實驗五 ARP 協定分析 實驗目的 : 明瞭 ARP(Address Resolution Protocol; 位址解析協定 ) 的工作原理 解析 ARP 協定下封包資料傳送的格式
背景資料 在網際網路中只有網路區段的分別, 並無區域網路 網域網路 無線網路的分別, 而網路區段在邏輯上的定義為網路號相同, 在實際上則為 ARP 封包可以廣播的到 ARP 負責的是由 IP 位址尋找網路卡實體位址 ( MAC), 因為真正的網路連線發生在資料鏈結層需要雙方的實體位址, 而更高層的連線均為虛擬連線
ARP 原理 ARP 並非網際網路專屬協定, 且除非有 ARP Proxy 機制 ( 代替其它機器的 IP 位址做出回應 ) 存在, 否則 ARP 僅在網路第二層用廣播方式傳遞, 所以 ARP 會限制在區域網路內操作 區域網路內的所有裝置大多有一個 ARP 表格 (ARP Table) 存放於 ARP 快取記憶區 (ARP Cache) 之中, 記錄著同一區域網路中各裝置的 IP 位址和 MAC 位址的對應, 加速 ARP 的處理
ARP 原理 裝置送出一個 IP 封包時, 利用網路遮罩逐一確認出目的地址是否屬於相同網路區段以此類推 如屬於相同網路區段, 則檢查 ARP 表格中是否有目的地址的 IP 位址和 MAC 位址對, 如有就直接將封包傳到該 MAC 位址 如果沒有, 則向區域網路送出一個 ARP Request 廣播封包查詢目的地址的 MAC 位址, 所有區域網路上的裝置都會處理該請求, 檢查 IP 欄位是自己的, 如果是, 將發送端的 IP 位址和 MAC 位址對更新到自己的 ARP 表格, 然後回應一個 ARP Reply 封包給發送端, 如果不是則忽略
ARP 原理 當發送端接到 ARP Reply 封包後更新自己的 ARP 表格, 日後就可以用此記錄來進行傳送, 否則宣告傳送失敗 至於不同網路區段的 IP 位址傳送, 由於最後一條紀錄為透過網路遮罩 0.0.0.0 的運算結果一定是 0.0.0.0, 所以會透過適當的介面轉發向預設路由器 IP 位址 一般而言我們也可以說網路的連線是透過許多部路由器, 進行多次 ARP 解析的結果
ARP Request 與 ARP Reply ARP 運作僅由 ARP request(arp 查詢 ) 與 ARP reply (ARP 回應 ) 兩種封包所組成 假設 A 裝置要傳送 IP 封包給 B 裝置, 雖然 A 裝置知道 B 裝置的 IP 位址, 但是不知道 B 裝置的 MAC 位址, 因此必須先利用 ARP 取得 B 裝置的 MAC 位址 ARP request 封包在資料連結層是封裝成廣播封包, 所以區域網路上的每一裝置都會處理此一封包 ARP request 除了包含 A 裝置本身的 IP 位址與 MAC 位址外, 也會記錄所要解析對象的 IP 位址, 即 B 裝置的 IP 位址
ARP Request 與 ARP Reply
ARP Request 與 ARP Reply 區域網路內的所有裝置都會處理 ARP request 的封包, 並與本身的 IP 位址比對, 判斷出自己是否為此 request 所要解析的對象,B 裝置為 ARP request 的解析對象, 因此只有 B 裝置會產生回應的 ARP reply 封包
ARP Request 與 ARP Reply
查看 ARP 記錄 在 Windows XP 中, 我們可以利用 C:\>arp a 命令來查詢 ARP 表格, 之後可以看到看 IP 位址和 MAC 位址的對應, 有些系統會用主機名稱和 MAC 對應, 但如果在 IP 網路中最後是要轉換成 IP 位址才知道如何傳遞封包
ARP Cache ARP 快取記憶區 (ARP Cache) 之中, 記錄著同一區域網路中各裝置的 IP 位址和 MAC 位址的對應, 期以加速 ARP 的處理, 因此, 只有在 cache 中找不到符合的記錄時, 才會發出 ARP request 的廣播封包 ARP Cache 中所包含的記錄, 可分為下列二種 : 動態記錄 : 當 ARP 完成每筆 IP/MAC 位址的解析後, 便會將結果儲存在 ARP Cache 中, 供後續使用, 以避免重複向同一對象要求位址解析, 而這些由 ARP 自動產生的紀錄即為動態記錄 同時為了避免 網路黑洞 的發生, 動態紀錄必須有一定的壽命時間, 超過此時間的記錄便會被刪除 預設值是紀錄如果在 2 分鐘內沒有再使用, 系統就會將它刪除 ; 如果有被使用到, 檢查的時期則會變成 10 分鐘
ARP Cache 靜態記錄 : 當使用者已知某裝置的 IP/MAC 位址的對應關係後, 可經由手動的方式將某裝置的 IP/MAC 位址加入 ARP Cache 中, 此即為靜態紀錄 靜態紀錄的壽命限制與動態紀錄不同, 只有在下列情況下才會被刪除 : 重新開機 : 由於 ARP Cache 儲存在電腦的 RAM 中, 因此只要重新開機, 不管動態或靜態都會全部消失 以手動的方式刪除 : 靜態紀錄是由手動方式加入 ARP Cache 中, 當然也可以由手動的方式刪除 與動態紀錄衝突 : 當動態與靜態紀錄出現不一致的情況時, 會以動態紀錄為準, 刪除靜態紀錄 設置靜態紀錄可以用以下命令 : arp -s IP MAC
