ARP 필드·주소 해석·캐시와 중복 탐지

01경로 선택이 ARP 대상보다 먼저다

• 개념ARP는 같은 링크에서 IPv4 주소에 대응하는 하드웨어 주소를 구하는 프로토콜이다. Ethernet 송신에서는 경로가 선택한 다음 홉의 MAC 주소를 알아내는 데 사용한다.
• 경로와 다음 홉Ethernet의 IPv4 송신은 IP 경로를 먼저 정한 다음 그 링크의 다음 홉 MAC을 구한다. 목적지 192.0.2.20이 직접 연결된 /24 안에 있으면 그 목적지를 묻는다.

  • 원격 203.0.113.20으로 보낼 경로의 gateway가 192.0.2.1이면 ARP의 질문 대상은 .1이다.
  • 외부 서버의 MAC을 인터넷 전체에서 찾아오는 과정이 아니다.
• IP 목적지와 링크 목적지따라서 IP 패킷 목적지는 원격 서버이지만 첫 Ethernet 목적지는 게이트웨이 MAC일 수 있다. 다음 홉 MAC이 유효한 이웃 캐시에 있으면 ARP를 생략하고 바로 보낼 수 있다.

  • ping에서 첫 요청에 항상 ARP가 나타나지 않는 이유를 이해하려면 이전 통신에서 남은 캐시도 고려해야 한다.

02Ethernet 헤더와 ARP 본문은 다른 주소 공간이다

• Ethernet·ARP 헤더Ethernet에서 ARP는 EtherType 0x0806으로 직접 실리고 IP 헤더를 사용하지 않는다. ARP 본문에는 IPv4 주소가 들어 있지만 그 값은 주소 해석 질문·응답의 데이터이며 IP 패킷을 캡슐화한 것이 아니다.

  • Ethernet 헤더의 DA/SA와 ARP 본문의 SHA/SPA/THA/TPA는 위치와 역할이 다른 필드이다.
• 길이와 패딩Ethernet·IPv4 조합의 본문은 28바이트이다. 비태그 Ethernet에서는 46바이트 데이터·패딩 최소를 맞추기 위해 18바이트 패딩이 붙을 수 있다.

  • 이 패딩을 ARP 주소 필드에 포함하지 않는다.
  • 헤더 14+ARP 28+패딩 18+FCS 4=64바이트이며 FCS가 제거된 일반 캡처에서는 60바이트로 보일 수 있다.
  • 태그와 송신 offload 조건에 따라 캡처 길이 해석은 달라진다.

03유형·길이·Opcode·주소 필드를 분해하기

• 유형·주소 길이HTYPE 0x0001은 Ethernet, PTYPE 0x0800은 해석할 프로토콜 주소가 IPv4임을 나타낸다. HLEN 6과 PLEN 4는 각각 MAC과 IPv4 주소의 바이트 수이다.

  • 이 값 때문에 이후 주소 필드의 길이를 알 수 있으며 ARP의 모든 매체·프로토콜 조합이 항상 28바이트인 것은 아니다.
• Opcode·주소 필드OPER 1은 Request, 2는 Reply이다. SHA와 SPA는 발신자 하드웨어·프로토콜 주소이고 THA와 TPA는 대상의 두 주소이다.

  • Sender IP의 약어는 SPA이며 THA가 아니다.
  • 초기 Request에서는 대상의 MAC을 모르므로 THA를 0으로 두지만, 실제 프레임의 Ethernet DA는 ff:ff:ff:ff:ff:ff로 하여 같은 링크에 전달한다.

04ARP Request·Reply와 후속 IP 전송

• 주소 계획A는 192.0.2.10 / 02:00:00:00:00:0a, 게이트웨이 G는 192.0.2.1 / 02:00:00:00:00:01이다.
• 독립적인 스위치 학습스위치는 ARP 주소 대응과 별도로 Ethernet SA를 보고 VLAN·MAC→포트를 학습한다.

1. 게이트웨이 선택원격 목적지의 경로가 G를 가리키고 유효한 이웃 캐시가 없다면 G의 MAC을 조회한다. 최종 IP 목적지는 원격 서버다.
2. Request 브로드캐스트A는 Ethernet DA를 ff:ff:ff:ff:ff:ff, SPA를 192.0.2.10, TPA를 192.0.2.1로 설정한다. 모르는 대상 MAC인 THA는 0으로 둔다.
3. G가 자신을 식별G는 TPA가 자기 주소임을 확인하고 보통 A에게 유니캐스트 Reply를 보낸다. Reply의 SHA/SPA는 G의 MAC과 .1이다.
4. 응답의 수신자와 캐시Reply의 THA/TPA는 A의 MAC과 .10이다. A는 응답을 처리해 .1→G MAC 대응을 저장한다.
5. 기다리던 패킷 전송A는 원격 서버행 IP 패킷을 G의 MAC으로 캡슐화한다. IP 목적지를 게이트웨이 .1로 바꾸는 과정은 아니다.

