Complementando o
post que eu fiz para o how2ubuntu dias atrás, neste post irei postar mais algumas dicas, e curiosidades sobre o protocolo ARP que encontrei na internet.
Todos os créditos dos respectivos sites estão postados juntamente com o seu conteúdo.
[...] a tabela de cache arp pode ser manipulada pelos comandos ip neighbor e arp.
Exemplo de uma conversa capturada com o tcpdump
[root@charlespito]# tcpdump -ennqti eth0 \( arp or icmp \)tcpdump: listening on eth0
1- 0:80:c8:f8:4a:51 ff:ff:ff:ff:ff:ff 42: arp who-has 192.168.99.254 tell 192.168.99.35
2- 0:80:c8:f8:5c:73 0:80:c8:f8:4a:51 60: arp reply 192.168.99.254 is-at 0:80:c8:f8:5c:73
3- 0:80:c8:f8:4a:51 0:80:c8:f8:5c:73 98: 192.168.99.35 > 192.168.99.254: icmp: echo request (DF)
4- 0:80:c8:f8:5c:73 0:80:c8:f8:4a:51 98: 192.168.99.254 > 192.168.99.35: icmp: echo reply
Na primeira linha, um pacote do tipo broadcast ff:ff:ff:ff:ff:ff contendo uma requisição arp, pergunta quem tem o ip 192.168.99.254 avise 192.168.99.35.
Na segunda linha, um pacote do tipo arp reply é enviado pelo host dono do ip 192.168.99.254, dizendo: 192.168.99.254 está em
0:80:c8:f8:5c:73
Exemplo de Arp Gratuito
[root@tristan]# arping -q -c 3 -A -I eth0 192.168.99.35[root@masq-gw]# tcpdump -c 3 -nni eth2 arptcpdump: listening on eth2
06:02:50.626330 arp reply 192.168.99.35 is-at 0:80:c8:f8:4a:51 (0:80:c8:f8:4a:51)
06:02:51.622727 arp reply 192.168.99.35 is-at 0:80:c8:f8:4a:51 (0:80:c8:f8:4a:51)
06:02:52.620954 arp reply 192.168.99.35 is-at 0:80:c8:f8:4a:51 (0:80:c8:f8:4a:51)
ARP não solicitados
[root@tristan]# arping -q -c 3 -U -I eth0 192.168.99.35[root@masq-gw]# tcpdump -c 3 -nni eth2 arptcpdump: listening on eth2
06:28:23.172068 arp who-has 192.168.99.35 (ff:ff:ff:ff:ff:ff) tell 192.168.99.35
06:28:24.167290 arp who-has 192.168.99.35 (ff:ff:ff:ff:ff:ff) tell 192.168.99.35
06:28:25.167250 arp who-has 192.168.99.35 (ff:ff:ff:ff:ff:ff) tell 192.168.99.35
Eliminando entradas
sudo arp -d 192.168.1.1 // entrada específica
ou
sudo arp -d * // todas entradas
Ip Neighbor
$ sudo ip neighbor show 192.168.99.7
192.168.99.7 dev eth0 lladdr 00:80:c8:e8:1e:fc nud reachable
$ sudo ip neighbor show 192.168.99.7
192.168.99.7 dev eth0 lladdr 00:80:c8:e8:1e:fc nud stale
$ sudo ip neighbor show 192.168.99.7
192.168.99.7 dev eth0 lladdr 00:80:c8:e8:1e:fc nud delay
$ sudo ip neighbor show 192.168.99.7
192.168.99.7 dev eth0 lladdr 00:80:c8e8:1e:fc nud probe
$ sudo ip neighbor show 192.168.99.7
192.168.99.7 dev eth0 nud incomplete
Créditos:
http://linux-ip.net/html/ether-arp.html
1. permanent: é um registro noarp, mas apenas o administrador pode remover o registro da tabela de vizinhos.
2. noarp: o vizinho é válido. Nenhuma tentativa para checar o registro será feita.
3. reachable: o vizinho é válido e aparentemente alcançável.
4. stale: o vizinho é válido, mas provavelmente não pode ser alcançado. O kernel vai tentar checá-lo na primeira transmissão.
5. delay: o pacote foi enviado para o vizinho envelhecido (stale) e o kernel está aguardando uma confirmação.
6. probe: o timer de retardo expirou, mas nenhuma confirmação foi recebida. O kernel começou a testar o vizinho com mensagens ARP/NDISC.
7. incomplete: o vizinho está no processo de resolução.
8. failed: a resolução falhou.
. none: o estado do vizinho é void.
Créditos:
http://www.numaboa.com/informatica/linux/configuracoes/704-iproute2?start=12
--
echo 1 > /proc/sys/net/ipv4/conf/all/arp_filter
echo 2 > /proc/sys/net/ipv4/conf/all/rp_filter
• arp_filter
A variável arp_filter conta ao kernel se um endereço IP deve ser ligado com um
endereço ARP específico ou não. O kernel decide, se responde para um pacote
específico entrando numa interface, se ele envia a resposta pelo mesmo
endereço da interface ou não. Se o arp_filter é verdadeiro (1) isso é o que
acontece. O valor default é falso (0).
• rp_filter
Esta variável atribui o filtro de caminho reverso (reverse path - rp) para uma
interface. O RP serve para validar que o atual endereço de origem usados por
alguns pacotes estejam correlacionados com uma tabela de rotas e que pacotes
com este IP de origem são supostamente respondidos através da mesma
interface. (Verificar os comportamentos na RFC 1812).
Fonte: Construindo Roteadores com Linux
