Protocolo ARP para Concurso: Como a Rede Encontra o MAC

Antes de dois equipamentos trocarem dados numa rede local, alguém precisa descobrir qual é o endereço físico de destino.

Essa tradução do endereço IP para o endereço MAC é feita pelo protocolo ARP, que trabalha em segundo plano em praticamente toda rede Ethernet. Quem não sabe explicar essa tradução, ou confunde ARP com DNS, perde uma questão simples de redes de computadores.

Neste guia você vai encontrar:

• Conceito de protocolo ARP e motivo de a banca cobrar o tema.
• Funcionamento do protocolo ARP na prática.
• ARP comparado ao DNS, outra tradução de endereços.
• Tabela ARP e o comando usado para consultá-la.
• Ataque de ARP spoofing e seus riscos para a rede.
• Estilo de cobrança das bancas sobre o protocolo ARP.
• Exercício resolvido sobre o protocolo ARP.
• Erros mais comuns sobre o protocolo ARP.
• Resumo do protocolo ARP para revisão rápida.
• Perguntas frequentes sobre o protocolo ARP.

Conceito de protocolo ARP e motivo de a banca cobrar o tema.

O ARP, sigla de Address Resolution Protocol, é o protocolo responsável por descobrir qual endereço MAC corresponde a um determinado endereço IP dentro de uma mesma rede local. A RFC 826 descreve o ARP como um protocolo de resolução de endereço usado para converter endereços de protocolo, como o endereço IP de 32 bits, em endereços de hardware de 48 bits usados por redes do tipo Ethernet. A mesma RFC explica o problema que o protocolo resolve, deixando claro que um host conhece apenas o endereço IP de destino antes de começar a comunicação, mas precisa do endereço de hardware para montar o quadro que será realmente transmitido no meio físico.

Esse conceito justifica a cobrança do tema em provas de Tecnologia da Informação: a banca quer saber se o candidato entende que o IP serve para identificar o host em uma rede lógica, enquanto o MAC serve para identificar a placa de rede em uma rede física, e que o ARP é a ponte entre essas duas camadas sempre que o destino está no mesmo segmento de rede.

Funcionamento do protocolo ARP na prática.

Mensagem ARP Request, enviada em broadcast.

Quando um host precisa enviar dados a um IP da mesma rede e ainda não conhece o MAC correspondente, ele envia uma mensagem ARP Request em broadcast, perguntando a todos os equipamentos da rede quem é o dono daquele endereço IP. Todos os hosts recebem a pergunta, mas apenas o dono do IP responde.

Mensagem ARP Reply, enviada em unicast.

O host que reconhece o próprio IP na pergunta responde com uma mensagem ARP Reply, enviada apenas para quem perguntou, informando o endereço MAC da sua placa de rede. A partir dessa resposta, o host de origem já pode montar o quadro Ethernet e enviar os dados diretamente ao destino correto.

ARP comparado ao DNS, outra tradução de endereços.

O ARP e o DNS fazem tradução de endereços, mas em camadas diferentes e com alcance diferente. O DNS traduz um nome de domínio em um endereço IP, funcionando em qualquer ponto da internet, enquanto o ARP traduz um endereço IP em um endereço MAC, funcionando apenas dentro do mesmo segmento de rede local. Uma banca costuma montar pegadinha trocando essas duas funções, pedindo para o candidato apontar qual dos dois protocolos atua na camada de enlace.

Tabela ARP e o comando usado para consultá-la.

Cada equipamento de rede mantém uma tabela ARP, também chamada de cache ARP, guardando as associações entre IP e MAC já descobertas, para evitar perguntas repetidas em broadcast a cada novo pacote. Essa tabela expira depois de um tempo configurado pelo sistema operacional, o que obriga uma nova rodada de ARP Request quando a entrada some do cache. Em sistemas Windows e em distribuições Linux, a tabela ARP local pode ser consultada pelo comando arp seguido do parâmetro -a, o que mostra todos os endereços IP e MAC conhecidos pela máquina naquele momento.

Ataque de ARP spoofing e seus riscos para a rede.

