ARP と MAC：tcpdump で同じセグメント内の通信を捕まえる

IP の下で、表札を引いてから届ける

Chapter 1 では ip addr と ip route で、「自分の住所」と「町の外へ出る出口」を読みました。この章ではその一段下、同じ VLAN10 の中で相手の MAC アドレスをどう知るかを見ます。

通信先が同じセグメントにいるとき、Linux はいきなり IP パケットを相手へ投げません。まず ARP で「172.16.10.1 の MAC を知っている人は？」と同じセグメント全体へ聞きます。l3router01 が「それは私です」と返すと、learner01 は宛先 MAC を埋めてフレームを送れます。

VLAN10 (172.16.10.0/24)

  learner01 172.16.10.20
      |
      |  ARP request: who-has 172.16.10.1 tell 172.16.10.20
      |  ARP reply:   172.16.10.1 is-at GW の MAC
      |
  l3router01 172.16.10.1  = default gateway

VLAN10 の中では L2 の MAC、VLAN10 の外へ出る判断は L3 の経路表。

この章を終えるとできること

ARP / MAC を読む 4 動作を、すべて learner01 上で練習します。

MAC、ARP、L2 と L3 を分けて考える

1. MAC は同じセグメント内で使う名札

IP アドレスは「どのネットワークにいるか」を含む住所です。MAC アドレスは NIC の名札で、同じ L2 セグメントの中でフレームを届けるために使います。VLAN10 の learner01 が l3router01 へ届くとき、最後は l3router01 の VLAN10 側 MAC へ Ethernet フレームを送ります。

2. ARP request はブロードキャスト、reply はユニキャスト

ARP の会話は単純です。まず質問者が「誰か知っている？」と VLAN10 全体へ聞きます。これはブロードキャストです。該当する IP を持つ相手だけが「私です」と質問者へ返します。これはユニキャストです。

requestwho-has 172.16.10.1 tell 172.16.10.20宛先 MAC はブロードキャスト

reply172.16.10.1 is-at xx:xx:xx:xx:xx:xx宛先 MAC は learner01

3. L2 は「隣町の中」、L3 は「町の外への道」

Chapter 1 の ip route は L3 の話でした。default via 172.16.10.1 は「VLAN10 の外へ出るなら l3router01 に渡す」という判断です。ただし、その l3router01 へ渡す直前には、L2 の ARP で 172.16.10.1 の MAC を引きます。

learner01 で ARP を捕まえる

ARP の流れをライブビューで見る

ssh student@learner01
hostname
ip -br addr
ip -br link
IF=ens20.10
ip -br addr show dev $IF

GW=172.16.10.1
ping -c 3 $GW
ip neigh show $GW
GW_MAC=$(ip neigh show $GW | awk '/lladdr/{print $5; exit}')
echo GW_MAC=$GW_MAC

172.16.10.1 dev ens20.10 lladdr bc:24:11:aa:bb:cc REACHABLE
GW_MAC=bc:24:11:aa:bb:cc

sudo arping -c 3 -I $IF $GW

ARPING 172.16.10.1
42 bytes from bc:24:11:aa:bb:cc (172.16.10.1): index=0 time=232.586 usec
42 bytes from bc:24:11:aa:bb:cc (172.16.10.1): index=1 time=198.341 usec
42 bytes from bc:24:11:aa:bb:cc (172.16.10.1): index=2 time=211.804 usec

timeout 10 sudo tcpdump -l -i ens20.10 -nn -e --immediate-mode arp > /tmp/ch2-arp.log 2>&1 & sleep 2; sudo ip neigh flush $GW dev $IF; ping -c 2 $GW; wait
grep -i -E 'who-has|is-at' /tmp/ch2-arp.log

bc:24:11:11:22:33 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 42: Request who-has 172.16.10.1 tell 172.16.10.20, length 28
bc:24:11:aa:bb:cc > bc:24:11:11:22:33, ethertype ARP (0x0806), length 42: Reply 172.16.10.1 is-at bc:24:11:aa:bb:cc, length 28

echo $GW_MAC
grep -i "$GW_MAC" /tmp/ch2-arp.log

timeout 10 sudo tcpdump -l -i ens20.10 -nn -e arp | grep --line-buffered -i "$GW_MAC"

IF=ens20.10
GW=172.16.10.1
sudo arping -c 3 -I $IF $GW

rm -f /tmp/ch2-arp.log

見えないときの切り分け

1. まず NIC と VLAN10 の IP を確認する

tcpdump -i ens20.10 で見えない原因の多くは、NIC 名の思い込みです。この章では -i ens20.10 を基本にします。見えない場合は、必ず ip -br addr で 172.16.10.x/24 が付いたインターフェースを確認します。

ip -br addr
ip route
ip neigh show 172.16.10.1

2. tcpdump と arping は sudo が必要

tcpdump: You don't have permission to capture on that device のような表示なら、コマンドの前に sudo が足りません。arping も raw socket を使うため sudo が必要です。

timeout 10 sudo tcpdump -l -i ens20.10 -nn --immediate-mode arp & sleep 2; sudo arping -c 3 -I $IF 172.16.10.1; wait

ここも STEP 04 と同じ理由で 1 行にまとめて あります。分けて入力すると、arping を打つ前に tcpdump が終了してしまいます。

3. ARP が見えないのは、すでに覚えているからかもしれない

ip neigh が REACHABLE のままだと、次の ping では新しい ARP request が出ないことがあります。観察したい相手だけを flush してから再試行します。

sudo ip neigh flush 172.16.10.1 dev $IF || true
ping -c 2 172.16.10.1
ip neigh show 172.16.10.1

AI に相談

修了確認

bc:24:11:11:22:33 > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 42: Request who-has 172.16.10.1 tell 172.16.10.20, length 28
bc:24:11:aa:bb:cc > bc:24:11:11:22:33, ethertype ARP (0x0806), length 42: Reply 172.16.10.1 is-at bc:24:11:aa:bb:cc, length 28

修了確認の段階ヒント（問 1・問 2 共通）

次は Linux Bridge と VLAN

この章では、VLAN10 の中で learner01 が l3router01 の MAC を引き、同じセグメント内の相手へフレームを届ける仕組みを見ました。ARP は 同じ L2 セグメントの中でだけ意味を持つ、というのが重要です。

次の Chapter 3 では、その「同じセグメント」を作る側へ進みます。Linux Bridge と VLAN によって、どこまでが同じ L2 で、どこからが別セグメントなのかを自分で区切ります。