Site icon bintorosoft.com

16.8 Dynamic ARP Inspection einfach erklärt

Red Snapper

Computer engineer troubleshooting on a laptop with multiple server racks and network cables in the backdrop AI generated

Dynamic ARP Inspection, kurz DAI, ist eine wichtige Sicherheitsfunktion auf Switches, mit der sich ARP-bezogene Angriffe im lokalen Netzwerk erkennen und blockieren lassen. In vielen Ethernet-Netzen läuft ARP völlig unsichtbar im Hintergrund. Genau deshalb wird das Protokoll oft unterschätzt. Dabei spielt ARP eine zentrale Rolle, weil es IP-Adressen mit MAC-Adressen verknüpft und damit überhaupt erst ermöglicht, dass Geräte im LAN korrekt miteinander kommunizieren. Wenn diese Zuordnung manipuliert wird, können Angreifer Datenverkehr umleiten, mitlesen oder gezielt Verbindungen stören. Dynamic ARP Inspection schützt an genau dieser Stelle. Die Funktion überprüft ARP-Pakete auf ihre Plausibilität und verwirft verdächtige oder gefälschte Antworten. Wer Layer-2-Sicherheit in Cisco-Netzwerken verstehen möchte, sollte DAI deshalb als grundlegenden Baustein kennen.

Was ist Dynamic ARP Inspection?

Dynamic ARP Inspection ist eine Sicherheitsfunktion auf Switches, die ARP-Nachrichten überwacht, prüft und bei Bedarf blockiert. Ziel ist es, zu verhindern, dass gefälschte ARP-Informationen im Netzwerk verbreitet werden. DAI kontrolliert dabei vor allem ARP Replies und zum Teil auch andere ARP-Pakete, um sicherzustellen, dass die enthaltenen IP- und MAC-Zuordnungen legitim sind.

Einfach erklärt bedeutet das: Der Switch schaut sich ARP-Nachrichten an und prüft, ob die gemeldete Zuordnung zwischen IP-Adresse und MAC-Adresse überhaupt glaubwürdig ist. Wenn nicht, wird das Paket nicht weitergeleitet.

Die Grundidee von DAI

Warum ARP überhaupt ein Sicherheitsproblem sein kann

ARP steht für Address Resolution Protocol. In IPv4-Netzwerken wird ARP genutzt, um zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln. Ein Host kennt beispielsweise die IP-Adresse seines Default Gateways, muss aber für die Ethernet-Kommunikation auch dessen MAC-Adresse kennen. Genau dafür dient ARP.

Das Problem ist: Das ARP-Protokoll wurde nicht mit starken Sicherheitsmechanismen entwickelt. Geräte im LAN nehmen ARP-Informationen in vielen Fällen zunächst als vertrauenswürdig an. Ein Angreifer kann das ausnutzen und gefälschte ARP-Antworten senden. So kann er Hosts dazu bringen, falsche MAC-Zuordnungen in ihren ARP-Caches zu speichern.

Warum ARP angreifbar ist

ARP einfach erklärt

Bevor Dynamic ARP Inspection wirklich verständlich wird, muss die Rolle von ARP klar sein. Ein Gerät im LAN kommuniziert auf Layer 3 mit IP-Adressen, auf Layer 2 aber mit MAC-Adressen. Wenn ein Host also ein Paket an eine lokale Ziel-IP oder an sein Gateway senden möchte, muss er die passende MAC-Adresse herausfinden.

Typischer Ablauf:

Dadurch können Ethernet-Frames korrekt an das richtige Ziel gesendet werden.

Beispiel

Was ist ARP Spoofing oder ARP Poisoning?

ARP Spoofing oder ARP Poisoning beschreibt einen Angriff, bei dem ein Gerät gefälschte ARP-Nachrichten ins LAN sendet, um falsche IP-MAC-Zuordnungen in den ARP-Caches anderer Geräte zu platzieren. Das Ziel ist meist, den Datenverkehr umzuleiten oder sich zwischen zwei Kommunikationspartner zu schalten.

Ein Angreifer kann beispielsweise behaupten, dass seine eigene MAC-Adresse zur IP-Adresse des Default Gateways gehört. Wenn ein Client diese gefälschte ARP-Antwort akzeptiert, sendet er seinen Verkehr nicht mehr an den echten Router, sondern an den Angreifer.

Typische Ziele von ARP Spoofing

Warum das so gefährlich ist

Wie ein ARP-Spoofing-Angriff praktisch aussieht

Angenommen, ein Client kommuniziert über das Default Gateway mit anderen Netzen. Ein Angreifer im selben VLAN sendet nun ARP-Replies mit der Aussage, seine eigene MAC-Adresse gehöre zur IP des Gateways. Der Client aktualisiert seinen ARP-Cache entsprechend. Danach sendet er Verkehr an die MAC des Angreifers statt an die MAC des Routers.

Wenn der Angreifer den Verkehr weiterleitet, bleibt die Verbindung für den Benutzer scheinbar funktionsfähig. Genau das macht den Angriff besonders tückisch.

