ARP协议.doc

ARP协议

1ARP协议概述

IP数据包常通过以太网发送。以太网设备并不识别32位IP地址：它们

是以48位以太网地址传输以太网数据包的。因此，IP驱动器必须把IP

目的地址转换成以太网网目的地址。在这两种地址之间存在着某种静态

的或算法的映射，常常需要查看一张表。地址解析协议(Address

ResolutionProtocol，ARP)就是用来确定这些映象的协议。

ARP工作时，送出一个含有所希望的IP地址的以太网广播数据包。目的

地主机，或另一个代表该主机的系统，以一个含有IP和以太网地址对

的数据包作为应答。发送者将这个地址对高速缓存起来，以节约不必要

的ARP通信。

如果有一个不被信任的节点对本地网络具有写访问许可权，那么也会有

某种风险。这样一台机器可以发布虚假的ARP报文并将所有通信都转向

它自己，然后它就可以扮演某些机器，或者顺便对数据流进行简单的修

改。ARP机制常常是自动起作用的。在特别安全的网络上，ARP映射可

以用固件，并且具有自动抑制协议达到防止干扰的目的。

图1以太网上的ARP报文格式

图1是一个用作IP到以太网地址转换的ARP报文的例子。在图中每一

行为32位，也就是4个八位组表示，在以后的图中，我们也将遵循这

一方式。

硬件类型字段指明了发送方想知道的硬件接口类型，以太网的值为1。

协议类型字段指明了发送方提供的高层协议类型，IP为0806（16进制）。

硬件地址长度和协议长度指明了硬件地址和高层协议地址的长度，这样

ARP报文就可以在任意硬件和任意协议的网络中使用。操作字段用来表

示这个报文的目的，ARP请求为1，ARP响应为2，RARP请求为3，RARP

响应为4。

当发出ARP请求时，发送方填好发送方首部和发送方IP地址，还要填

写目标IP地址。当目标机器收到这个ARP广播包时，就会在响应报文

中填上自己的48位主机地址。

2ARP使用举例

我们先看一下linux下的arp命令(如果开始arp表中的内容为空的话,

需要先对某台主机进行一个连接,例如ping一下目标主机来产生一个

arp项)：

d2server:/home/kerberos#arp

AddressHWtypeHWaddressFlagsMask

Iface

211.161.17.254ether00:04:9A:AD:1C:0AC

eth0

Address：主机的IP地址

Hwtype：主机的硬件类型

Hwaddress：主机的硬件地址

FlagsMask：记录标志，"C"表示arp高速缓存中的条目，"M"表示静态

的arp条目。

用"arp--a"命令可以显示主机地址与IP地址的对应表，也就是机器中

所保存的arp缓存信息。这个高速缓存存放了最近Internet地址到硬

件地址之间的映射记录。高速缓存中每一项的生存时间一般为20分钟，

起始时间从被创建时开始算起。

d2server:/home/kerberos#arp-a

例如

(211.161.17.254)at00:04:9A:AD:1C:0A[ether]oneth0

可以看到在缓存中有一条211.161.17.254相对应的arp缓存条目。

d2server:/home/kerberos#telnet211.161.17.21

Trying211.161.17.21...

Connectedto211.161.17.21.

Escapecharacteris'^]'.

^].

telnet>quit

connetionclosed.

在执行上面一条telnet命令的同时，用tcpdump进行监听：

d2server:/home/kerberos#tcpdump-edsthost211.161.17.21

tcpdump:listeningoneth0

我们将会听到很多包，我们取与我们arp协议相关的2个包：

10.000:D0:F8:0A:FB:83FF:FF:FF:FF:FF:FFarp60

whohas211.161.17.21telld2server

20.002344(0.0021)00:E0:3C:43:0D:2400:D0:F8:0A:FB:83arp

60

arpreply211.161.17.21isat00:E0:3C:43:0D:24

在第1行中，源端主机（d2server）的硬件地址是00:D0:F8:0A:FB:83。

目的端主机的硬件地址是FF:FF:FF:FF:FF:FF，这是一个以太网广播地

址。电缆上的每个以太网接口都要接收这个数据帧并对它进行处理。

第1行中紧接着的一个输出字段是arp