Proxy ARP

topic - Kurzbeschreibung

Beschreibung

Proxy ARP erlaubt einem Router, ARP-Anforderungen für Hosts zu beantworten.

Die Hosts befinden sich dabei in durch einen Router getrennten Netzen – verwenden untypischerweise jedoch den gleichen IP-Adressbereich. Bei der Kommunikation ist für die Hosts der Router transparent, d. h. er braucht nicht speziell angesprochen zu werden, sondern die Hosts können wie gewöhnlich Pakete über verschiedene Netze hinweg versenden.

Sendet Computer A eine ARP-Anforderung an Computer B, reagiert der dazwischen liegende Router anstelle des Computers B mit einer ARP-Antwort und der Hardware-Adresse der Schnittstelle (MAC-Adresse des Ports am Router), auf der die Anfrage empfangen wurde. Der anfragende Computer A sendet dann seine Daten an den Router, der sie dann an Computer B weiterleitet.

Proxy ARP kann man am ARP-Cache von Computer A erkennen. Falls für mehrere IP-Adressen dieselbe MAC-Adresse eingetragen ist, arbeitet der Router mit dieser MAC-Adresse als Proxy. Die Einträge können auch ein Hinweis auf einen Angriff durch ARP-Spoofing sein.

Proxy-ARP ist eine Technik, bei der ein Proxy-Server in einem bestimmten Netz die Address Resolution Protocol (ARP)-Anfragen für eine IP-Adresse beantwortet, die sich nicht in diesem Netz befindet. Der Proxy kennt den Zielort des Datenverkehrs und bietet seine eigene MAC-Adresse als (vorgeblich endgültiges) Ziel an.[1] Der an die Proxy-Adresse gerichtete Datenverkehr wird dann in der Regel vom Proxy über eine andere Schnittstelle oder über einen Tunnel an das beabsichtigte Ziel geleitet.

Der Prozess, der dazu führt, dass der Proxy-Server mit seiner eigenen MAC-Adresse auf eine ARP-Anfrage nach einer anderen IP-Adresse für Proxy-Zwecke antwortet, wird manchmal als Publishing bezeichnet.

Einleitung

In diesem Dokument wird das Konzept des Proxy Address Resolution Protocol (ARP) erläutert. Proxy-ARP ist das Verfahren, bei dem ein Host, in der Regel ein Router, ARP-Anforderungen für einen anderen Rechner beantwortet. Durch "Fälschen" seiner Identität übernimmt der Router die Verantwortung für das Routing von Paketen an das "echte" Ziel. Proxy-ARP kann Computer in einem Subnetz dabei unterstützen, entfernte Subnetze zu erreichen, ohne dass Routing oder ein Standard-Gateway konfiguriert werden müssen. Proxy ARP wird in RFC 1027 definiert.

Siehe auch

Links

Weblinks

1. https://de.wikipedia.org/wiki/Address_Resolution_Protocol#Proxy_ARP
2. Multi-LAN Address Resolution. RFC 925.
3. Using ARP to Implement Transparent Subnet Gateways. RFC 1027.
4. W. Richard Stevens. The Protocols (TCP/IP Illustrated, Volume 1). Addison-Wesley Professional; 1st edition (December 31, 1993). ISBN 0-201-63346-9
5. https://en.wikipedia.org/wiki/Proxy_ARP

Testfragen

Testfrage 1

Antwort1

Testfrage 2

Antwort2

Testfrage 3

Antwort3

Testfrage 4

Antwort4

Testfrage 5

Antwort5

TMP

Proxy ARP

Voraussetzungen

Anforderungen

Für dieses Dokument müssen die ARP- und Ethernet-Umgebung verstanden werden

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco IOS® Softwareversion 12.2 (10b)
• Router der Cisco 2500 Serie

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn sich Ihr Netzwerk in der Produktionsumgebung befindet, müssen Sie sich bei jedem Befehl zunächst dessen potenzielle Auswirkungen vor Augen führen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Wie funktioniert Proxy-ARP?