Request:
 Ethernet DA ff:ff:ff:ff:ff:ff   SA 02:00:00:00:00:0a
 ARP op=1  SHA=02:00:00:00:00:0a  SPA=192.0.2.10
           THA=00:00:00:00:00:00  TPA=192.0.2.1
Reply:
 Ethernet DA 02:00:00:00:00:0a   SA 02:00:00:00:00:01
 ARP op=2  SHA=02:00:00:00:00:01  SPA=192.0.2.1
           THA=02:00:00:00:00:0a  TPA=192.0.2.10

정상 ARP 교환의 합성 값. 서로 다른 헤더의 주소를 구분해 읽는다.

06캐시의 상태와 반복 요청을 읽기

• 이웃 캐시 상태ARP 캐시는 IP→MAC 대응을 보관하며 인터페이스와 동적·정적 속성, 유효성 관련 상태를 함께 관리할 수 있다. Linux의 ip neigh는 REACHABLE·STALE·DELAY·PROBE·INCOMPLETE·FAILED처럼 이웃 계층 상태를 보여준다.

  • STALE은 즉시 고장났다는 뜻이 아니라 최근 도달성을 다시 확인할 필요가 있는 상태이다.
  • 갱신·만료 시간은 운영체제와 설정에 따라 달라진다.
• 해석 실패 조건INCOMPLETE에서 Request를 재시도하다 FAILED가 되는 흐름은 MAC 해석이 완료되지 않았음을 뜻한다. 대상이 없거나 VLAN이 다르거나 링크·보안 정책이 막을 수 있다.

  • Reply가 캡처되었다는 사실만으로 해당 OS가 캐시에 반영했다고 단정할 수도 없다.
  • 수집 인터페이스와 수신 정책, 중복 주소를 구분해야 한다.
  • 요청하지 않은 Reply의 수용 여부도 구현과 기존 항목에 따라 달라 “무조건 캐시가 바뀐다”는 규칙은 아니다.

08Probe와 Announcement를 구분하는 필드

• ARP ProbeRFC 5227의 ARP Probe는 사용하려는 주소가 이미 있는지 조사한다. Ethernet 브로드캐스트 Request에서 SPA는 0.0.0.0이고 TPA는 사용하려는 후보 주소이다.

  • 아직 그 주소를 정당하게 소유한다고 주장하지 않기 위한 구성이다.
  • 다른 장비가 후보 주소를 이미 사용함을 알리거나 경쟁 Probe가 관찰되면 충돌 판단에 쓰인다.
• ARP AnnouncementARP Announcement는 주소를 사용하기로 한 뒤 그 대응을 알리는 Request 형식이다. SPA와 TPA를 모두 자신의 주소로 두고 브로드캐스트한다.

  • 두 형식을 모두 단순히 GARP Request라고만 부르면 0.0.0.0과 자기 주소의 차이를 놓친다.
  • Gratuitous ARP라는 넓은 표현에는 운영체제·이중화 장비가 자발적으로 보내는 Request 또는 Reply도 포함될 수 있으므로 Opcode와 주소 필드로 목적을 읽는다.

수업 원본 자료

ARP Reply의 주소 필드 읽기

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. Ethernet의 Destination/Source와 ARP의 Sender/Target 필드는 서로 다른 계층의 값입니다. 항목 이름이 비슷해도 동일한 필드로 취급하지 않습니다.
2. Hardware size 6은 MAC 주소 길이, Protocol size 4는 이 예시의 IPv4 주소 길이입니다. Opcode reply (2)로 요청인지 응답인지 구분합니다.
3. Sender IP와 Target IP가 모두 10.0.0.2이고 Is gratuitous가 true입니다. 일반적인 타 호스트 주소 조회와 구별해 보되, 이 한 장으로 의도나 공격 여부를 단정하지 않습니다.