Typischer Ablauf eines MITM über ARP

Wie Dynamic ARP Inspection solche Angriffe verhindert

Dynamic ARP Inspection verhindert solche Manipulationen, indem der Switch ARP-Nachrichten nicht einfach ungeprüft weiterleitet. Stattdessen vergleicht DAI die Angaben in einem ARP-Paket mit einer vertrauenswürdigen Datenbasis. Stimmt die Kombination aus IP-Adresse, MAC-Adresse und Port nicht mit den erwarteten Werten überein, verwirft der Switch das Paket.

Dadurch kann ein Angreifer nicht mehr beliebig behaupten, eine fremde IP-Adresse gehöre zu seiner MAC-Adresse, sofern der Switch die legitimen Zuordnungen kennt.

Was DAI konkret prüft

Die Rolle der DHCP Snooping Binding Table

Dynamic ARP Inspection arbeitet in Cisco-Umgebungen typischerweise auf Basis der DHCP Snooping Binding Table. Diese Tabelle enthält Informationen darüber, welcher Client über welchen Port welche IP-Adresse per DHCP erhalten hat. Dazu gehören meist IP-Adresse, MAC-Adresse, VLAN und Interface.

DAI nutzt genau diese Tabelle als Referenz. Wenn ein ARP-Paket von einem untrusted Port kommt, kann der Switch prüfen, ob die darin behauptete IP-MAC-Zuordnung zur bekannten DHCP-Bindung passt. Wenn nicht, wird das Paket verworfen.

Warum DHCP Snooping dafür so wichtig ist

Wichtige Einordnung

In der Praxis ist DHCP Snooping meist die Voraussetzung für effektives Dynamic ARP Inspection in Client-VLANs.

Trusted und Untrusted Ports bei DAI

Wie bei DHCP Snooping arbeitet auch Dynamic ARP Inspection mit trusted und untrusted Ports. Diese Unterscheidung ist entscheidend, weil nicht jeder Port gleich behandelt wird.

Untrusted Port

Untrusted Ports sind typischerweise Access-Ports zu Clients. Auf solchen Ports prüft DAI eingehende ARP-Nachrichten streng gegen die erwarteten Werte. Das ist sinnvoll, weil genau dort potenziell kompromittierte oder unerlaubte Geräte angeschlossen sind.

Trusted Port

Trusted Ports sind typischerweise Uplinks zu anderen vertrauenswürdigen Switches, zu Routern oder zu Infrastrukturpfaden, über die legitimer Verkehr kommt. Auf trusted Ports wird ARP-Verkehr nicht in derselben Weise gefiltert.

Einfach eingeordnet

Für welche VLANs DAI aktiviert wird

Dynamic ARP Inspection wird VLAN-bezogen aktiviert. Das ist logisch, weil ARP innerhalb lokaler Broadcast-Domains arbeitet. In der Praxis sind vor allem Benutzer- und Access-VLANs relevant, in denen viele Endgeräte per DHCP arbeiten.

Typische Einsatz-VLANs

Mit Vorsicht zu betrachten

Gerade bei statisch adressierten Geräten muss DAI bewusst geplant werden, weil dort keine DHCP-Bindings vorliegen.

Grundkonfiguration von Dynamic ARP Inspection auf Cisco-Switches

Die Aktivierung erfolgt in mehreren Schritten. In der Praxis wird zuerst DHCP Snooping korrekt eingerichtet, danach DAI für die gewünschten VLANs aktiviert und schließlich werden die Infrastruktur-Ports als trusted markiert.

Einfaches Beispiel

ip dhcp snooping
ip dhcp snooping vlan 10

ip arp inspection vlan 10

interface GigabitEthernet1/0/24
 description Uplink-zum-Distribution-Switch
 ip dhcp snooping trust
 ip arp inspection trust

Diese Konfiguration bedeutet:

Alle anderen Ports bleiben standardmäßig untrusted.

Warum trusted Ports sorgfältig gewählt werden müssen

Ein häufiger Fehler besteht darin, zu viele Ports als trusted zu markieren. Damit würde der Schutz von DAI praktisch ausgehebelt. Nur wirklich vertrauenswürdige Infrastrukturpfade sollten als trusted gesetzt werden. Ein normaler Benutzerport darf nicht trusted sein, nur weil es bequemer erscheint.

Typische trusted Ports

Typische untrusted Ports

Was passiert, wenn DAI ein ungültiges ARP-Paket erkennt?

Wenn ein untrusted Port ein ARP-Paket sendet, dessen Angaben nicht mit der DHCP Snooping Binding Table oder anderen zulässigen Werten übereinstimmen, blockiert der Switch dieses Paket. Dadurch gelangt die gefälschte IP-MAC-Zuordnung nicht in den restlichen Broadcast-Domain.

Je nach Plattform und Konfiguration können solche Ereignisse auch gezählt, geloggt oder für Monitoring sichtbar gemacht werden.

Typische Folgen

ARP ACLs bei statischen Geräten

Eine wichtige praktische Grenze von DAI ist, dass die Funktion typischerweise mit der DHCP Snooping Binding Table arbeitet. Wenn Geräte statische IP-Adressen nutzen, existieren diese dynamischen Bindings nicht automatisch. In solchen Fällen können ARP ACLs verwendet werden, um gültige statische IP-MAC-Zuordnungen explizit zu erlauben.

