网络基础协议-ARP

ARP 位于七层模型里的第二层，即数据链路层。数据链路层有什么？答对了，是MAC地址。MAC地址指网络接口的硬件地址，是一个48bit的值，用来标识以太网或令牌环（已经很少听到了）的网络接口。送货总要有地址吧，在硬件层次上，MAC地址就是干这个的。发送数据的前提，就必须知道目的硬件地址。
总之，在以太网里面，一台主机要发送数据帧，必须知道对方的以太网地址才能发送数据。而我们只知道IP地址，这时就要喊ARP协议来干活了，将IP地址翻译成MAC地址。
一般认为ARP协议只适用于局域网。

现在我们知道ARP是干嘛的了，就是用于解析MAC地址。

TCP/IP协议栈是从上层到下层依次封装的，其中呢，第三层需要封装目的IP地址，第二层需要封装目的MAC地址。目的IP地址由用户/应用程序/DNS解析得到，而目的MAC地址哪来呢？ARP解析来的。

来看一下ARP解析MAC地址过程：
比如上层数据发送一个数据包过来，假设目的IP地址已经知道了。这个时候需要在数据链路层把MAC地址封装进去。可是主机说，我不知道啊，那封装就失败了，目的IP到目的MAC封装映射不成功。怎么办呢？那就先干些别的吧。 我先发个广播，就是ARP Request请求，源MAC是发起者的MAC, 目的MAC地址是FFFF:FFFF:FFFF （所有主机）。所有收到广播的设备，对收到的ARP Request拆封，读取ARP数据包中需要解析的目的IP，看看找谁。 两种结果，一种是主机发现，你要找的目的IP地址跟我的不一样啊，那就不管了，直接忽略。另一种是目的IP正确的设备，一看奥是找我的啊，那我回复一下吧。就发个ARP Reply来回应。ARP Reply消息，源MAC为被解析设备的MAC，目的MAC是ARP Request发起者的MAC地址。发起者接收到ARP Reply后，把目的IP地址与目的MAC地址的对应关系添加到ARP表里去。然后再继续未完成的封装工作，现在可以把正确的目的MAC封装到数据帧里发送出去了。

我们再看看ARP在TCP连接建立的过程中干了些啥，这次接收者是一台路由器。
当一个应用通过交互界面提交了数据请求，需要建立TCP连接。我们知道TCP需要三次握手，当TCP的第一个SYN报文到达IP层后，IP层就开始查找路由表。有这么几种处理方式：
1）如果发现目的IP和自己在同一个网段，那就查找ARP高速缓存表中。缓存表里面有，存在目的IP对应的MAC地址时，可以直接取出来重新封装并发送报文；缓存表里没有，ARP干活（缓存TCP的SYN先被缓存起来）。发送ARP Request广播请求目的IP的MAC，收到ARP应答之后，将应答之中的缓存在本地ARP高速缓存表中，再重新封装TCP SYN报文并发送。
2）如果目的IP地址和自己不在同一个网段，那么久要把报文发送给默认网关（需要知道默认网关的MAC地址）。同样查找ARP高速缓存表，有默认网关对应的MAC地址时，直接提取数据，提交给网络接口，网络接口完成封装和转发。缓存表没有，则发送ARP广播请求默认网关的MAC，收到ARP应答之后，将应答之中的<默认网关地址，对应的MAC>缓存在本地ARP高速缓存表中，再重新完成TCP SYN的IP封装并转发。