Dies ist ein Beispiel für die Funktionsweise von Proxy-ARP:

Netzwerkdiagramm

"network diagram"

Host A (172.16.10.100) in Subnetz A muss Pakete an Host D (172.16.20.200) in Subnetz B senden. Wie im Diagramm gezeigt, verfügt Host A über eine /16-Subnetzmaske. Das bedeutet, dass Host A glaubt, direkt mit dem gesamten Netzwerk 172.16.0.0 verbunden zu sein. Wenn Host A mit Geräten kommunizieren muss, die seiner Meinung nach direkt verbunden sind, sendet er eine ARP-Anforderung an das Ziel. Wenn Host A ein Paket an Host D senden muss, glaubt Host A, dass Host D direkt verbunden ist, und sendet daher eine ARP-Anforderung an Host D.

Um Host D (172.16.20.200) zu erreichen, benötigt Host A die MAC-Adresse von Host D.

Host A sendet daher eine ARP-Anforderung an Subnetz A, wie dargestellt:

MAC-Adresse des Absenders	IP-Adresse des Absenders	MAC-Zieladresse	Target IP address
00-00-0c-94-36-aa	172.16.10.100	00-00-00-00-00-00	172.16.20.200

In dieser ARP-Anforderung fordert Host A (172.16.10.100) an, dass Host D (172.16.20.200) seine MAC-Adresse sendet. Das ARP-Anforderungspaket wird dann in einem Ethernet-Frame mit der MAC-Adresse von Host A als Quelladresse und einer Broadcast-Adresse (FFFF.FFFF.FFFF) als Zieladresse gekapselt. Da es sich bei der ARP-Anforderung um eine Broadcast-Anforderung handelt, erreicht sie alle Knoten im Subnetz A, das die e0-Schnittstelle des Routers enthält, jedoch nicht Host D. Der Broadcast erreicht Host D nicht, da die Router standardmäßig keine Broadcasts weiterleiten.

Da der Router weiß, dass sich die Zieladresse (172.16.20.200) in einem anderen Subnetz befindet und Host D erreichen kann, antwortet er mit seiner eigenen MAC-Adresse auf Host A.

MAC-Adresse des Absenders	IP-Adresse des Absenders	MAC-Zieladresse	Target IP address
00-00-0c-94-36-ab	172.16.20.200	00-00-0c-94-36-aa	172.16.10.100

Dies ist die Proxy-ARP-Antwort, die der Router an Host A sendet. Das Proxy-ARP-Antwortpaket wird in einem Ethernet-Frame mit der MAC-Adresse des Routers als Quelladresse und der MAC-Adresse von Host A als Zieladresse eingekapselt. Die ARP-Antworten werden immer als Unicast an den ursprünglichen Anforderer gesendet.

Nach Erhalt dieser ARP-Antwort aktualisiert Host A seine ARP-Tabelle wie folgt:

IP-Adresse	MAC-Adresse
172.16.20.200	00-00-0c-94-36-ab

Von nun an leitet Host A alle Pakete, die 172.16.20.200 (Host D) erreichen sollen, an die MAC-Adresse 00-00-0c-94-36-ab (Router) weiter. Da der Router weiß, wie er Host D erreicht, leitet der Router das Paket an Host D weiter. Der ARP-Cache auf den Hosts in Subnetz A wird mit der MAC-Adresse des Routers für alle Hosts in Subnetz B gefüllt. Daher werden alle Pakete, die an Subnetz B gerichtet sind, an den Router gesendet. Der Router leitet diese Pakete an die Hosts in Subnetz B weiter.

Der ARP-Cache von Host A ist in der folgenden Tabelle dargestellt:

IP-Adresse	MAC-Adresse
172.16.20.200	00-00-0c-94-36-ab
172.16.20.100	00-00-0c-94-36-ab
172.16.10.99	00-00-0c-94-36-ab
172.16.10.200	00-00-0c-94-36-bb

Hinweis: Einer einzelnen MAC-Adresse, der MAC-Adresse dieses Routers, werden mehrere IP-Adressen zugeordnet. Dies zeigt an, dass Proxy-ARP verwendet wird.

