ARPをパケットで確認すると何が分かるのか

IPv4通信では、IPパケットをEthernetフレームに格納して同一リンク上へ送るため、 次に渡す相手のMACアドレスが必要です。端末がそのMACアドレスを知らない場合にARPを使用します。

パケットキャプチャーでARPを確認すると、単に「pingが失敗した」という結果だけではなく、 その前段階である同一リンク上の相手を見つけられているかを判断できます。

今回の検証構成

最も再現しやすいように、PCから同一LAN上のデフォルトゲートウェイへpingを送ります。 実際のIPアドレスやMACアドレスは、利用している環境に読み替えてください。

WiresharkでARPを取得する手順

ARPキャッシュに対象のMACアドレスが残っていると、新しいARP Requestは発生しません。 そのため、現在のキャッシュを確認し、対象エントリーだけを削除してから通信を発生させます。

1. 検証PCのIPアドレスとゲートウェイを確認する Windowsではコマンドプロンプトを開き、ipconfigを実行します。
2. 現在のARPキャッシュを確認する arp -aを実行し、対象IPアドレスのエントリーがあるか確認します。
3. 対象のARPキャッシュを削除する 管理者権限のコマンドプロンプトで、対象IPアドレスだけを削除します。
4. Wiresharkで使用中のインターフェースを選ぶ EthernetまたはWi-Fiのうち、現在通信に使用しているインターフェースでキャプチャーを開始します。
5. 表示フィルターへ arp を入力する ARPだけを表示し、RequestとReplyを見つけやすくします。
6. 対象IPアドレスへpingを実行する 今回はデフォルトゲートウェイの192.168.10.1へpingを送ります。
7. キャプチャーを停止し、2つのARPパケットを確認する 通常はRequestに続いてReplyが表示されます。

1．IP設定を確認する

C:\> ipconfig

イーサネット アダプター Ethernet:

   IPv4 アドレス . . . . . . . . . . : 192.168.10.10
   サブネット マスク . . . . . . . . : 255.255.255.0
   デフォルト ゲートウェイ . . . . . : 192.168.10.1

2．ARPキャッシュを確認・削除する

C:\> arp -a

インターフェイス: 192.168.10.10 --- 0x8
  インターネット アドレス  物理アドレス          種類
  192.168.10.1             aa-bb-cc-dd-ee-ff     動的

対象エントリーが表示されている場合は、管理者権限で次のコマンドを実行します。

C:\> arp -d 192.168.10.1

3．Wiresharkでキャプチャーを開始する

Wiresharkを起動し、通信量のグラフが動いているインターフェースを選択します。 キャプチャー開始後、表示フィルターへ次を入力します。

arp

ARPの後に続くpingまで一緒に確認したい場合は、次の表示フィルターを使用します。

arp || icmp

4．pingで通信を発生させる

C:\> ping 192.168.10.1

ARPキャッシュが削除されていれば、最初のICMP Echo Requestを送る前にARPによるMACアドレス解決が発生します。

ARP Requestの読み方

ARP Requestは、問い合わせ対象のMACアドレスが分からない状態で送信します。 どの機器が対象IPアドレスを持っているか分からないため、Ethernetフレームの宛先MACアドレスは ブロードキャストになります。

確認ポイント1：Ethernetの宛先はブロードキャスト

Ethernet IIのDestinationはff:ff:ff:ff:ff:ffです。 同じブロードキャストドメインにいる機器へ広く配信し、対象IPアドレスを持つ機器に応答を求めます。

確認ポイント2：Opcodeはrequest（1）

ARPヘッダーのOpcodeが1であればARP Requestです。 Wiresharkではrequest (1)と表示されます。

確認ポイント3：Target MAC addressはゼロ

Requestを送る時点では対象MACアドレスが分からないため、ARPヘッダー内のTarget MAC addressは 00:00:00:00:00:00です。

Info欄を日本語にするとどうなるか

ARP Replyの読み方

Requestを受信した機器のうち、Target IP addressを自分が持っている機器がReplyを返します。 Requestから送信元PCのMACアドレスが分かるため、Replyは通常、そのPCだけを宛先としたユニキャストです。