O ARP spoofing, também chamado de ARP poisoning, é um ataque em que o invasor envia respostas ARP falsas para a rede, associando o próprio endereço MAC a um endereço IP legítimo, como o do roteador. Com essa falsificação, o tráfego que deveria ir até o roteador passa a ser desviado para a máquina do atacante, permitindo que ele leia, altere ou descarte pacotes de outros usuários da rede, numa técnica conhecida como ataque do tipo man in the middle.

Esse risco liga o ARP diretamente a segurança da informação na prática, já que o protocolo original, descrito na RFC 826, não possui nenhum mecanismo de autenticação: qualquer equipamento da rede pode enviar uma resposta ARP sem que os demais consigam verificar se ela é verdadeira, o que torna o ataque relativamente simples de executar em redes sem proteção adicional.

Estilo de cobrança das bancas sobre o protocolo ARP.

As bancas costumam cobrar o protocolo ARP de três formas: pedindo a definição exata da sigla e da função do protocolo, testando se o candidato sabe diferenciar ARP Request de ARP Reply, ou descrevendo um cenário de ataque e pedindo para identificar que se trata de ARP spoofing. Uma questão típica apresenta uma situação de rede local e pede para apontar qual protocolo resolve o endereço de destino antes do envio do quadro.

Questão no estilo Cebraspe, adaptada: o protocolo ARP é responsável por traduzir um nome de domínio em um endereço IP dentro de uma rede corporativa. Gabarito: errado. Quem traduz nome de domínio em endereço IP é o DNS. O ARP traduz um endereço IP, já conhecido, no endereço MAC correspondente dentro da mesma rede local.

Exercício resolvido sobre o protocolo ARP.

Questão: um host da rede local precisa enviar dados para outro host do mesmo segmento, mas ainda não conhece o endereço MAC desse destino. Qual mensagem o host de origem envia para descobrir esse endereço?

• A) Uma mensagem DNS Query, em unicast.
• B) Uma mensagem ARP Request, em broadcast.
• C) Uma mensagem DHCP Discover, em broadcast.
• D) Uma mensagem ICMP Echo, em unicast.

Resolução passo a passo: o enunciado descreve a necessidade de descobrir um endereço MAC a partir de um IP conhecido, dentro da mesma rede local, que é exatamente a função do ARP. A alternativa A fala de DNS Query, usada para resolver nomes de domínio em IP, não MAC, o que elimina a alternativa A. A alternativa C descreve o DHCP Discover, usada para obter um endereço IP novo, não para resolver um MAC a partir de um IP já existente, o que elimina a alternativa C. A alternativa D descreve uma mensagem ICMP de teste de conectividade, que pressupõe que o endereço MAC já foi resolvido, o que elimina a alternativa D. A alternativa correta é a B, a mensagem ARP Request em broadcast, que é como o host pergunta à rede quem possui aquele endereço IP.

Erros mais comuns sobre o protocolo ARP.

• Confundir a função do ARP com a função do DNS, trocando tradução de nome por tradução de endereço físico.
• Achar que o ARP Reply também é enviado em broadcast, quando na verdade ele é enviado em unicast, direto para quem perguntou.
• Não saber explicar o ARP spoofing, ou confundi-lo com outro tipo de ataque de rede.
• Achar que o ARP funciona entre redes diferentes, quando na verdade ele atua apenas dentro do mesmo segmento de rede local.
• Esquecer que a tabela ARP tem um tempo de expiração e precisa ser renovada periodicamente pelo sistema operacional.
• Confundir o endereço MAC, fixo na placa de rede, com o endereço IP, que pode mudar conforme a configuração da rede.

Resumo do protocolo ARP para revisão rápida.

O protocolo ARP costuma ser estudado ao lado de outros serviços de rede local, como o DHCP usado na distribuição de endereços IP e o DNS usado na tradução de nomes, formando o bloco de serviços de rede que mais aparece em provas de Tecnologia da Informação.

Em segurança, o ARP spoofing também conversa com segurança da informação e com a defesa feita por um firewall ou por um servidor proxy bem configurado, já que ambos ajudam a isolar segmentos de rede e reduzir o alcance de um ataque desse tipo.