Die Cisco-Schnittstelle muss so konfiguriert werden, dass sie Proxy-ARP akzeptiert und darauf reagiert. Dies ist standardmäßig aktiviert. Die Fehlermeldung no ip proxy-arp muss auf der Schnittstelle des mit dem ISP-Router verbundenen Routers konfiguriert werden. Proxy-ARP kann über den Schnittstellenkonfigurationsbefehl für jede Schnittstelle einzeln deaktiviert werden. no ip proxy-arp, wie dargestellt:

Router# configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)# interface ethernet 0 Router(config-if)# no ip proxy-arp Router(config-if)# ^Z Router#

Um den Proxy-ARP auf einer Schnittstelle zu aktivieren, geben Sie ip proxy-arp interface configuration-Befehl.

Hinweis: Wenn Host B (172.16.10.200/24) in Subnetz A versucht, Pakete an Ziel-Host D (172.16.20.200) in Subnetz B zu senden, prüft er dessen IP-Routing-Tabelle und leitet das Paket entsprechend weiter. Host B (172.16.10.200/24) führt für die IP-Adresse von Host D (172.16.20.200) kein ARP aus, da er zu einem anderen Subnetz gehört als das, was auf der Host-B-Ethernet-Schnittstelle 172.16.20.200/24 konfiguriert ist.

Vorteile von Proxy-ARP

Der Hauptvorteil des Proxy-ARP besteht darin, dass es einem einzelnen Router in einem Netzwerk hinzugefügt werden kann und die Routing-Tabellen der anderen Router im Netzwerk nicht stört.

Proxy-ARP muss im Netzwerk verwendet werden, in dem IP-Hosts nicht mit einem Standard-Gateway konfiguriert sind oder über keine intelligenten Routingfunktionen verfügen.

Nachteile von Proxy-ARP

Hosts haben keine Ahnung von den physischen Details ihres Netzwerks und nehmen an, dass es sich um ein flaches Netzwerk handelt, in dem sie jedes Ziel erreichen können, indem sie einfach eine ARP-Anfrage senden. Die Verwendung von ARP hat jedoch Nachteile. Dies sind einige der Nachteile: * Dies erhöht den ARP-Datenverkehr in Ihrem Segment.

• Hosts benötigen größere ARP-Tabellen, um IP-MAC-Adresszuordnungen handhaben zu können.
• Sicherheit kann untergraben werden. Eine Maschine kann behaupten, eine andere zu sein, um Pakete abzufangen, was als "Spoofing" bezeichnet wird.
• Dies funktioniert nicht in Netzwerken, die ARP nicht für die Adressauflösung verwenden.
• Es wird nicht für alle Netzwerktopologien verallgemeinert. Beispiel: mehrere Router, die zwei physische Netzwerke verbinden.

Zugehörige Informationen

• IP-Supportressourcen
• NAT-Support-Seite
• Tools und Ressourcen
• Technischer Support und Dokumentation für Cisco Systeme

https://www.cisco.com/c/de_de/support/docs/ip/dynamic-address-allocation-resolution/13718-5.html

Proxy ARP

Anwendungen

Typische Anwendungen für Proxy-ARP

Beitritt zu einem Broadcast-LAN mit seriellen Verbindungen (z. B. dialup oder VPN Verbindungen).

Angenommen, es handelt sich um eine Ethernet-Broadcast-Domäne (z. B. eine Gruppe von Stationen, die mit demselben Hub oder Switch (VLAN) verbunden sind), die einen bestimmten IPv4-Adressbereich verwendet (z. B. 192.168.0.0/24, wobei 192.168.0.1 - 192.168.0.127 den verkabelten Knoten zugewiesen sind). Einer oder mehrere der Knoten ist ein access router, der Einwahl- oder VPN-Verbindungen annimmt. Der Zugangsrouter weist den Einwahlknoten IP-Adressen im Bereich 192.168.0.128 - 192.168.0.254 zu; für dieses Beispiel wird angenommen, dass ein Einwahlknoten die IP-Adresse 192.168.0.254 erhält.

Der Zugangsrouter verwendet Proxy-ARP, um den Einwahlknoten im Subnetz präsent zu machen, ohne mit dem Ethernet verkabelt zu sein: Der Zugangsrouter "veröffentlicht" seine eigene MAC-Adresse für 192.168.0.254. Wenn nun ein anderer Knoten, der mit dem Ethernet verbunden ist, mit dem Einwahlknoten sprechen will, wird er im Netz nach der MAC-Adresse 192.168.0.254 fragen und die MAC-Adresse des Zugangsrouters finden. Er sendet also seine IP-Pakete an den Access-Router, und der Access-Router weiß, dass er sie an den jeweiligen Einwahlknoten weiterleiten muss. Alle Einwahlknoten erscheinen daher den verkabelten Ethernet-Knoten so, als ob sie mit demselben Ethernet-Subnetz verkabelt wären.

