ARP

Entstehung und Beteiligte

David C. Plummer vom MIT beschrieb ARP im November 1982 in RFC 826. Das Dokument löste eine konkrete Aufgabe für Ethernet: Eine 32-Bit-Internetadresse musste einer 48-Bit-Ethernetadresse zugeordnet werden.

Welches Problem sollte gelöst werden?

Ein Rechner kennt aus der IP-Konfiguration die Ziel-IP im lokalen Netz, ein Ethernet-Frame benötigt aber eine MAC-Zieladresse. Statische Tabellen wären unpraktisch und würden nach jedem Gerätewechsel veralten. Die Zuordnung sollte automatisch und ohne zentralen Server funktionieren.

Technische Hürden und Lösungen

ARP verwendet Broadcast-Anfragen und vertraut Antworten weitgehend. Das macht es einfach, aber anfällig für Spoofing und Cache Poisoning. Caches müssen Einträge altern lassen; Proxy ARP und Gratuitous ARP erweitern das Verhalten. Für IPv6 übernimmt Neighbor Discovery die Aufgabe.

Standardisierung und Einordnung

Netzwerktechnik entsteht selten als Einzelerfindung. Forschungseinrichtungen, Hersteller und Standardisierungsgremien erproben Verfahren, dokumentieren sie in RFCs oder IEEE-Normen und verbessern sie über viele Jahre. Entscheidend ist deshalb die Unterscheidung zwischen erster Idee, erster praktischer Implementierung und späterem Standard. Moderne Netze tragen häufig mehrere historische Schichten gleichzeitig: Ethernet auf der lokalen Verbindung, IP für die Adressierung und TCP oder UDP für den Transport.

Technik im praktischen Betrieb

Im praktischen Betrieb müssen Adressierung, Namensauflösung, Weiterleitung und lokale Übertragung als zusammenhängende Kette betrachtet werden. Ein Fehler zeigt sich häufig an einer anderen Stelle als seiner Ursache: Eine falsche Subnetzmaske wirkt wie ein Routingproblem, ein fehlender ARP-Eintrag wie eine unterbrochene Leitung und ein DNS-Fehler wie ein ausgefallener Server. Aussagekräftige Diagnose beginnt deshalb unten bei Link und Adresse, prüft anschließend Weg und Transport und erst danach die Anwendung. Paketmitschnitte, Tabellenstände und genaue Zeitpunkte sind verlässlicher als Vermutungen aus einer einzelnen Fehlermeldung.

Warum das Thema heute noch relevant ist

Die historischen Entscheidungen wirken bis heute, weil grundlegende Netzprotokolle extrem langlebig sind. Neue Verfahren müssen mit Milliarden vorhandener Geräte, Anwendungen und Konfigurationen zusammenarbeiten. Deshalb bleiben Felder, Begriffe und Grenzen erhalten, die aus einer Zeit mit wenigen Forschungsnetzen stammen. Wer die damalige Problemstellung kennt, versteht besser, warum manche Lösungen bewusst einfach, zustandslos oder fehlertolerant entworfen wurden und weshalb spätere Erweiterungen nicht jede Altlast beseitigen konnten.

Daten und Meilensteine

• 1982: RFC 826 veröffentlicht ARP.
• ARP arbeitet direkt über Ethernet, nicht über UDP oder TCP.
• Eine Anfrage ist Broadcast, die Antwort meist Unicast.
• IPv6 verwendet Neighbor Discovery mit ICMPv6 statt ARP.

Was ist ARP?

Das Address Resolution Protocol (ARP) löst IP-Adressen in MAC-Adressen auf. Wenn ein Gerät ein Paket an eine IP-Adresse im selben Subnetz senden möchte, benötigt es die zugehörige MAC-Adresse für den Ethernet-Frame.

ARP sendet dafür einen Broadcast: "Wer hat die IP 192.168.1.20? Bitte antworte mit deiner MAC-Adresse." Das Zielgerät antwortet unicast mit seiner MAC. Diese Zuordnung wird im ARP-Cache für typisch 20 Minuten gespeichert.

ARP-Prozess und Cache

Bevor ein Frame gesendet wird, prüft das Gerät seinen ARP-Cache. Findet es dort einen gültigen Eintrag (IP → MAC), wird der Frame sofort versendet. Ist kein Eintrag vorhanden, wird ein ARP Request als Broadcast gesendet (Ziel-MAC: FF:FF:FF:FF:FF:FF).

Nur das Gerät mit der gesuchten IP antwortet. Das anfragende Gerät aktualisiert seinen ARP-Cache und sendet den Frame direkt an die aufgelöste MAC-Adresse.

ARP-Spoofing – eine kritische Schwäche

ARP hat keine Authentifizierung. Ein Angreifer kann gefälschte ARP-Replies senden (Gratuitous ARP) und so den ARP-Cache anderer Geräte manipulieren. Das führt zu Man-in-the-Middle-Angriffen: Der Angreifer leitet Traffic durch sein eigenes Gerät.

Gegenmaßnahmen: Dynamic ARP Inspection (DAI) auf Switches, Static ARP-Einträge für kritische Systeme, 802.1X Netzwerk-Zugangskontrolle und Netzwerksegmentierung mit VLANs.