Das ist vor allem für Server, Drucker, Management-Interfaces oder andere statisch konfigurierte Systeme relevant.

Warum ARP ACLs nötig sein können

Beispiel einer ARP ACL

arp access-list STATIC-HOSTS
 permit ip host 192.168.10.10 mac host 0011.2233.4455

Damit wird für diesen Host eine statische zulässige ARP-Zuordnung definiert.

Rate Limiting bei DAI

Dynamic ARP Inspection kann auf untrusted Ports zusätzlich die Rate von ARP-Paketen begrenzen. Das hilft gegen missbräuchlich hohe ARP-Last oder bestimmte Angriffsmuster. Wenn ein Port ungewöhnlich viele ARP-Pakete sendet, kann der Switch reagieren und den Verkehr begrenzen oder den Port schützen.

Warum das sinnvoll ist

Beispiel für eine Begrenzung

interface FastEthernet0/10
 ip arp inspection limit rate 15

Damit wird die ARP-Rate auf diesem Port begrenzt.

DAI in der Praxis: Wo der Einsatz besonders sinnvoll ist

Dynamic ARP Inspection ist vor allem in Client-VLANs und auf Access-Switches sinnvoll, also genau dort, wo viele Benutzergeräte angeschlossen sind und wo ARP Spoofing praktisch relevant werden kann. In offenen Büroflächen, Schulungsumgebungen, Laboren oder allgemein in Bereichen mit wenig kontrollierten Client-Geräten bringt DAI einen klaren Sicherheitsgewinn.

Typische Einsatzorte

Mit Bedacht zu planen

Dynamic ARP Inspection überprüfen und verifizieren

Nach der Aktivierung sollte DAI immer kontrolliert werden. Cisco-Switches bieten dafür mehrere Show-Befehle, mit denen sich Status, VLAN-Zuordnung, Trusted-Ports und erkannte Ereignisse prüfen lassen.

Wichtige Prüfbefehle

show ip arp inspection
show ip arp inspection vlan 10
show ip arp inspection interfaces
show ip dhcp snooping binding
show running-config interface GigabitEthernet1/0/24

Was sich damit prüfen lässt

Häufige Fehler bei Dynamic ARP Inspection

DAI ist eine wirkungsvolle Funktion, kann aber bei falscher Planung legitimen Verkehr stören. Die häufigsten Probleme entstehen durch fehlende DHCP-Snooping-Bindings, falsch gesetzte Trusted-Ports oder den Einsatz in Netzen mit vielen statischen IP-Adressen ohne ergänzende ARP ACLs.

Typische Fehlerquellen

Typische Symptome

Ein einfaches Praxisbeispiel

Angenommen, ein Client-VLAN 10 versorgt Arbeitsplatz-PCs in einem Büro. Das Default Gateway liegt auf einem Layer-3-Switch oder Router, und DHCP wird zentral bereitgestellt. Ohne DAI könnte ein Benutzer ein eigenes Gerät anschließen und per ARP Spoofing behaupten, die Gateway-IP gehöre zu seiner MAC-Adresse.

Mit DHCP Snooping und DAI sieht die Schutzlogik so aus:

Beispielkonfiguration

ip dhcp snooping
ip dhcp snooping vlan 10

ip arp inspection vlan 10

interface GigabitEthernet1/0/24
 description Uplink-zum-Core
 ip dhcp snooping trust
 ip arp inspection trust

interface range FastEthernet0/1 - 24
 ip arp inspection limit rate 15

Diese Konfiguration schützt das Client-VLAN 10 gegen viele typische ARP-Manipulationen.

Grenzen von Dynamic ARP Inspection

DAI ist sehr wirksam gegen ARP-Spoofing auf Layer 2, aber keine vollständige Sicherheitslösung. Die Funktion schützt nicht gegen alle Arten von Netzwerkangriffen und ersetzt weder Segmentierung noch Authentifizierung oder Firewalls. Sie sollte deshalb als ein Teil eines umfassenderen Sicherheitskonzepts verstanden werden.

Was DAI gut kann

Was DAI nicht ersetzt

Best Practices für den Einsatz von DAI

Warum Dynamic ARP Inspection ein so wichtiger Layer-2-Schutz ist

ARP läuft im Hintergrund und wird im Alltag kaum wahrgenommen. Genau das macht ARP-basierte Angriffe so gefährlich: Sie greifen eine grundlegende Mechanik des lokalen Netzwerks an, ohne für Benutzer sofort sichtbar zu sein. Dynamic ARP Inspection schützt diese Schwachstelle direkt auf der Switch-Ebene und verhindert, dass Hosts beliebige ARP-Zuordnungen ins Netz einspeisen.

Wer sichere Access-Netze bauen möchte, sollte DAI deshalb nicht als Spezialfunktion betrachten, sondern als wichtigen Bestandteil moderner Layer-2-Sicherheit. In Kombination mit DHCP Snooping und sauberer Segmentierung entsteht so ein deutlich robusteres und vertrauenswürdigeres LAN.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.

Exit mobile version