ARP & MAC: Wie Geräte sich im LAN finden
IP-Adressen sind für das Internet, aber im lokalen Netzwerk regiert die MAC-Adresse. ARP ist der Dolmetscher zwischen beiden Welten.
- >MAC-Adresse: Physische Hardware-Adresse (Layer 2). Eingebrannt in die Netzwerkkarte. Format: AA:BB:CC:11:22:33.
- >ARP (Address Resolution Protocol): Löst IP-Adressen (Layer 3) in MAC-Adressen (Layer 2) auf.
- >ARP Broadcast: "Wer hat IP 192.168.1.5?" -> Alle hören zu, nur der Richtige antwortet.
Die MAC-Adresse (Media Access Control)
Ethernet-Interfaces verwenden üblicherweise eine 48-Bit-MAC-Adresse in hexadezimaler Darstellung. Herstelleradressen sollen eindeutig sein; lokal administrierte, virtualisierte oder manuell geänderte Adressen können jedoch abweichen oder doppelt vorkommen.
Wie ARP funktioniert
Vereinfacht lässt sich ein LAN als Raum mit mehreren Empfängern betrachten: Die Ziel-IP ist bekannt, die für den Ethernet-Frame benötigte Ziel-MAC jedoch noch nicht.
ARP Request (Broadcast)
PC A sendet einen Broadcast: "Wer verwendet die IP 192.168.1.5? Bitte antworte mit der zugehörigen MAC-Adresse."
Ziel-MAC: FF:FF:FF:FF:FF:FF (Alle)
ARP Reply (Unicast)
PC B (der die IP hat) antwortet leise an PC A: "Ich bin 192.168.1.5, meine MAC ist AA:BB:CC:DD:EE:FF."
ARP Cache
PC A speichert die Zuordnung in seiner ARP-Tabelle, damit er beim nächsten Mal nicht schreien muss.
ARP Befehle
Der lokale ARP-Cache lässt sich direkt auf dem jeweiligen Betriebssystem anzeigen.
Internet Address Physical Address Type
192.168.1.1 c0-25-a5-xx-xx-xx dynamic
192.168.1.55 00-0c-29-xx-xx-xx dynamic
- ARP, MAC-Tabelle und Routingentscheidung im selben Paketfluss verbinden
- Broadcast, Unicast und Gateway-Auflösung korrekt unterscheiden
- ARP- und Layer-2-Probleme mit Tabellen und Paketmitschnitt diagnostizieren
Der Host löst immer den nächsten lokalen Hop auf
Liegt das Ziel im eigenen Subnetz, fragt ein IPv4-Host per ARP nach dessen MAC-Adresse. Liegt es außerhalb, löst er nicht die MAC des entfernten Servers auf, sondern die des Default Gateways. Der Ethernet-Frame erreicht den Router, der das IP-Paket weiterleitet und auf dem nächsten Segment einen neuen Layer-2-Header erstellt.
Eine ARP Request ist ein Broadcast im lokalen VLAN, die Antwort meist Unicast. Der ARP-Cache speichert die Zuordnung vorübergehend. Switches lernen unabhängig davon Quell-MAC-Adressen pro VLAN und Port in ihrer CAM- beziehungsweise MAC-Tabelle.
ARP erklärt viele scheinbare IP-Probleme
Wenn ein Host eine korrekte IP-Konfiguration besitzt, aber weder Nachbarn noch Gateway erreicht, werden ARP-Cache, VLAN, Portzustand und MAC-Tabelle geprüft. Unvollständige ARP-Einträge zeigen, dass Anfragen unbeantwortet bleiben. Ursachen können falsche Maske, falsches VLAN, ausgeschaltetes Ziel, Port Security oder Layer-2-Schleifen sein.
Gratuitous ARP kündigt eine eigene Zuordnung an und wird etwa bei Redundanz oder Adresswechseln genutzt. Doppelte IP-Adressen führen zu wechselnden Zuordnungen und schwer reproduzierbaren Verbindungsproblemen.
ARP benötigt Schutz in nicht vertrauenswürdigen Netzen
ARP besitzt keine eingebaute Authentifizierung. Ein Angreifer im selben Segment kann falsche Zuordnungen senden und Verkehr umlenken. Segmentierung, Zugangskontrolle und Funktionen wie Dynamic ARP Inspection reduzieren dieses Risiko, setzen aber korrekte DHCP-Snooping- oder statische Bindungen voraus.
Statische ARP-Einträge skalieren schlecht und sind keine allgemeine Lösung. Wichtiger sind begrenzte Layer-2-Domänen, sichere Switchports und Monitoring ungewöhnlicher Zuordnungswechsel.
- 01
IP-Adresse, Maske und Entscheidung lokal versus Gateway prüfen.
- 02
ARP-Cache vor und nach einem gezielten Verbindungstest vergleichen.
- 03
MAC-Tabelle, VLAN und physischen Port des erwarteten Geräts kontrollieren.
- 04
Mit Paketmitschnitt Request, Reply und verwendete MAC-Adressen beobachten.
- 05
Doppelte IPs, Port Security und Schutzfunktionen gegen Spoofing prüfen.
Warum kennt mein PC nicht die MAC-Adresse eines Internetservers?
MAC-Adressen gelten nur im lokalen Layer-2-Segment. Der PC adressiert den Frame an sein Gateway; jeder Router erstellt für den nächsten Link einen neuen Layer-2-Header.
Was ersetzt ARP bei IPv6?
IPv6 nutzt Neighbor Discovery über ICMPv6, unter anderem Neighbor Solicitation und Neighbor Advertisement. Es erfüllt ähnliche Aufgaben, ist aber kein direktes ARP-Paketformat.