Para artigos homônimos, consulte ARP .
O Protocolo de Resolução de Endereço (protocolo de resolução de endereço ARP) é um protocolo usado para traduzir uma camada de rede de endereço de protocolo (normalmente um endereço IPv4 ) em uma camada de ligação de endereço de protocolo (normalmente um endereço MAC ). Ele está localizado na interface entre a camada de rede ( camada 3 do modelo OSI ) e a camada de enlace ( camada 2 do modelo OSI ).
Ele foi definido no RFC 826: Um protocolo de resolução de endereço Ethernet .
O protocolo ARP é necessário para a operação do IPv4 usado em uma rede do tipo Ethernet . No IPv6 , as funções do ARP são assumidas pelo Neighbour Discovery Protocol (NDP).
No restante do artigo, o termo endereço IP é usado para se referir a um endereço IPv4.
Operação
Um computador conectado a uma rede de computadores deseja enviar um quadro Ethernet para outro computador cujo endereço IP ele conhece e colocado na mesma sub-rede . Nesse caso, o computador colocará sua transmissão em espera e executará uma solicitação ARP de broadcast de nível 2. Essa solicitação é do tipo "qual é o endereço MAC correspondente ao endereço IP endereço IP ?" Responder a myIPAddress ”.
Por se tratar de uma transmissão , todos os computadores do segmento receberão a solicitação. Observando seu conteúdo, eles serão capazes de determinar qual endereço IP está sendo pesquisado. A máquina que tem este endereço IP será o único a responder enviando o dispositivo de envio uma resposta ARP como "Eu IPaddress , meu endereço MAC é MacAddress ". Para enviar essa resposta ao computador correto , ele cria uma entrada em seu cache ARP a partir dos dados contidos na solicitação ARP que acabou de receber.
A máquina na origem da solicitação ARP recebe a resposta, atualiza seu cache ARP e pode, portanto, enviar a mensagem que colocou em espera para o computador em questão.
Um broadcast e um unicast são, portanto, suficientes para criar uma entrada no cache ARP de dois computadores.
Comando ARP
O comando arppermite a consulta e às vezes a modificação da tabela ARP em determinados sistemas operacionais. Útil para detectar envenenamento por ARP .
- arp -a : exibe todas as entradas no cache ARP.
- arp -a @ip : se houver várias placas de rede, você pode exibir o cache associado a um único @ip.
- arp -s @ip @MAC : adição manual de uma entrada estática permanente no cache (essa necessidade surge se chamarmos hosts regularmente, para reduzir o tráfego de rede).
Segurança do protocolo ARP
O protocolo ARP foi projetado sem nenhuma preocupação particular com a segurança. Ele é vulnerável a ataques locais no segmento, que dependem principalmente do envio de mensagens ARP falsas para um ou mais computadores . Eles são agrupados sob o nome de envenenamento ARP (poluição do cache ARP ). A vulnerabilidade de um computador à poluição do cache ARP depende da implementação do protocolo ARP por seu sistema operacional .
Considere uma máquina Charlie que deseja interceptar mensagens de Alice para Bob, todas pertencentes à mesma sub-rede. O ataque consiste em Charlie enviar um " pacote " arp who-has para a máquina de Alice. Este pacote conterá especialmente construído como IP de origem, o endereço IP da máquina de Bob que queremos personificar ( ARP spoofing ) e o endereço MAC da placa de rede Charlie. A máquina de Alice criará, portanto, uma entrada associando nosso endereço MAC ao endereço IP da máquina de Bob. Alice, destinatária do " arp who-has ", usa o pacote para criar uma entrada em sua tabela MAC. Se Alice quiser se comunicar com Bob no nível de IP, Charlie receberá os quadros de Alice, pois nosso endereço MAC está armazenado no cache envenenado de Alice como um equivalente para o IP da estação de Bob. Esta é uma fraqueza conhecida da implementação ARP e permite a corrupção fácil de um cache ARP remoto.
Esses ataques podem permitir que as comunicações entre duas máquinas sejam grampeadas ( ataque man-in-the-middle ), roubo de conexão, sobrecarga dos switches que servem de estrutura da rede de computadores ou negação de serviço (basta realizar um ataque do tipo MITM (Man In The Middle) recusa os pacotes).
Para lutar contra esse tipo de ataque, é possível:
- para configurar entradas estáticas no cache ARP de cada máquina na rede (comando arp -s). Isso só se aplica a um pequeno número de máquinas (preferimos as mais críticas, como servidores e gateways). Nos sistemas operacionais Microsoft Windows anteriores ao XP , uma entrada estática pode ser atualizada, a única diferença é que ela não expira;
- limitar os endereços MAC em cada porta (informações estáticas) dos switches, se eles permitirem (função de segurança da porta ). Switches de nível 3 , por exemplo, oferecem a possibilidade de configurar associações de porta estática / MAC / IP. Mas isso obviamente torna a manutenção do parque mais difícil;
- monitorar mensagens ARP que circulam na rede de computadores , usando ferramentas de monitoramento como ARPwatch ou arpalert ou sistemas de detecção de intrusão (IDS).
