Режимы ARP на D-Link DFL

На форуме российского представительства D-Link несколько раз возникал вопрос по поводу использования “интерфейса” ARP и разных его режимах работы. Внятного ответа, как всегда найти не удалось. В лучшем случае отсылают читать мануал, а так чтобы на пальцах для дураков – это фигу. А мануал, как водится, английский и официальный до безобразия. На том же форуме есть примеры использования, но без комментариев почему так, а не иначе. Режимов для ARP имеется три штуки: Static, Publish и XPpublish. Чем они отличаются и где используются я попробую объяснить.

Первое, что хотелось бы сделать – это дать ссылку на инструкцию к DFL на русском языке. Почему на русском FTP его до сих пор нет – неясно. Тем более, что прошивку “чисто для России” выложили без альтернатив давным-давно. Сильно рекомендую инструкцию себе скачать и прочитать. Формулировки там, конечно, тоже местами не сахар, но хотя бы на родной мове.

Во-вторых, немного теории, для тех, кто не очень понимает механизма работы протокола ARP в сферической сети в вакууме. Те, кто понимают, могу переходить сразу дальше 🙂 Известно, что хост A имеет IP-адреса <ip_A> и MAC-адрес <mac_A>, хост B соответственно – <ip_B> и <mac_B>. Итак, у хоста A есть пакет для хоста B. Первое, что делает хост A – это проверяет (исходя из своего ip-адреса и маски) находится ли B в его подсети. Если нет – пакет направляется на соответствующий маршрутизатор и уже его головная боль как доставить пакет. Так что ARP работает только в одном сегменте сети, то есть за роутер оно не ходит.

Ок, предположим вышло так, что хост назначения находится в той же подсети. В таком случае, хост A проверяет свою локальную arp-таблицу на предмет наличия там MAC-адреса хоста B. Если есть – посылает пакет. Если нет – орет что есть мочи “а кто это тут у нас такой с ip_B в сети?”. На что хост B должен ему ответить “я это, и МАС-адрес у меня mac_B”. Оба записывают MAC-адреса друг друга и радостно начинают обмениваться данными.

А теперь то, ради чего все и затевалось. Режим Static позволяет намертво прикрутить соответствие IP и MAC-адреса получателя. Если обычно это соответствие динамическое (периодически хост A снова пытается выяснить MAC-адрес хоста B), то в статическом режиме пакты для ip_B всегда идут на mac_B. Такой режим нередко используется для защиты от подмены ip-адреса левыми хостами. Провайдеры такое тоже используют, чтобы злой хакер Вася не взял адрес Пети и не ломал ему кайф от пользования Интернетом.

Режим Publish заставляет наш роутер (DFL-800 например) ответить хосту A вместо хоста B и сообщить все необходимые данные. Бывает нужно это, например, когда у хоста B наблюдаются проблемы с ARP-ответами. Второй сценарий используется чаще и позволяет опубликовать на одном интерфейсе нашего DFL-роутера несколько ip-адресов. Можно использовать в случае, когда нет возможности распилить сеть на VLAN’ы, а разделение на разные ip-подсети необходимо. Третий сценарий позволяет использовать на одном внешнем интерфейсе несколько различных ip-адресов для перенаправления пакетов к различным внутренним серверам.

Режим XPublish делает то же самое, но меняет еще и MAC-адрес отправителя в пакете с ARP-ответом. В предыдущем случае MAC-адресом отправителя пакета остается MAC-адрес роутера, что в отдельных случаях может вызывать проблемы. Разумеется, если MAC-адрес интерфейса совпадает с MAC-адресом, который мы сообщаем, результат для режимов Publish и XPublish будет одинаковым.

Существует еще такая штука как Proxy ARP, но это тема для отдельного разговора.