プロキシ ARP
更新日:
用語解説
プロキシARPは、ルータ等が別の機器のIPv4アドレスを対象とするARP要求に対して、自分のMACアドレスを代理応答し、要求元から受け取ったフレームを本来の宛先へルーティングする仕組みです。要求元には宛先が同じリンク上にあるように見えます。
■ 試験で押さえるポイント
端末Aが宛先Bをオンリンクだと判断してARPをブロードキャストすると、異なるL2セグメント上のBには要求が届きません。中間ルータがBへ到達する経路を持ち、対象インタフェースでProxy ARPを許可していれば、Bの代わりにルータ自身のMACアドレスを返します。
AのARPキャッシュには「BのIPv4アドレス→ルータのMACアドレス」が登録されます。Aが送ったEthernetフレームをルータが受信し、IPヘッダの宛先Bに従って別インタフェースへ転送します。BのMACアドレスをそのまま代理通知する方式ではありません。
Proxy ARPはARPを使うIPv4リンク内の仕組みで、ARPブロードキャストはルータを越えません。IPv6にはARPがなく、Neighbor Discoveryに関する代理動作は別の仕組みとして扱います。
既定ゲートウェイを設定できない旧端末の収容、同一プレフィックスを複数リンクへまたがって見せる構成、特定のリモートアクセス等に使えます。しかし通常は、端末へ正しいプレフィックス長とデフォルトゲートウェイを設定する方が構成を明確にできます。
ルータは到達不能な宛先へ無条件に代理応答してはいけません。経路、受信・送信インタフェース及びポリシーを確認せず応答すると、ブラックホール、ループ又は意図しない経路への転送を招きます。
代理応答はネットワーク境界を端末から隠すため、誤ったサブネットマスクや経路設計が表面化しにくくなり、ARP表とトラフィックも増え得ます。障害解析では端末のARP表、代理応答装置のMAC、経路表及び両側のパケットを追跡します。
ARPには暗号学的認証がないため、偽の代理応答による盗聴・改ざんに注意します。不要なら無効化し、ポート制御、DHCP snoopingとDynamic ARP Inspection、静的なネットワーク境界及び監視を組み合わせます。
■ 過去問での着眼点
プロキシARPではルータが遠隔宛先のIPv4アドレスに対して自分のMACアドレスを返し、受信したフレームをIPルーティングします。本来の宛先MACを通知するのではなく、要求元に宛先がオンリンクであるように見せる点と、IPv4のARPに限定される点を押さえます。ARP応答先は代理ルータ自身のMACアドレスであり、実際の転送にはルータの経路が必要です。
例: 端末Aが192.0.2.20を同一リンクと判断してARP要求を送ったとき、ルータが自分のMACを返すと、Aは192.0.2.20宛フレームをルータへ送ります。ルータに192.0.2.20への経路がなければ、代理応答だけ成功しても通信できません。