzwerksegment. Bei Ethernet wird dafür eine spezielle Ziel-MAC-Adresse verwendet.

Definition

ARP-Request

Ein ARP-Request ist eine ARP-Anfrage. Ein Gerät fragt im lokalen Netz: "Wer hat diese IP-Adresse? Bitte schicke mir deine MAC-Adresse."

Alle Geräte empfangen die Anfrage. Aber nur das Gerät mit der gesuchten IP-Adresse soll antworten. Die anderen Geräte ignorieren die Anfrage oder nutzen sie höchstens, um den Absender zu merken.

Beispiel

Laptop A hat:

• IP: 192.168.1.10
• MAC: AA:AA:AA:AA:AA:AA

Gesucht ist:

• IP: 192.168.1.40

Laptop A sendet sinngemäß:

"Wer hat 192.168.1.40? Antworte an 192.168.1.10, MAC AA:AA:AA:AA:AA:AA."

Diese Frage wird im lokalen Netz an alle gesendet.

Gut zu wissen

ARP funktioniert nur für die lokale Zustellung. Wenn das Ziel in einem anderen Netzwerk liegt, fragt dein Gerät nicht nach der MAC-Adresse des entfernten Servers, sondern nach der MAC-Adresse des nächsten Routers, also des Gateways.

ARP-Reply und ARP-Cache

Das Gerät mit der gesuchten IP-Adresse sendet eine Antwort. Diese Antwort enthält seine MAC-Adresse. Danach speichert der anfragende Rechner die Zuordnung für eine Weile.

Definition

ARP-Reply

Ein ARP-Reply ist die Antwort auf eine ARP-Anfrage. Sie enthält die Zuordnung aus IP-Adresse und MAC-Adresse.

Definition

ARP-Cache

Der ARP-Cache ist eine Zwischenspeicherung bekannter IP-MAC-Zuordnungen. Dadurch muss ein Gerät nicht vor jedem Paket erneut fragen.

Der Cache macht das Netzwerk ruhiger und schneller. Einträge bleiben aber nicht für immer gültig. Sie laufen nach einiger Zeit ab, weil Geräte wechseln, Netzwerkkarten getauscht werden oder IP-Adressen neu vergeben werden können.

Beispiel

Der Drucker antwortet:

"192.168.1.40 gehört zu DD:DD:DD:DD:DD:DD."

Laptop A trägt in den ARP-Cache ein:

IP-Adresse	MAC-Adresse
192.168.1.40	DD:DD:DD:DD:DD:DD

Beim nächsten Paket an den Drucker kann Laptop A direkt die MAC-Adresse aus dem Cache verwenden.

Merke

ARP fragt nur, wenn die Zuordnung fehlt oder veraltet ist. Bekannte Zuordnungen kommen aus dem ARP-Cache.

Lokal oder über den Router?

ARP wird oft missverstanden: Es findet nicht die MAC-Adresse eines beliebigen Internetservers. MAC-Adressen gelten nur im lokalen Netzabschnitt. Sobald ein Paket ein anderes Netz erreichen soll, geht es an den Router.

Definition

Gateway

Ein Gateway ist in Heim- und Schulnetzen meist der Router, an den Geräte Pakete für andere Netzwerke senden.

Definition

Subnetz

Ein Subnetz ist ein abgegrenzter IP-Adressbereich, in dem Geräte direkt lokal miteinander kommunizieren können.

Dein Gerät prüft zuerst: Liegt die Ziel-IP im eigenen Subnetz? Wenn ja, sucht ARP die MAC-Adresse des Zielgeräts. Wenn nein, sucht ARP die MAC-Adresse des Gateways.

Beispiel

Laptop: 192.168.1.10

Gateway: 192.168.1.1

Ziel: 93.184.216.34

Das Ziel liegt nicht im lokalen Heimnetz. Der Laptop braucht daher nicht die MAC-Adresse von 93.184.216.34. Er braucht die MAC-Adresse des Routers 192.168.1.1, damit er das Paket an den nächsten Hop übergeben kann.

Gut zu wissen

Für IPv6 wird diese Aufgabe nicht mit ARP gelöst. Dort übernimmt das Neighbor Discovery Protocol eine ähnliche Rolle.

Sicherheitsproblem: ARP-Spoofing

ARP ist alt und sehr einfach. Genau das macht es anfällig: Geräte können falsche Zuordnungen behaupten. Wenn andere Geräte diese glauben, kann Datenverkehr umgeleitet werden.

Definition

ARP-Spoofing

ARP-Spoofing ist ein Angriff, bei dem ein Gerät falsche IP-MAC-Zuordnungen im lokalen Netzwerk verbreitet. Dadurch kann Datenverkehr zum Angreifer umgeleitet werden.

Definition

Man-in-the-Middle

Ein Man-in-the-Middle-Angriff liegt vor, wenn ein Angreifer Kommunikation zwischen zwei Parteien mitliest oder verändert, während beide glauben, direkt miteinander zu sprechen.

Ein Angreifer kann zum Beispiel behaupten: "Die IP-Adresse des Routers gehört zu meiner MAC-Adresse." Wenn ein Opfer das glaubt, sendet es Pakete an den Angreifer statt direkt an den Router.

Beispiel

Normale Zuordnung:

• Gateway 192.168.1.1 hat MAC GG:GG:GG:GG:GG:GG.

Gefälschte Behauptung:

• "Gateway 192.168.1.1 hat MAC AA:AA:AA:AA:AA:AA."

Wenn ein Opfer diese falsche Zuordnung speichert, schickt es Daten für das Internet an die falsche MAC-Adresse. Der Angreifer kann dann versuchen, mitzulesen oder weiterzuleiten.

Merke

ARP vertraut lokalen Antworten stark. Deshalb gehören Netzwerkschutz, Switch-Sicherheitsfunktionen und Verschlüsselung auf höheren Schichten zusammen.

Prüfungsmodus

ARP-Aufgaben fragen oft nach dem Ablauf. Antworte dann in Schichten: IP-Adresse bekannt, MAC-Adresse lokal unbekannt, Broadcast-Anfrage, passende Antwort, Cache-Eintrag, Frame senden.

Beispiel

Prüfungsfrage:

"Ein Rechner kennt die IP-Adresse eines Druckers im selben Subnetz, aber nicht dessen MAC-Adresse. Was passiert?"

Antwort:

1. Der Rechner sendet einen ARP-Request als Broadcast.
2. Alle Geräte im lokalen Netz empfangen die Anfrage.
3. Der Drucker erkennt seine IP-Adresse und sendet einen ARP-Reply mit seiner MAC-Adresse.
4. Der Rechner speichert die Zuordnung im ARP-Cache.
5. Danach sendet er Ethernet-Frames direkt an die MAC-Adresse des Druckers.

Alles auf einen Blick

Abschluss-Check

Zusammenfassung

ARP ermittelt in lokalen IPv4-Ethernet-Netzen die MAC-Adresse zu einer bekannten IP-Adresse. Das ist nötig, weil IP-Pakete für die lokale Übertragung in Ethernet-Frames verpackt werden.

Der Ablauf ist einfach: Cache prüfen, bei Bedarf ARP-Request als Broadcast senden, ARP-Reply empfangen und Zuordnung im ARP-Cache speichern.

ARP arbeitet lokal. Für Ziele außerhalb des eigenen Subnetzes wird die MAC-Adresse des Gateways gesucht. Weil ARP lokalen Antworten stark vertraut, kann ARP-Spoofing ein ernstes Sicherheitsproblem sein.