我們知道在網(wǎng)絡(luò)中通訊侥啤，都是知道對(duì)方的IP地址后，才能發(fā)起連接勿决，IP地址所在的層是網(wǎng)絡(luò)層，而在網(wǎng)絡(luò)層下面是數(shù)據(jù)鏈路層招盲，這里IP數(shù)據(jù)包繼續(xù)被封裝成以太網(wǎng)數(shù)據(jù)幀，當(dāng)然還有別的數(shù)據(jù)鏈路層格式嘉冒，但是數(shù)據(jù)鏈路層也需要尋址機(jī)制曹货，常常就是48bit的硬件地址,又叫MAC地址。
ARP協(xié)議就是起到在IP地址到對(duì)應(yīng)的硬件地址之間提供映射作用的讳推，所以ARP協(xié)議又叫地址解析協(xié)議顶籽。
基本工作流##
任何時(shí)候，當(dāng)我們發(fā)起一個(gè)網(wǎng)絡(luò)接連時(shí)银觅，無非有以下的過程：
知道目標(biāo)主機(jī)名礼饱，通過
gethostname函數(shù)將主機(jī)名轉(zhuǎn)換為IP地址，這個(gè)函數(shù)在DNS（域名系統(tǒng)）中稱為解析器究驴，這里推薦看一下阮一峰老師的博文：DNS原理入門镊绪。應(yīng)用程序通過TCP或者UDP使用得到的IP建立連接。
如果目標(biāo)主機(jī)在本地網(wǎng)絡(luò)上洒忧，知道IP地址蝴韭，我們就可以找到對(duì)應(yīng)的主機(jī)，如果目標(biāo)主機(jī)在遠(yuǎn)程網(wǎng)絡(luò)中熙侍，系統(tǒng)就會(huì)找位于本地網(wǎng)絡(luò)的下一站路由地址榄鉴，通過IP選路讓路由器轉(zhuǎn)發(fā)IP數(shù)據(jù)報(bào)，這些操作屬于IP協(xié)議的核心蛉抓，在此略過庆尘。
當(dāng)主機(jī)知道IP地址，并把數(shù)據(jù)報(bào)發(fā)過去的過程之前巷送，主機(jī)在鏈路層實(shí)際上是要知道目標(biāo)主機(jī)的物理地址的驶忌，每臺(tái)主機(jī)的物理地址又稱MAC地址是全球唯一的。在這一步笑跛，就需要我們的ARP協(xié)議位岔。
ARP協(xié)議發(fā)送一個(gè)ARP請(qǐng)求如筛，這個(gè)ARP請(qǐng)求是一個(gè)廣播數(shù)據(jù)幀，意味著局域網(wǎng)內(nèi)抒抬，每一臺(tái)機(jī)器都能收到杨刨，ARP數(shù)據(jù)幀中包含著目的主機(jī)的IP地址，因?yàn)槭菑V播發(fā)送擦剑，如果哪臺(tái)主機(jī)擁有這個(gè)IP妖胀，則會(huì)反饋消息，發(fā)回自己的硬件地址惠勒。
得到了目的主機(jī)的硬件地址后赚抡，就包含著IP數(shù)據(jù)報(bào)的以太網(wǎng)數(shù)據(jù)幀就可以正常發(fā)送了。
ARP的分組格式##
在以太網(wǎng)中纠屋，ARP請(qǐng)求和應(yīng)答都有著下面的分組格式涂臣。
以太網(wǎng)的目的地址和源地址：目的以太網(wǎng)地址全為1，即
FF:FF:FF:FF:FF:FF則為廣播地址售担，在本地局域網(wǎng)內(nèi)赁遗，所有的以太網(wǎng)接口都要接收這個(gè)數(shù)據(jù)幀。
幀類型：2個(gè)字節(jié)長的幀類型族铆，告訴我們這個(gè)以太網(wǎng)數(shù)據(jù)幀攜帶的是什么數(shù)據(jù)岩四。對(duì)于ARP來說這兩個(gè)字節(jié)是0x0806，對(duì)于IP數(shù)據(jù)報(bào)是0x0800哥攘，還有RARP（逆地址解析協(xié)議）是0x8035剖煌。
