Cisco CCNAv7 - Tabela ARP e riscos de segurança

Introdução

A tabela ARP é uma das primeiras coisas que se consulta ao investigar um problema de conectividade na rede local. Neste post, você vai ver como ler e limpar a tabela ARP em vários sistemas e entender por que o ARP, que não tem nenhum mecanismo de autenticação, é um alvo conhecido de ataques, e como as redes se protegem.

Consultando a tabela ARP

Sistema	Comando
Windows	arp -a
Linux	ip neigh show (ou arp -n, se o pacote net-tools estiver instalado)
macOS	arp -a
Roteadores Cisco (IOS)	show ip arp

No Windows

arp -a

Saída (exemplo):

Interface: 192.168.1.10 --- 0x4
  Endereço IP           Endereço Físico       Tipo
  192.168.1.1           00-1a-2b-3c-4d-5e     dinâmico
  192.168.1.20          00-aa-bb-cc-dd-ee     dinâmico
  192.168.1.255         ff-ff-ff-ff-ff-ff     estático

Coluna	Significado
Endereço IP	O IP resolvido
Endereço Físico	O MAC correspondente
Tipo	dinâmico (aprendido via ARP) ou estático (fixo, como o broadcast)

No Linux

ip neigh show

Saída (exemplo):

192.168.1.1 dev eth0 lladdr 00:1a:2b:3c:4d:5e REACHABLE
192.168.1.20 dev eth0 lladdr 00:aa:bb:cc:dd:ee STALE

Campo	Significado
lladdr	O MAC (link-layer address)
REACHABLE	A entrada foi confirmada recentemente
STALE	A entrada está velha e será revalidada quando for usada

No roteador Cisco

Router#show ip arp

Saída (exemplo):

Protocol  Address        Age (min)  Hardware Addr   Type  Interface
Internet  192.168.1.1            -  0001.4a2b.1c3d  ARPA  GigabitEthernet0/0
Internet  192.168.1.10           3  0002.5b3c.2d4e  ARPA  GigabitEthernet0/0

Coluna	Significado
Address	O IP
Age (min)	Há quantos minutos a entrada existe. O ”-” indica o endereço da própria interface do roteador
Hardware Addr	O MAC (no formato Cisco, com pontos)
Type	ARPA = encapsulamento Ethernet
Interface	A interface por onde a entrada foi aprendida

Limpando a tabela ARP

Limpar o cache é útil quando um dispositivo foi trocado (mesmo IP, novo MAC) e as entradas antigas atrapalham.

Sistema	Comando
Windows (como administrador)	arp -d *
Linux (como root)	sudo ip neigh flush all
Roteador Cisco	clear arp-cache (modo privilegiado)

Atenção

Em um equipamento em produção, limpar a tabela ARP provoca nova rodada de requisições (broadcasts) e pode gerar uma breve queda de desempenho. Faça isso com consciência.

Entradas estáticas

É possível fixar um par IP ⇄ MAC manualmente. A entrada não expira e não depende de resposta ARP:

No Windows (como administrador):

arp -s 192.168.1.1 00-1a-2b-3c-4d-5e

No Linux (como root):

sudo ip neigh add 192.168.1.1 lladdr 00:1a:2b:3c:4d:5e dev eth0 nud permanent

No roteador Cisco:

Router(config)#arp 192.168.1.50 0002.5b3c.2d4e arpa

Entradas estáticas dão mais segurança, mas exigem manutenção manual: se o MAC mudar, a comunicação falha.

Diagnóstico com a tabela ARP

Sintoma	O que verificar na tabela ARP
Não alcança um host local	O IP dele aparece na tabela? Se aparece como incompleto ou não aparece, o host não respondeu ao ARP
Não alcança nada fora da rede	O MAC do gateway está na tabela? Se não estiver, o ARP para o gateway falhou
Dois IPs diferentes com o mesmo MAC	Pode ser normal (um roteador responde por vários IPs), mas pode indicar ARP spoofing (veja abaixo)
Conexão intermitente depois de trocar um equipamento	Entrada antiga com o MAC desatualizado: limpe o cache

Riscos de segurança do ARP

O ARP foi criado em uma época em que se confiava em todos os dispositivos da rede local. Por isso, ele não tem autenticação: qualquer dispositivo pode enviar uma resposta ARP, mesmo sem ter sido perguntado, e os outros aceitam a informação.

