ARP: So findet ein Rechner die MAC-Adresse seines Nachbarn

ARP (Address Resolution Protocol) ist das Netzwerkprotokoll, mit dem ein Rechner im lokalen Netzwerk zur IP-Adresse eines anderen Geräts dessen MAC-Adresse ermittelt. Ohne ARP könnte kein Datenpaket im Ethernet die richtige Gegenstelle erreichen — die IP-Adresse allein reicht nicht, denn die tatsächliche Zustellung auf Ethernet-Ebene läuft immer über die Hardware-Adresse.

Warum braucht man ARP?

Ein Netzwerkprotokoll wie IP arbeitet logisch: Jedes Gerät hat eine IP-Adresse, über die es weltweit angesprochen wird. Bevor ein Paket jedoch tatsächlich über das Kabel geschickt wird, muss der Absender wissen, an welche physische Netzwerkkarte es im lokalen Netz geht. Diese Zuordnung übernimmt ARP: Es übersetzt eine IPv4-Adresse in die zugehörige MAC-Adresse.

So funktioniert ARP

Will Rechner A mit Rechner B im selben Netz kommunizieren, sendet A eine ARP-Anfrage als Broadcast an alle Geräte im Segment: „Wer hat die IP 192.168.1.20?" Alle Geräte vergleichen die angefragte Adresse mit ihrer eigenen. Nur Rechner B antwortet direkt an A mit seiner MAC-Adresse (ARP-Reply), und A speichert die Zuordnung in seiner ARP-Tabelle — auch ARP-Cache genannt. Nachfolgende Pakete können nun direkt zugestellt werden, ohne erneut zu fragen.

# ARP-Tabelle unter Linux anzeigen
ip neigh
# Klassisch: arp -a
arp -a

Der Eintrag bleibt einige Minuten gültig und wird bei jeder Kommunikation aufgefrischt. Verlässt ein Gerät das Netz oder wechselt seine Netzwerkkarte, läuft der Eintrag aus und wird bei Bedarf neu ermittelt.

ARP und die Netz-Infrastruktur

ARP arbeitet nur innerhalb eines Subnetzes beziehungsweise eines Broadcast-Domänen-Bereichs. Kommuniziert ein Rechner mit einem Gerät außerhalb des eigenen Netzes, geht das Paket an den Router (beziehungsweise Gateway): Der Absender fragt per ARP nach der MAC-Adresse des Routers und übergibt ihm das Paket — der Router leitet es dann weiter. In großen Netzen trennen Switches und VLANs die Broadcast-Bereiche, wodurch ARP-Nachrichten lokal begrenzt bleiben.

Sicherheit: ARP-Spoofing

Weil ARP-Anfragen und -Antworten nicht authentifiziert werden, kann ein Angreifer im selben Netz gefälschte ARP-Antworten senden und so den Datenverkehr eines Opfers auf sein eigenes Gerät umleiten (ARP-Spoofing). Daraus entstehen Man-in-the-Middle-Angriffe und Paket-Sniffing. Schutzmaßnahmen sind statische ARP-Einträge, Port-Security an Switches und in sensiblen Umgebungen Protokolle wie die Dynamic ARP Inspection.

IPv6: Die Nachfolge-Lösung

ARP ist auf IPv4 beschränkt. In IPv6 übernimmt das Neighbor Discovery Protocol (NDP) diese Aufgabe — es kann nicht nur Adressen auflösen, sondern auch Router entdecken und Duplicate-Address-Prüfungen durchführen, und es arbeitet deutlich sicherer als das klassische ARP.

Verwandte Grundlagen: Packet, DHCP und Subnetz und CIDR.