ARP高速缓存
ARP高速缓存表在IP层使用。如果每次建立TCP连接都发送ARP请求，会降低效率，因此在主机、交换机、路由器上都会有ARP缓存表。建立TCP连接时先查询ARP缓存表，如果有效，直接读取ARP表项的内容进行第二层数据包的发送；只有表失效时才进行ARP请求和应答进行MAC地址的获取，以建立TCP连接。 　　
ARP缓存是一个缓冲区，用来储存IP地址和MAC地址，本质就是的对应表。表中一个条目记录了网络上一个主机的IP地址和其对应的MAC地址。每一个以太网或令牌环网络适配器都有自己单独的表。
当地址解析协议被询问一个已知IP地址节点的MAC地址时，先在ARP缓存中查看，若存在，就直接返回与之对应的MAC地址，若不存在，才发送ARP请求向局域网查询。
ARP缓存包含动态和静态项目：
动态项目随时间推移自动添加和删除，每个动态ARP缓存项都有都设置了TTL(生存时间)，TTL为0时此项目就从表中删除，Windows下TTL一般不超过10分钟。
静态 ARP 缓存条目是永久性的，可以使用 TCP/IP 工具手动添加和删除。静态 ARP 缓存条目用来禁止节点发送对常用的本地IPv4地址（例如路由器和服务器的 IPv4 地址）的ARP请求。

动态ARP老化机制
动态ARP是指设备通过ARP报文动态学习、动态刷新IP地址和MAC地址之间的映射关系，不需要网络管理员手工进行维护。
在一段时间内，如果ARP表中的某一映射关系始终没有得到使用，这条映射关系就会被删除，动态ARP老化机制就是实现系统自动删除ARP表项操作的一套机制。通过动态ARP的老化机制，可以及时删除使用频率不高的ARP表项，节省ARP表的存储空间，进而加快设备发送数据报文之前查询ARP表的速度。
从ARP高速缓存的使用中可以看到，ARP高速缓存可以减小广播量，进而减小网络通信量，提高计算机之间的通信效率。具有一定安全隐患（参考下面免费ARP）

免费ARP
免费ARP指主机发送ARP查找自己的IP地址，通常发生在系统引导期间进行接口配置时。
与标准ARP的区别就是免费ARP分组的目的IP地址字段封装的是自己的IP地址，即向所在网络请求自己的MAC地址。
免费ARP能干啥？
　　1) 一个主机可以通过它来确定另一个主机是否设置了相同的 IP地址。正常情况下发送免费ARP请求不会收到ARP应答，如果收到了一个ARP应答，则说明网络中存在与本机相同的IP地址的主机，发生了地址冲突。
　　2)更新其他主机高速缓存中旧的硬件地址。
　　如果发送免费ARP的主机正好改变了硬件地址，如更换了接口卡。其他主机接收到这个ARP请求的时候，发现自己的ARP高速缓存表中存在对应的IP地址，但是MAC地址不匹配，那么就需要利用接收的ARP请求来更新本地的ARP高速缓存表表项。
　　3)网关利用免费ARP防止ARP攻击
　　有些网关设备在一定的时间间隔内向网络主动发送免费ARP报文，让网络内的其他主机更新ARP表项中的网关MAC地址信息，以达到防止或缓解ARP攻击的效果。

免费ARP安全隐患
ARP协议并不只在发送了ARP请求才接收ARP应答，计算机只要接收到ARP应答数据包，就会使用应答中的IP和MAC地址对本地的ARP缓存进行更新。
主机可以构造虚假的免费ARP应答，将ARP的源MAC地址设为错误的MAC地址，并把这个虚假的免费ARP应答发送到网络中，那么所有接收到这个免费ARP应答的主机都会更新本地ARP表项中相应IP地址对应的MAC地址。更新成功后，这些主机的数据报文就会被转发到错误的MAC地址，从而实现了ARP欺骗的攻击。

代理ARP
代理ARP就是通过使用一个主机(通常为router)，来作为指定的设备使用自己的 MAC 地址来对另一设备的ARP请求作出应答。
为什么需要代理ARP？
我们知道，路由器的重要功能之一就是把局域网的广播包限制在该网内，阻止其扩散，否则会造成网络风暴。
ARP请求是个广播包，它询问的对象如果在同一个局域网内，就会收到应答。但是如果询问的对象不在同一个局域网该如何处理？路由器就提供的代理ARP为这个问题提供了解决方案。
两台主机A和B处于同一网段但不同的广播段时，主机A发送ARP请求主机B的MAC地址时，因为路由器不转发广播包的原因，ARP请求只能到达路由器。如果路由器启用了代理ARP功能，并知道主机B属于它连接的网络，那么路由器就用自己接口的MAC地址代替主机B的MAC地址来对主机A进行ARP应答。主机A接收ARP应答，但并不知道代理ARP的存在。
代理ARP能在不影响路由表的情况下添加一个新的Router，使子网对该主机变得透明化。一般代理ARP应该使用在主机没有配置默认网关或没有任何路由策略的网络上。缺点是，从工作过程可以看到，这其实是一种ARP欺骗。而且，通过两个物理网络之间的路由器的代理ARP功能其实互相隐藏了物理网络，这导致无法对网络拓扑进行网络概括。此外，代理ARP增加了使用它的那段网络的ARP流量，主机需要更大的ARP缓存空间。

