Address Resolution Protocol

George Bobeck
http://webpages.cs.luc.edu/~gabobeck/ARP
What is ARP?

ARP is used to map a 48­bit hardware address to an 
address of another protocol with an arbitrary bit­
length.
Purpose of ARP

As stated in RFC 826:

The purpose of ARP is to present a method of 
converting protocol addresses (e.g., IP addresses) to 
Local Network Addresses (e.g., Ethernet addresses)
The Origin of ARP

● RFC 826
● Drafted by David C. Plummer
● November 1982
Why Use ARP?

● Ethernet allows the various other protocols to 
coexist, but they must use a 48­bit address.
● Need a standardized way to dynamically distribute 
mappings of a 48­bit Ethernet address to a 
different protocol with a different bit sized 
address.
How ARP Works

● Sends out an Ethernet broadcast packet containing 
the desired IP address.
● The desired host (or another system acting on its 
behalf) replies to the packet by sending a packet 
which contains an IP address and Ethernet address 
pair.
● This response (if any) is cached by all hosts.  
Cache is periodically refreshed.
Types of ARP Messages

● ARP Request
● ARP Reply
● Reverse ARP (RARP) Request
● Reverse ARP (RARP) Reply
Format of ARP Messages
Format of ARP Messages

● Hardware Type (2 bytes):
– 1 = 10 Mbit Ethernet
– 6 = IEEE 802 Network
● Protocol (2 bytes): Always set to 0x0800 for IPv4
● Hardware Address Length (1 byte): Value is 6
● Protocol Address Length (1 byte): Value is 4
Format of ARP Messages

● Options (2 bytes):
– 1 ARP Request
– 2 ARP Reply
– 3 RARP Request
– 4 RARP Reply
● Sender's Hardware Address (6 bytes)
● Sender's Protocol Address (4 bytes)
● Target's Hardware Address (6 bytes)
● Target's Protocol Address (4 bytes)
ARP Illustrated

A standard network:
● IP Range:192.168.1.0/24
● Router / Switch R 
– (IP:192.168.1.1)
● Hosts A – G 
– (IP:192.168.1.2 ­ 8)
● Broadcast
– (IP:192.168.1.255)
 
ARP Illustrated

“A” wishes to send to “G”
● “G” is unknown “A”

● “A” sends ARP Request 

via Broadcast
ARP Illustrated

“G” Responds
● Receives ARP Request

● Sends ARP Reply

● All hosts update cache
Some Variations of ARP

● Self ARP
● Proxy ARP
● Reverse ARP (RARP)
● Inverse ARP (InARP)
● Secure ARP (SARP)
Self ARP

● A host sends an ARP message that contains its 
own IP and MAC addresses when booted.
● Notifies the network that a new host is going 
online.
Proxy ARP

● RFC 1027
● Ad Hoc routing through ARP
● A host accepts ARP requests for other machines, 
routes packets to them.
● Can cause problems if the Proxy host fails
Reverse ARP

● RFC 903
● Mostly Obsoleted by Bootstrap Protocol (BOOTP)
● Allows a host to resolve an IP address from a 
MAC address.
Inverse ARP

● Described in RFC 2390
● ARP for the Asynchronous Transfer Mode 
network protocol.
Secure ARP

● Security Enhanced ARP
● Secure tunnel between host and router
● Router ignores any ARP responses not from 
clients on the other end of the secure tunnels
● Only legitimate ARP responses can update ARP 
caches
ARP Attacks

● The Dark Side:
– ARP Spoofing (ARP Poisoning)
– ARP Denial of Service
– ARP Hijacking
● The Light Side:
– Spoofing for Good Guys
● ARP Monitoring:
– Snort
– ARPWatch
ARP Attacks Illustrated

A standard network:
● IP Range:192.168.1.0/24
● Router / Switch R 
– (IP:192.168.1.1)
● Hosts A – C 
– (IP:192.168.1.2 – 4)
● Attacker E
– (IP:192.168.1.66)
● Broadcast
– (IP:192.168.1.255)
ARP Spoofing Illustrated

● Setup:
– Host A: A client
– Host B: A client
– Host C: A server
– Attacker E: A compromised machine, also a server
ARP Spoofing Illustrated

● Attacker “E” sends 2 
ARP messages:
– ARP: “A” is­at “E”
– ARP: “C” is­at “E”
● Traffic between “C” 
and “A” will be routed 
to “E” instead.
ARP Denial of Service Illustrated

● Setup:
– Hosts A ­ C: Clients
– Gateway R: Network Gateway, access to internet
– Host T: A junk address
– Attacker E: A compromised machine
ARP Denial of Service Illustrated

● Attacker “E” sends 1 
ARP message:
– ARP: “R” is­at “T”
● All hosts update their 
caches.  Now unable to 
access the internet 
because traffic to 
Gateway “R” is being 
routed to “T” instead
ARP Hijacking Illustrated

● Setup:
– Host A: A client
– Host B: A client
– Host C: A server
– Attacker E: A compromised machine
ARP Hijacking Illustrated

● “E” monitors 
connection between 
“A” and “C”.
● “E” stops routing 
packets from “A” to 
“C”, “E” injects 
packets to “C”
● “E” restores routing 
between “A” and “C”
Spoofing Can Be Used For Good...

● Can be used to redirect unregistered hosts to a 
sign­up page before allowing them full network 
access.
● LaBrea Tar Pit software uses it to take over 
unused IP addresses in a network in order to trap 
attackers
ARP Monitoring Tools

● Snort (Preprocessor ARPSpoof)
– Experimental ARP detection code from Jeff Nathan, 
detects ARP attacks, unicast ARP requests, and 
specific ARP mapping monitoring.
● ARPWatch
– From Lawrence Berkeley National Laboratory.  
Monitors IP/MAC address pairings and reports 
changes via email and logs to syslog.