ARP 封包格式 ARP 封包主要是紀錄 IP 與 MAC 位址的相關資料
ARP 封包格式 Hardware Type: 長度為 2 Bytes, 代表發送端主機網路卡的類型, 若硬體類型為乙太網路, 則此欄位值為 1 Protocol Type: 長度為 2 Bytes, 說明網路層所使用的協定, 若欄位值為 0800(16 進位 ), 則表示協定採用 IP 位址進行定址 Hardware Address Length(HLEN): 長度為 1 Byte, 對硬體位址的長度作定義, 欄位值以 BYTE 為單位 例如乙太網路的 MAC 位址長度為 6 Bytes, 此欄欄位值即為 6 Protocol Address Length(PLEN): 長度為 1 Byte, 網路層協定所使用的位址長度, 以 BYTE 為單位 若 ProtocolType 為 2048(IP), 由於 IP 位址長度為 4 Bytes, 因此本欄位值為 4
ARP 封包格式 Operation: 長度為 2 Bytes, 指定 ARP 封包的類型, 最常見的即是 Request 與 Reply 兩種類型, 欄位值分別為 1 2 Sender Hardware Address:ARP 封包來源端的 MAC 位址 以乙太網路為例, 即為 6 Bytes 的 MAC 位址 Sender Protocol Address:ARP 封包來源端所用協定的位址 以 IP 為例, 即為 4 Bytes 的 IP 位址
ARP 封包格式 Target Hardware Address:ARP 封包目的端的 MAC 位址 以乙太網路為例, 即為 6 Bytes 的 MAC 位址 若是 ARP request 封包, 則本欄位址為 00-00-00-00-00-00 Target Protocol Address:ARP 封包目的端所用協定的位址 以 IP 為例, 即為 4 Bytes 的 IP 位址 ARP 封包的長度 :ARP 封包的長度並不固定, 要視網路層與資料連結層的位址長度
實驗方法 : 擷取 ARP 封包 用三個步驟來實驗 : 1. arp -a 顯示目前系統中 ARP Cache 2. Ping 相同網路區段位址 3. 用 arp -a 顯示最新系統中 ARP Cache
ARP Request
ARP Request 如圖中可觀察 ARP Request 封包 (Filter 設定 eth. type == 0x0806) Hardware Type = 1(Ethernet), 其十六進位為 00 01 Protocol Type = 0x0800 (IP) Hardware Addr Length = 6 bytes, 其十六進位為 06 Protocol Addr Length = 4 bytes, 其十六進位為 04 Operation = 1 (Request), 其十六進位為 00 01 Sender Ethernet Addr = 00 11 09 27 bd 56 Sender IP Address = 192.192.73.46 Target Ethernet Addr = 000000000000 Target IP Address = 192.192.73.1
ARP Reply
ARP Reply 如圖中可觀察 ARP Reply 封包 : Hardware Type = 1(Ethernet), 其十六進位為 00 01 Protocol Type = 0x0800 (IP) Hardware Addr Length = 6 bytes, 其十六進位為 06 Protocol Addr Length = 4 bytes, 其十六進位為 04 Operation = 1 (Reply), 其十六進位為 00 02 Sender Ethernet Addr = 00 11 2f 58 73 85 Sender IP Address = 192.192.73.1 Target Ethernet Addr = 00 11 09 27 bd 56 Target IP Address = 192.192.73.46
Free IP scanner 使用 Free IP scanner 來檢視區域網路上所有的 IP/MAC 對
學習評量 1. 請說明何謂 RARP 協定 2. 如果不支援廣播的通訊協定如 ATM, 該如何對應 IP 位址? 3. 請說明 ARP Cache 的操作過程 4. 如何將不同的兩個實體區域網路管理成一個單一網路? 5. 請說明 ARP 協定有無潛在風險?