Vale lembrar também a relação do ARP com engenharia social aplicada, já que um ataque de ARP spoofing bem-sucedido costuma ser apenas o primeiro passo de um golpe maior, abrindo caminho para capturar senhas ou redirecionar o usuário para uma página falsa.

Para quem estuda Windows e Linux para concurso também vale notar que o comando para consultar a tabela ARP existe nos dois sistemas, com pequenas diferenças de sintaxe, e que administradores de rede usam esse comando com frequência para diagnosticar problemas de conectividade dentro de uma mesma rede local.

O ARP spoofing também aparece junto de temas de segmentação de rede, como a topologia de rede escolhida para a empresa e a VLAN usada para isolar o tráfego de setores diferentes, reduzindo o impacto de um ataque caso um segmento seja comprometido.

Em redes que exigem controle de identidade mais forte, o acesso aos próprios equipamentos de rede costuma ser protegido por autenticação de dois fatores no login do administrador, já que um invasor com acesso ao switch pode facilitar ainda mais um ataque de ARP spoofing contra toda a rede local.

Em ambientes de computação em nuvem pública, o conceito de ARP aparece de forma mais indireta, já que o provedor controla a infraestrutura física, mas o entendimento de como o endereço MAC é resolvido continua relevante para quem trabalha com redes virtuais dentro desses ambientes.

Por fim, boa parte dos controles exigidos por normas como a ISO 27001 passa por monitorar e registrar comportamentos anômalos na rede local, incluindo respostas ARP suspeitas, o que reforça por que esse protocolo de 1982 ainda é tema recorrente em provas de segurança da informação.

Essa relação entre protocolos antigos e riscos atuais também aparece quando o ARP é comparado à criptografia simétrica e assimétrica usada em VPN, já que nenhuma das duas técnicas de criptografia protege o ARP por padrão, o que exige soluções específicas de segurança de camada de enlace em redes mais sensíveis.

Em cargos de nível médio, como técnico em redes, o foco tende a ser mais prático: saber usar o comando arp para diagnosticar um problema de conectividade, reconhecer sinais de um ataque de ARP spoofing em andamento e entender por que, em alguns casos, a solução passa por usar uma rede de computadores segmentada em vez de uma rede plana única.

Perguntas frequentes sobre o protocolo ARP.

O que é o protocolo ARP?

O ARP, sigla de Address Resolution Protocol, é o protocolo que traduz um endereço IP em um endereço MAC dentro da mesma rede local, permitindo que um host monte o quadro Ethernet para enviar dados a outro host.

Qual a diferença entre ARP Request e ARP Reply?

O ARP Request é enviado em broadcast, perguntando a toda a rede quem possui determinado IP, enquanto o ARP Reply é enviado em unicast, apenas para quem perguntou, informando o endereço MAC correspondente.

ARP e DNS fazem a mesma coisa?

Não. O DNS traduz um nome de domínio em um endereço IP e funciona em qualquer ponto da internet, enquanto o ARP traduz um endereço IP em um endereço MAC e funciona apenas dentro da mesma rede local.

O que é ARP spoofing?

É um ataque em que o invasor envia respostas ARP falsas, associando o próprio MAC a um IP legítimo da rede, como o do roteador, para desviar e interceptar o tráfego de outros usuários.

Como consultar a tabela ARP de um computador?

Em sistemas Windows e em distribuições Linux, a tabela ARP pode ser consultada com o comando arp seguido do parâmetro -a, que lista os endereços IP e MAC conhecidos pela máquina naquele momento.

Feche o bloco de redes com o conteúdo certo.

Protocolo ARP, DHCP, DNS e os riscos de segurança da camada de enlace formam um bloco que aparece com frequência nas provas de Tecnologia da Informação. No curso do Portal Concursos você encontra aulas direcionadas ao edital do seu concurso, banco de questões comentadas e suporte para tirar dúvidas durante os estudos. Conheça o curso e confira o conteúdo completo de informática para a sua próxima prova.