Entnahme mehrerer Adressen aus einem LAN

Nehmen wir an, eine Station (z. B. ein Server) mit einer Schnittstelle (10.0.0.2) ist mit einem Netzwerk (10.0.0.0/24) verbunden. Bestimmte Anwendungen können mehrere IP-Adressen auf dem Server erfordern. Unter der Voraussetzung, dass die Adressen aus dem Bereich 10.0.0.0/24 stammen müssen, wird das Problem durch Proxy-ARP gelöst. Zusätzliche Adressen (z. B. 10.0.0.230-10.0.0.240) werden aliased auf die loopback-Schnittstelle des Servers gelegt (oder speziellen Schnittstellen zugewiesen, was typischerweise bei VMware/UML/jails/vservers/anderen virtuellen Serverumgebungen der Fall ist) und auf der 10.0.0.2-Schnittstelle "veröffentlicht" (obwohl viele Betriebssysteme die direkte Zuweisung mehrerer Adressen zu einer Schnittstelle erlauben, so dass derartige Umgehungen nicht erforderlich sind).

Auf einer Firewall

In diesem Szenario kann eine Firewall mit einer einzigen IP-Adresse konfiguriert werden. Ein einfaches Beispiel für eine solche Anwendung wäre die Platzierung einer Firewall vor einem einzelnen Host oder einer Gruppe von Hosts in einem Subnetz. Beispiel: Ein Netzwerk (10.0.0.0/8) hat einen Server (10.0.0.20), der geschützt werden soll. Eine Proxy-ARP-Firewall kann vor dem Server platziert werden. Auf diese Weise wird der Server hinter eine Firewall gestellt, ohne dass weitere Änderungen am Netzwerk vorgenommen werden müssen.

Mobile-IP

Im Falle von Mobile-IP verwendet der Home Agent Proxy-ARP, um Nachrichten im Namen des mobilen Knotens zu empfangen, damit er die entsprechende Nachricht an die Adresse des tatsächlichen mobilen Knotens (Care-of address) weiterleiten kann.

Transparentes Subnetz-Gatewaying

Eine Einrichtung, bei der zwei physische Segmente dasselbe IP-Subnetz nutzen und über einen router miteinander verbunden sind. Diese Verwendung ist in RFC 1027 dokumentiert.

Redundanz

ARP-Manipulationstechniken sind die Grundlage für Protokolle, die redundancy in Broadcast-Netzwerken (z. B. Ethernet) bieten, insbesondere Common Address Redundancy Protocol und Virtual Router Redundancy Protocol.

Nachteile

Zu den Nachteilen von Proxy-ARP gehören die Skalierbarkeit, da für jedes Gerät, das auf diese Weise geroutet wird, eine ARP-Auflösung durch einen Proxy erforderlich ist, und die Zuverlässigkeit, da kein Fallback-Mechanismus vorhanden ist und das Masquerading in manchen Umgebungen verwirrend sein kann.

Proxy-ARP kann zu DoS-Angriffen auf Netzwerke führen, wenn es falsch konfiguriert ist. Ein falsch konfigurierter Router mit Proxy-ARP ist beispielsweise in der Lage, für andere Hosts bestimmte Pakete zu empfangen (da er seine eigene MAC-Adresse als Antwort auf ARP-Anfragen für andere Hosts/Router angibt), kann diese Pakete aber möglicherweise nicht korrekt an ihr endgültiges Ziel weiterleiten und so den Datenverkehr blockieren.

Proxy-ARP kann Fehlkonfigurationen von Geräten verbergen, wie z. B. ein fehlendes oder falsches default gateway.

Implementierungen

• OpenBSD implements proxy ARP.[2]
• Linux implements proxy ARP.[3]

References

1. Hal Stern (October 10, 2001). "ARP networking tricks". ITworld.
2. "arp(8) man page".
3. "Pseudo-bridges with Proxy-ARP".