بسیاری از خطاهایی که «مسیریابی خراب است» نامیده می‌شوند، از پیدا نشدن MAC همسایه آغاز می‌شوند. امشب جدول ARP و رفتار Interface را با یک خرابی قابل برگشت می‌خوانیم.

این نوشته بخشی از دورهٔ MTCNA در ۳۰ شب است. مبنای مثال‌ها RouterOS 7 و آزمایشگاه ایزولهٔ دوره است؛ پیش از تغییر، Snapshot و دسترسی Console داشته باشید.

ARP چه چیزی را پیدا می‌کند؟#

ARP نگاشت IPv4 به MAC در همان Segment است. کلاینت برای مقصد Remote، MAC Gateway را می‌پرسد؛ نباید MAC سرور اینترنت را در LAN پیدا کند. جدول ARP با جدول Bridge Host یکی نیست: اولی IP به MAC است، دومی MAC به پورت.

/ip arp print detail
/interface bridge host print
/ping 192.168.50.20 count=4
/ip arp print detail where address=192.168.50.20

از کلاینت B هم جدول Neighbor یا ARP سیستم‌عامل را ببینید. incomplete یا نبود پاسخ ARP را از پاسخ ICMP مسدودشده تفکیک کنید. Ping ناموفق به‌تنهایی نمی‌گوید ARP مشکل دارد.

حالت‌های مهم#

حالتکاربرد درک‌کردنی
enabledیادگیری معمول نگاشت‌های همسایه
disabledبدون فرایند عادی ARP؛ نیازمند طراحی و نگاشت مناسب
reply-onlyپاسخ‌دهی مبتنی بر نگاشت‌های ثبت‌شده؛ مناسب تمرین کنترل تخصیص
proxy-arpروتر به نمایندگی از مقصد پاسخ می‌دهد؛ وابسته به Route
local-proxy-arpنمایندگی در همان Interface؛ برای سناریوی خاص جداسازی میزبان‌ها

Proxy ARP را برای پنهان کردن Mask یا Gateway غلط روشن نکنید. Static ARP و Reply-only جای احراز هویت، Port Security یا جداسازی لایهٔ دوم نیستند.

آزمایشگاه کنترل تخصیص#

روی Clone و با Console، Server شب هشتم را طوری تنظیم کنید که برای Leaseها ARP ایجاد کند:

/ip dhcp-server set [find name="mtcna-dhcp"] add-arp=yes
/ip dhcp-server lease print
/ip arp print

Lease کلاینت B را Renew کنید و ایجاد نگاشت را ببینید. IP مدیریت A ثابت است؛ قبل از تغییر حالت Bridge، نگاشت ثابت صحیح A را با MAC واقعی‌اش از WinBox → IP → ARP اضافه کنید. MAC نمونهٔ دیگران را Paste نکنید.

/interface bridge set [find name="bridge-lan"] arp=reply-only

B دارای Lease معتبر را با یک میزبان آزمایشی دارای IP دستی و بدون نگاشت مقایسه کنید. از Console وضعیت را ببینید؛ Cache کلاینت‌ها ممکن است مشاهدهٔ اولیه را تغییر دهد. هدف بررسی رفتاری است، نه ساخت یک سامانهٔ امنیتی کامل.

بازگشت و خودآزمایی#

/interface bridge set [find name="bridge-lan"] arp=enabled
/ip dhcp-server set [find name="mtcna-dhcp"] add-arp=no

نگاشت ثابت آزمایشی را با انتخاب دقیق حذف کنید. در پایان، A و B باید مجدداً مدیریت و اینترنت داشته باشند. چه MACی برای 192.168.60.20 از دید A استفاده می‌شود؟ چرا MAC ثابت را می‌توان جعل کرد؟ چه فرقی میان ARP و FDB وجود دارد؟

منبع#

ARP .