RFC 826: ARP 필드와 동작 ↗

09중복 주소 탐지의 순서와 시간

• 무작위 간격동시에 부팅한 호스트들이 같은 시점에 검사하는 충돌을 줄이기 위해 무작위 대기를 둔다. 아래는 RFC 5227의 기본 ACD 절차다.
• 구현·충돌 해석모든 OS의 화면 타이밍이 동일한 것은 아니다. 주소 사용 중 충돌에는 방어 Announcement 또는 사용 중단 정책이 관계된다.
• 복수 MAC의 원인같은 IP에 여러 MAC이 보이면 중복 설정·이중화 전환·가상 MAC·위조를 구분한다. 한 패킷만으로 공격을 확정하지 않는다.

1. 초기 대기주소 후보를 정한 뒤 0~1초의 무작위 지연을 둔다.
2. 세 번의 ProbeProbe를 총 3회 보내며 간격은 1~2초 사이에서 고른다. 후보 주소의 중복 여부를 관찰한다.
3. Announcement 전 대기충돌이 없다면 마지막 Probe 후 2초를 기다린다.
4. 주소 대응 알림Announcement를 기본 2회, 2초 간격으로 전송한다. Probe의 미지정 SPA와 달리 자신의 주소 대응을 알리는 단계다.

10Proxy ARP는 일반 게이트웨이 통신의 필수 단계가 아니다

• 대신 응답하는 기능Proxy ARP는 라우터가 다른 대상의 IP에 대해 자신의 MAC으로 대신 응답하는 기능이다. 예를 들어 호스트가 잘못 넓은 마스크로 원격 주소도 직접 연결로 판단하면 그 원격 IP를 ARP할 수 있다.

  • 라우터의 Proxy ARP와 경로가 맞으면 자신의 MAC으로 응답하여 통신이 우연히 이어질 수 있다.
  • 이 경우 설정 오류가 가려진다.
• 일반 게이트웨이 통신정상 원격 통신에서는 호스트가 gateway IP를 ARP하고 라우터가 자신의 주소에 답하므로 Proxy ARP가 필요 없다. 라우터가 Ethernet MAC을 읽지 않는다는 설명도 틀리다.

  • 수신 링크에서 자기에게 온 프레임을 처리한 후 IP를 보고 다음 홉을 결정하는 것이므로 링크 계층 처리가 전제된다.

11RARP·Inverse ARP·ND의 차이

• RARP·Inverse ARPRARP는 부팅한 장비가 자신의 하드웨어 주소를 근거로 서버에게 자기 네트워크 주소를 묻던 역사적 프로토콜이다. DHCP와 같은 현대 주소 설정 절차와 목적은 일부 겹치지만 일반적인 ARP Reply를 거꾸로 읽는 기능은 아니다.

  • Inverse ARP는 Frame Relay에서 이미 알고 있는 DLCI 등의 링크 식별자 너머 상대의 프로토콜 주소를 찾는 데 사용된다.
• IPv6 ND·검증 경계Inverse ARP는 통신 사업자에게 자신의 DLCI를 요청하는 절차가 아니며 LMI와도 다르다. IPv6는 ARP 대신 ICMPv6 Neighbor Discovery의 NS/NA와 multicast를 사용한다.

  • IPv4의 ARP 브로드캐스트를 IPv6에 그대로 적용하지 않는다.
  • 강한 자체 인증이 없는 ARP의 한계는 DHCP Snooping 바인딩 기반 DAI 같은 정책과 상위 계층 인증을 함께 이해할 때 드러난다.

12필드·캐시·출력 프레임을 연결하는 실습

• 다섯 값의 연결한 번의 통신에서 라우팅 조회의 next hop, ARP Request의 TPA, Reply의 SHA, 캐시 항목, 후속 IP 프레임의 Ethernet DA가 이어지는지 읽는다. 이 다섯 값이 맞으면 MAC 해석과 링크 목적지 선택 과정을 설명할 수 있다.

  • 후속 TCP가 실패한다고 성공한 ARP를 다시 실패로 분류하지 않는다.
• 캐시와 메시지 분류캐시를 지우는 실습은 새 요청을 보기 위한 방법이지만 다른 통신에 영향을 줄 수 있으므로 여기서는 조회 예만 사용한다.

  • 수업 화면에서 반복 Request와 정상 Reply, 주소 알림을 서로 다른 유형으로 분류하고 packet opcode와 address 필드를 근거로 설명하면 ARP에 대한 기술 이해를 증명할 수 있다.

ip neigh show
ip route get 203.0.113.20
arp -a
show ip arp

Wireshark display filter:
arp
arp.opcode == 1
arp.opcode == 2

읽기 전용 예. OS·장비별로 해당하는 명령을 선택한다.