ARP安全
ARP协议有简单、易用的优点，但是也因为其没有任何安全机制，容易被攻击者利用。在网络中，常见的ARP攻击方式主要包括：
ARP泛洪攻击，也叫拒绝服务攻击DoS（Denial of Service），主要存在这样两种场景：
1）设备处理ARP报文和维护ARP表项都需要消耗系统资源，同时为了满足ARP表项查询效率的要求，一般设备都会对ARP表项规模有规格限制。攻击者就利用这一点，通过伪造大量源IP地址变化的ARP报文，使得设备ARP表资源被无效的ARP条目耗尽，合法用户的ARP报文不能继续生成ARP条目，导致正常通信中断。
2）攻击者利用工具扫描本网段主机或者进行跨网段扫描时，会向设备发送大量目标IP地址不能解析的IP报文，导致设备触发大量ARP Miss消息，生成并下发大量临时ARP表项，并广播大量ARP请求报文以对目标IP地址进行解析，从而造成CPU（Central Processing Unit）负荷过重。
ARP欺骗攻击，是指攻击者通过发送伪造的ARP报文，恶意修改设备或网络内其他用户主机的ARP表项，造成用户或网络的报文通信异常。

提高ARP安全的方案
不同厂商产品的特性和配置方式都不尽相同，但大致有这些方式来提高ARP的安全性：
ARP报文限速；ARP Miss消息限速；免费ARP报文主动丢弃；ARP优化应答；ARP表项限制；ARP表项限制；ARP表项固化；动态ARP检测；ARP防网关冲突；ARP报文内MAC地址一致性检查等。

“Spec of ARP full” 案例
本案例仅供参考。
设备：华为NE05E-SE路由器；
现象：例行巡检时，发现错误告警“Spec of ARP full”。
查找资料得知，ARP表项受硬件规格限制。如果ARP表项满了，则会导致新设备MAC地址无法注册，无法提供IP地址到MAC地址的解析，网络通讯无法连接等问题。
需要考虑的是，如果这些ARP是真实的，如果无法通过软件方式提高ARP表项支持数目，就只有更换硬件了。
本案例中，当前版本的路由器支持ARP表项数量为1055 （设备ARP和ND的规格共享），可以通过“set arp specification { 1055 | 8192 }” 命令设置，设备ARP规格独享8192，ND规格独享1055。

RARP 反向ARP
具有本地磁盘的系统引导时，一般是从磁盘中的配置文件读取IP地址。但是无盘机，如无盘工作站，则需要采用其他方法获取ip地址。
网络上的每个系统都具有唯一的硬件地址，他是由网络接口生产厂家配置的。无盘系统的RARP实现过程是从接口卡上读取唯一的硬件地址，然后发送一份RARP请求（一帧在网络上的数据），请求某个主机在无盘系统的IP地址。
RARP服务器的复杂性在于。服务器一般要为多个主机提供硬件地址到IP地址的映射。更为复杂的是，RARP请求作为一个特殊类型的以太网数据帧来传送。这说明RARP服务器必须能够发送和接收这种类型的以太网数据帧。
RARP是许多无盘系统在引导时用来获取IP地址的。RARP实现起来要比ARP复杂，因为RARP请求实在硬件层上广播的。这意味着他们不经过路由器进行转发。为了能让无盘系统在RARP关机的情况下也能引导，通常要在一个网络上（一根电缆）提供多个RARP服务器。