Cada entrada na tabela ARP tem uma vida útil, o que força o invasor a corromper regularmente o cache da vítima. Alguns sistemas operacionais como Solaris permitem que você modifique o valor deste tempo limite (comando ndd). Um valor curto tornará a corrupção mais facilmente visível.
Cabeçalho ARP
Caso Geral
| Tipo de hardware | Tipo de protocolo | |
| Comprimento do endereço de hardware | Comprimento do endereço de protocolo | Cirurgia |
| Endereço de Hardware do Remetente | ||
| Endereço de protocolo do remetente | ||
| Endereço de hardware de destino | ||
| Endereço de protocolo de destino |
com:
Tipo de hardware ( tipo de material )- 01 - Ethernet (10 Mb) [JBP]
- 02 - Ethernet Experimental (3 Mb) [JBP]
- 0x0800 - IP
Este campo indica que tipo de protocolo da camada 3 (OSI) está usando o ARP.
Comprimento do endereço de hardware ( comprimento do endereço físico )- 01 - Token Ring
- 06 - Ethernet
Este campo corresponde ao comprimento do endereço físico. O comprimento deve ser medido em bytes.
Comprimento do endereço de protocolo ( comprimento do endereço lógico )- 04 - IP v4
- 16 - IP v6
Este campo corresponde ao comprimento do endereço de rede. O comprimento deve ser medido em bytes.
Cirurgia- 01 - Solicitar solicitação
- 02 - Responder responder
Este campo permite conhecer a função da mensagem e, portanto, seu objetivo.
Endereço de hardware do remetente ( endereço físico do remetente )Endereço MAC de origem como parte da Ethernet.
Endereço IP de origem como parte do TCP / IP.
Endereço de hardware de destino ( endereço físico do destinatário )Endereço MAC de destino como parte da Ethernet. Se for uma solicitação ARP, então, justamente por não saber esse endereço, o campo será definido como 0.
Endereço de protocolo de destino ( endereço de rede de destino )Endereço IP de destino como parte do TCP / IP
Cabeçalho ARP de exemplo: IPv4 sobre Ethernet (28 bytes)
| 0x0001 | 0x0800 | |
| 0x06 | 0x04 | Cirurgia |
| Endereço MAC de origem ( bytes 1-4 ) | ||
| Endereço MAC de origem ( bytes 5-6 ) | Endereço IP de origem ( bytes 1-2 ) | |
| Endereço IP de origem ( bytes 3-4 ) | Endereço MAC de destino ( bytes 1-2 ) | |
| Endereço MAC de destino ( bytes 3-6 ) | ||
| Endereço IP de destino ( bytes 1-4 ) |
Consultas ARP gratuitas
Solicitações ARP grátis ( ARP gratuito ) são enviadas quando alguns sistemas operacionais são iniciados. Por exemplo, alguns roteadores de modem enviam esse tipo de solicitação na inicialização. Eles permitem que este dispositivo, novo na rede, verifique se seu endereço IP ainda não existe, o que evita conflitos por endereços IP duplicados. A interface que enviou a solicitação não espera uma resposta. A atualização da memória buffer dos sistemas conectados à rede é então garantida. Os switches são informados da existência do endereço MAC da máquina em questão. Todas essas ações garantem maior velocidade subsequente de conexão à rede. Uma infinidade de transmissão desses tipos de consultas pode ser um indicador de um cabo ruim levando a reconexões frequentes.
Notas e referências
- ↑ (em) Request for comments n o 826 .
- ↑ Ferramenta do Network Research Group (NRG), da Divisão de Ciências da Informação e da Computação (ICSD), Lawrence Berkeley National Laboratory (LBNL) LBNL's Network Research Group .
- ↑ arpalaert .
- ↑ Tipos de hardware , no site da IANA .
- ↑ Observe que a RFC 3927 desaconselha o envio periódico de solicitações ARP gratuitas.
- ↑ Livre de ARP de acordo com WireShark
Veja também
Artigos relacionados
- Envenenamento ARP
- Filtragem de endereço MAC
- Protocolo de resolução de endereço reverso
- Falsificação de endereço IP
- Representante ARP
links externos
- (en) RFC 826 Um protocolo de resolução de endereço Ethernet
- (in) Protocolo de resolução de endereço inverso RFC 2390
- (en) RFC 5494 IANA Allocation Guidelines for Address Resolution Protocol (ARP)
- (en) Parâmetros ARP ( IANA )
- (pt) Brincando com o protocolo ARP
- (fr) ARP no FrameIP
- (pt) Ferramenta gratuita para gerar datagramas ARP Código fonte em C fornecido
- ↑ (em) Request for comments n o 826 .
- ↑ (em) Request for comments n o 2.390 .
- ↑ (em) Request for comments n o 5494 .