ARP
Når den bærbare datamaskinen sender en pakke til ruteren, er ikke ruterens IP nok – Ethernet trenger en MAC-adresse. Adresseoppløsningsprotokollen fyller det gapet og spør "hvem har denne IP-en?" og få tilbake en MAC. Den har vært i IPv4 siden 1982 og har ingen autentisering, noe som gjør den til grunnlaget for utallige lokale nettverksangrep.
Hele artikkelen er gitt på engelsk nedenfor.
ARP (Address Resolution Protocol), RFC 826, er protokollen som tilordner IPv4-adresser til MAC-adresser på et lokalt nettverk. Hver gang enheten din trenger å sende en pakke til en IP den aldri har snakket med før, kjører ARP først. Kartleggingen bufres en kort stund, utløper deretter og blir bedt om igjen.
Den grunnleggende utvekslingen
Den bærbare datamaskinen din har IP 192.168.1.10 og ønsker å sende til 192.168.1.1 (ruteren):
- X
- XP1 Bærbar forespørsel kringkasting: "Hvem har 192.168.1.1? Fortell 192.168.1.10" til alle enheter på LAN (MAC kringkasting FF:FF:FF:FF:FF:FF).
- ARP svar: Ruteren svarer direkte til den bærbare datamaskinen ".8191. AA:BB:CC:DD:EE:FF."
- Cache: Begge sider lagrer IP-MAC-kartleggingen i ARP-hurtigbufferen i noen minutter.
- Send: Laptop sender nå IP-pakken pakket inn i en Ethernet-rute pakket inn i en Ethernet-ruteadresse. MAC.
For påfølgende pakker til samme IP, brukes den hurtigbufrede oppføringen; ingen gjentatt ARP-utveksling nødvendig.
Hva er i ARP-cachen
På Linux: ip neigh. På macOS: arp -a. På Windows: arp -a. Utdataene viser hver kjent IP, dens MAC og cache-tilstanden. Oppføringer utløper (vanligvis etter noen minutter med inaktivitet) og oppdateres ved behov. Statiske ARP-oppføringer kan også legges til manuelt for spesielle tilfeller.
ARP-spoofing
ARP har ingen autentisering – alle svar aksepteres, også uønskede. ARP spoofing (eller "ARP-forgiftning") utnytter dette:
- Attacker på samme LAN sender en uoppfordret "gratuitous ARP" som kunngjør "192.168.1.1 (ruteren) er på MY46EXYver annen enhetsoppdatering." sin ARP-buffer og begynner å sende ruterbestemt trafikk til angriperen.
- Angriperen er nå midt i hver flyt som forlater LAN – en klassisk mann-i-midt-posisjon.
- Angriperen videresender trafikk til den virkelige ruteren slik at offeret ikke legger merke til forstyrrelsen som ble brukt. å være ødeleggende. I dag beskytter HTTPS innholdet av mest trafikk fra angriperen, men metadata (hvilke nettsteder du besøker, når), pluss eventuelle klartekstprotokoller (DNS, vanlig HTTP, noen eldre SMTP, IoT-enhets-APIer) er fortsatt lesbare.
Detecting ARP spoofing
The classic tegn:
- Flere IP-er i ARP-cachen din som tilordnes den samme MAC
- Ruterens MAC endrer seg plutselig
- Uvanlig gratis ARP-trafikk synlig i pakkefangster
Tools8Z6XT7PLZ6XXool
arpwatchmonitor for endringer og varsling. De fleste hjemmenettverk har ikke overvåking; ARP-forfalskning på hjemme-Wi-Fi kan forbli uoppdaget på ubestemt tid.Forsvar mot ARP-angrep
- Dynamic ARP Inspection (DAI) på administrerte svitsjer – dropper ARP-pakker som ikke samsvarer med en CPMA som er pålitelig database).
- Statiske ARP-oppføringer for kritiske IP-er (ruteren, nøkkelservere) — låser kartleggingen slik at falske svar ignoreres. Operasjonelt klønete; mest brukt i sikkerhetskritiske oppsett.
- Nettverkssegmentering — ved å holde brukere på forskjellige VLAN begrenser eksplosjonsradiusen til ARP-angrep til et enkelt VLAN.
- VPN for å unnslippe LAN-en, når du først har kryptert LAN-tunnelen. ARP-spoof deg ut av det. Nyttig på fiendtlige nettverk (hotell-Wi-Fi, konferanser).
ARP og IPv6: Neighbor Discovery
IPv6 bruker ikke ARP. Tilsvarende er Neighbor Discovery Protocol (NDP), definert i RFC 4861. Den bruker ICMPv6-meldinger i stedet for en separat protokoll og gir samme funksjon: "hvem har denne IPv6-adressen?" med MAC-svar.
NDP har samme autentiseringsproblem som ARP — ethvert svar godtas. Begrensninger inkluderer SEND (Secure Neighbor Discovery, RFC 3971, sjelden utplassert) og RA Guard / DHCPv6 Guard på brytere.
Hva ARP forteller deg om et nettverk
Din ARP-hurtigbuffer etter å ha brukt et nettverk med nylig kommuniserte enheter er i hovedsak en liste over den lokale kommunikasjonsenheten du har på den lokale enheten. På et bedriftsnettverk inkluderer dette skrivere, filservere, gatewayen, muligens noen få bærbare kollegaer. På Wi-Fi hjemme, enhetene dine og ruteren. Informasjonen er lokal – aldri synlig utenfor LAN – men nyttig for å forstå hva som er rundt deg.
Ofte stilte spørsmål
- Er ARP-spoofing fortsatt en reell trussel i 2026?
- På åpne nettverk (kaféer, hoteller), ja. På bedriftsnettverk med DAI og DHCP snooping, stort sett nei. Den utbredte bruken av HTTPS reduserer virkningen dramatisk – en angriper midt i trafikken din har fortsatt problemer med å dekryptere den. En VPN gjør lokale ARP-angrep i hovedsak impotente.
- Kan jeg deaktivere ARP?
- Ikke på Ethernet/Wi-Fi — IPv4 avhenger fundamentalt av det. Du kan feste statiske ARP-oppføringer for pålitelige IP-er (ruteren, serverne dine) som gjør cachen stabil. Du kan også bruke IPv6, som bruker NDP i stedet for ARP.
- Hvorfor viser ARP-tabellen min forskjellige enheter hver gang?
- Oppføringer utløper etter noen minutter med inaktivitet. Re-arping skjer når du kommuniserer med en enhet igjen. Listen vokser ved aktiv bruk og krymper under inaktive perioder. Dette er normalt.
- Kan en angriper utenfor nettverket mitt ARP-forfalske meg?
- Nei. ARP opererer bare innenfor et enkelt lokalt segment – sendinger krysser ikke rutere. For å ARP-spoofe deg, må angriperen være på det samme fysiske eller trådløse nettverket som deg. Det er derfor fiendtlig Wi-Fi og delte LAN er viktig; eksterne Internett-angripere kan ikke ARP deg.
- Er ARP-overvåkingsverktøy nødvendig hjemme?
- Sannsynligvis ikke. Hjemmenettverket ditt har få enheter og forutsigbar oppførsel. ARP-watching er mer relevant i kontormiljøer eller delte miljøer der nye MAC-adresser som vises er et sikkerhetssignal. For de fleste hjemmebrukere er en VPN på upålitelige offentlige nettverk det mer praktiske forsvaret.