確認ポイント1：Ethernetの宛先はPC-AのMACアドレス

ReplyのDestinationは00:11:22:33:44:55です。 Requestの送信元MACアドレスを使い、問い合わせ元へ直接返しています。

確認ポイント2：Opcodeはreply（2）

ARPヘッダーのOpcodeが2であればARP Replyです。 Requestの1とセットで覚えると判断しやすくなります。

確認ポイント3：Sender MACが求めていた答え

ReplyのSender IP addressが192.168.10.1、Sender MAC addressが aa:bb:cc:dd:ee:ffです。つまり、PC-Aが知りたかった対応関係は次のとおりです。

このReplyを受信したPC-Aは、対応関係をARPキャッシュへ一定時間保存します。 直後の通信ではキャッシュを利用できるため、毎回ARP Requestを送る必要はありません。

ARPヘッダーの各フィールド

障害切り分けでは、Info欄だけでなくARPヘッダーの詳細も確認できると、 「誰が、何を問い合わせ、誰へ答えたか」を正確に整理できます。

EtherTypeにも注目する

Ethernet IIヘッダーのTypeは0x0806です。これは、Ethernetフレームの中身がARPであることを示します。 一方、ARPヘッダー内のProtocol typeは0x0800で、解決対象がIPv4であることを示します。

別セグメント宛て通信では誰をARPするのか

ARPで最も重要な理解ポイントの一つが、別ネットワーク上のサーバーへ通信するときの動作です。

サブネットマスク設定ミスがARPに現れることがある

PCのサブネットマスクが誤って広く設定されていると、本来は別セグメントにあるIPアドレスを 「同一セグメントにいる」と判断し、その遠隔IPアドレスへARP Requestを送ることがあります。

ARPが表示されないときの確認ポイント

pingを実行してもARPが表示されない場合、必ずしも異常とは限りません。 まず、端末がすでにMACアドレスを知っていないか確認します。

キャッシュあり・なしの違い

ARPを使った障害切り分け

ARPは、Layer 2とLayer 3の境界を確認するうえで非常に有効です。 パケットの有無とRequest／Replyの組み合わせから、確認範囲を段階的に絞り込みます。

現場での確認順序

1. 端末のIPアドレス・サブネットマスク・デフォルトゲートウェイを確認する
2. ARPキャッシュに期待するIPとMACの対応があるか確認する
3. WiresharkでRequestの送信を確認する
4. Replyの有無と送信元MACを確認する
5. Reply後にICMP、TCP、UDPなどのIP通信が続いているか確認する
6. スイッチのMACアドレステーブルやVLAN設定と照合する

【事象】
PC-Aからデフォルトゲートウェイ 192.168.10.1 へ通信できない。

【確認結果】
・PC-AからARP Requestは送信されている。
・RequestのTarget IP addressは192.168.10.1で正しい。
・同一Requestが再送されているが、ARP Replyは確認できない。
・PC-AのIPアドレス／サブネットマスクは設計値と一致している。

【判断】
PC-AはゲートウェイのMACアドレスを解決できていない。
PC-AからRequestを送信できているため、ゲートウェイ側の停止、VLAN不一致、
または途中スイッチの収容設定に原因がある可能性が高い。

【次の確認】
・ゲートウェイインターフェースの稼働状態
・PC-A接続ポートとゲートウェイ接続ポートのVLAN
・スイッチのMACアドレステーブル
・ポートセキュリティ／ARP検査機能のログ

Gratuitous ARPとARP Probe

WiresharkでARPを見ていると、通常の「相手のMACアドレスを知りたい」という通信以外も表示されます。 代表的なものがGratuitous ARPとARP Probeです。

冗長化切り替え時にARPを見る

VRRPやHSRPなどでアクティブ機器が切り替わると、仮想IPに対応するMACアドレスの情報を更新するため、 Gratuitous ARPが送信されることがあります。

切り替え後も通信が旧機器へ向かう場合、Gratuitous ARPが送信されたか、端末やスイッチのテーブルが更新されたかを パケットと機器情報の両方から確認します。

自分の言葉で説明する課題