硬件類型和協(xié)議類型：這兩個(gè)字段就是用來描述ARP分組的，硬件類型用來指代需要什么樣的物理地址逝淹，協(xié)議類型則是需要映射的協(xié)議地址類型耕姊。用來描述ARP時(shí)，表達(dá)的就是我有協(xié)議類型IP栅葡，我需要的硬件類型是以太網(wǎng)的物理地址箩做。那么硬件地址就為1，表示以太網(wǎng)地址妥畏，協(xié)議類型是0x0800邦邦，看這邊與前面的幀類型中提到的IP數(shù)據(jù)報(bào)的幀類型是一樣的，這是有意設(shè)計(jì)的醉蚁。
硬件地址長度和協(xié)議地址長度：這里的值分別為6字節(jié)和4字節(jié)燃辖。代表48bit的以太網(wǎng)地址，32bit的IP地址网棍。
操作碼：1=>ARP請(qǐng)求, 2=>ARP應(yīng)答黔龟，3=>RARP請(qǐng)求，4=>RARP應(yīng)答。這些值用于區(qū)分具體操作類型氏身，因?yàn)樽侄味枷嗤±猓员仨氈该鞑僮鞔a，不然連請(qǐng)求還是應(yīng)答都分不清蛋欣。
最后四個(gè)字段：
- 源硬件地址
- 源協(xié)議地址
- 目標(biāo)硬件地址
- 目標(biāo)協(xié)議地址航徙。
注意到這里有兩個(gè)字段是與分組首端重復(fù)的。我們?cè)诎l(fā)送ARP請(qǐng)求時(shí)陷虎，只有目標(biāo)硬件地址是空著的到踏，因?yàn)槲覀冋?qǐng)求的就是它的值，當(dāng)對(duì)應(yīng)機(jī)器收到后尚猿，就會(huì)把自己的硬件地址寫到這個(gè)字段窝稿，并把操作碼改成2，再發(fā)回去凿掂。于是就知道彼此的硬件地址伴榔，開始真正的通訊。
ARP高速緩存##
知道了ARP發(fā)送的原理后庄萎，我們不禁疑惑踪少，如果每次發(fā)之前都要發(fā)送ARP請(qǐng)求硬件地址會(huì)不會(huì)太慢，但是實(shí)際上ARP的運(yùn)行是非常高效的惨恭。那是因?yàn)槊恳粋€(gè)主機(jī)上都有一個(gè)ARP高速緩存，我們可以在命令行鍵入arp -a獲取本機(jī)ARP高速緩存的所有內(nèi)容：
高速緩存中的每一項(xiàng)的生存時(shí)間一般為20分鐘耙旦，有了這些緩存脱羡，我們經(jīng)常直接使用硬件地址，加快速度了免都。
以上說的都是在一個(gè)本地網(wǎng)絡(luò)內(nèi)完成的锉罐，如果ARP請(qǐng)求是從一個(gè)網(wǎng)絡(luò)主機(jī)發(fā)送到另一個(gè)網(wǎng)絡(luò)主機(jī)呢？下面介紹ARP代理的概念
ARP代理##
如果ARP請(qǐng)求是從一個(gè)網(wǎng)絡(luò)主機(jī)發(fā)送到另一個(gè)網(wǎng)絡(luò)主機(jī)绕娘，那么連接這兩個(gè)主機(jī)的路由器就可以回答該請(qǐng)求脓规，這個(gè)過程稱為委托ARP或者ARP代理。我們知道IP路由選擇险领，如果主機(jī)不相連侨舆，我們就把數(shù)據(jù)報(bào)發(fā)送到一默認(rèn)路由上，由路由器來轉(zhuǎn)發(fā)該數(shù)據(jù)報(bào)绢陌。在ARP協(xié)議中挨下，我們發(fā)往網(wǎng)絡(luò)的請(qǐng)求主機(jī)物理地址也會(huì)由路由器回答，得到的就是路由器的物理地址脐湾，發(fā)送方就根據(jù)這個(gè)物理地址把數(shù)據(jù)報(bào)發(fā)送到路由器臭笆，由路由器轉(zhuǎn)發(fā)，再下面的事情由路由器完成，那是屬于IP協(xié)議的事了愁铺，當(dāng)然在那個(gè)過程中鹰霍，也不斷使用ARP協(xié)議獲取每一步的物理地址。