ARP spoofing (envenenamento de ARP)

No ARP spoofing, um dispositivo malicioso na mesma rede local envia respostas ARP falsas, associando o seu próprio MAC ao IP de outro dispositivo (muitas vezes, o do gateway). Os demais hosts atualizam o cache e passam a enviar os quadros ao dispositivo errado.

flowchart LR
  A["Vítima"] -->|"Cache envenenado"| B["Dispositivo malicioso"] -->|"Repassa o tráfego"| C["Gateway"]

Consequência	Descrição
Interceptação (man-in-the-middle)	O invasor vê (e pode alterar) o tráfego da vítima
Negação de serviço	O tráfego é descartado, e a vítima perde conectividade

Note

O ataque exige que o invasor já esteja dentro da rede local, na mesma rede (domínio de broadcast) da vítima. Por isso, a segurança física e o controle de acesso à rede (Wi-Fi com senha forte, portas de switch controladas) são a primeira defesa.

Como se defender

Defesa	Como ajuda
Dynamic ARP Inspection (DAI)	Recurso dos switches gerenciáveis que valida as mensagens ARP e descarta as falsas (usa a base do DHCP snooping). É estudado no CCNA 3
Port security	Limita quais MACs podem usar cada porta do switch
Entradas ARP estáticas	Em equipamentos críticos (por exemplo, o gateway em servidores), fixam o MAC correto
Segmentação com VLANs	Reduz o número de dispositivos que podem atacar uns aos outros
Criptografia ponta a ponta (HTTPS, VPN, SSH)	Mesmo que o tráfego seja desviado, o conteúdo não pode ser lido
Monitoramento	Ferramentas que alertam sobre mudanças inesperadas no MAC do gateway

Dica

Uma checagem simples e útil: anote o MAC do seu gateway (arp -a) quando estiver em uma rede confiável. Se ele mudar sem motivo em uma rede pública, desconfie e evite acessar serviços sensíveis.

Mini laboratório: gerenciando a tabela ARP

Objetivo: consultar, limpar e fixar entradas ARP.

Parte 1: no seu computador

1. Consulte a tabela ARP.

   Linux: ip neigh show. Windows: arp -a.

2. Anote o IP e o MAC do seu gateway.

3. Limpe a tabela (comando da seção Limpando a tabela ARP) e consulte de novo. O que aconteceu?

4. Faça ping para o gateway e consulte a tabela mais uma vez.

Passo	O que foi observado
Tabela antes de limpar	?
Tabela logo após limpar	?
Tabela depois do ping ao gateway	?

Parte 2: no Packet Tracer

Topologia: 2 PCs e 1 roteador, com 2 redes (192.168.1.0/24 e 10.0.0.0/24), como no laboratório do post anterior.

1. No PC1, rode arp -a (tabela vazia).
2. Faça ping 10.0.0.50 (ou o IP do host da outra rede) e rode arp -a.
3. Observe qual MAC aparece na tabela do PC1: o do gateway ou o do host remoto?
4. No roteador, rode show ip arp. Quais entradas existem e o que significa o ”-” na coluna Age?
5. No roteador, rode clear arp-cache e consulte de novo.

Parte 3: pense na segurança

Responda:

1. Por que o ARP é vulnerável a respostas falsas?
2. Se o MAC do gateway na tabela ARP de um PC passar a ser igual ao MAC de outro host da rede, o que isso pode indicar?
3. Cite duas defesas que um administrador de rede pode adotar.

Ver respostas

Parte 1: logo após limpar, a tabela fica sem entradas dinâmicas (ou quase); depois do ping, o gateway volta a aparecer.

Parte 2: na tabela do PC1 aparece o MAC do gateway (e não o do host remoto). No roteador, aparecem as entradas dos hosts conectados e das próprias interfaces (com ”-” na coluna Age).

Parte 3:

1. Porque o ARP não tem autenticação: qualquer dispositivo pode enviar uma resposta, e os outros a aceitam.
2. Pode indicar ARP spoofing: um host está se passando pelo gateway.
3. Por exemplo: Dynamic ARP Inspection, port security, entradas estáticas, VLANs e criptografia ponta a ponta.

Resumo

• Consulte a tabela ARP com arp -a (Windows e macOS), ip neigh show (Linux) e show ip arp (Cisco).
• Limpe com arp -d *, ip neigh flush all e clear arp-cache.
• Entradas dinâmicas são aprendidas e expiram. Entradas estáticas são fixas e manuais.
• Em diagnóstico, verifique se o IP e o MAC do gateway estão na tabela.
• O ARP não tem autenticação, o que permite o ARP spoofing. As defesas incluem DAI, port security, VLANs, entradas estáticas e criptografia.

Próximo passo

No próximo post, você vai conhecer o NDP, o protocolo que faz no IPv6 o papel do ARP.