總結(jié)##
目標(biāo)IP與自己在同一網(wǎng)段####
- arp高速緩存有目標(biāo)IP的MAC地址：直接發(fā)送到該物理地址
- arp高速緩存沒有目標(biāo)IP的MAC地址：發(fā)送ARP廣播請(qǐng)求目標(biāo)IP的MAC地址茵乱，緩存該MAC地址茂洒，然后發(fā)數(shù)據(jù)報(bào)到該MAC地址。
目標(biāo)IP與自己不在同一個(gè)網(wǎng)段####
這種情況需要將包發(fā)給默認(rèn)網(wǎng)關(guān)似将，所以主要獲取網(wǎng)關(guān)的MAC地址
- arp高速緩存有默認(rèn)網(wǎng)關(guān)的MAC地址：直接發(fā)送IP數(shù)據(jù)報(bào)道默認(rèn)網(wǎng)關(guān)获黔，再由網(wǎng)關(guān)轉(zhuǎn)發(fā)到外網(wǎng)。
- arp高速緩存沒有默認(rèn)網(wǎng)關(guān)的MAC地址 ：還是發(fā)送ARP廣播請(qǐng)求默認(rèn)網(wǎng)關(guān)的MAC地址在验，緩存該地址玷氏，并且發(fā)送數(shù)據(jù)報(bào)到網(wǎng)關(guān)。
另外一個(gè)話題：ARP欺騙##
ARP欺騙又叫ARP毒化腋舌，英文ARP spoofing盏触，是一種針對(duì)ARP的攻擊方式，這里簡略介紹一下块饺。
運(yùn)行機(jī)制
ARP欺騙主要是攻擊者發(fā)送大量假的ARP數(shù)據(jù)包到網(wǎng)絡(luò)上赞辩，尤其是網(wǎng)關(guān)上。假設(shè)你的網(wǎng)關(guān)的IP地址是192.168.0.2,MAC地址為00-11-22-33-44-55,你發(fā)送的數(shù)據(jù)都會(huì)從這個(gè)MAC地址經(jīng)過授艰，這時(shí)候我發(fā)送大量ARP數(shù)據(jù)包辨嗽，然而我的包是構(gòu)造出來的，IP是你的IP淮腾，但是MAC地址我替換成了我的MAC地址糟需，這時(shí)候你更新你的ARP緩存時(shí)，就會(huì)把我機(jī)器的MAC地址當(dāng)成192.168.0.2的MAC地址谷朝，于是你的流量都到我這來了洲押，我可以把你的數(shù)據(jù)改改再發(fā)給網(wǎng)關(guān)，或者什么都不做圆凰，你都上不了網(wǎng)了杈帐。
防治方法
最理想的用靜態(tài)ARP，不過在大型網(wǎng)絡(luò)不行专钉，因?yàn)锳RP經(jīng)常需要更新挑童，另外一種方法，例如DHCP snooping跃须，網(wǎng)絡(luò)設(shè)備可借由DHCP保留網(wǎng)絡(luò)上各電腦的MAC地址炮沐，在偽造的ARP數(shù)據(jù)包發(fā)出時(shí)即可偵測到。此方式已在一些廠牌的網(wǎng)絡(luò)設(shè)備產(chǎn)品所支持回怜。
參考資料：
- TCP/IP詳解 (卷一：協(xié)議)
- 維基百科：Address Resolution Protocol(ARP)
