Site icon bintorosoft.com

ARP/MACTable prüfen: show mac address-table praxisnah erklärt

Red Snapper

internet concept

Wenn Endgeräte „nicht erreichbar“ sind, VLANs scheinbar nicht stimmen oder du einen Layer-2-Angriff vermutest, sind zwei Tabellen entscheidend: die ARP-Tabelle (IP → MAC) und die MAC Address Table (MAC → Port/VLAN). In Cisco-Netzen bekommst du damit sehr schnell Klarheit, wo ein Gerät wirklich hängt, ob MACs flappen, ob ein Switch floodet oder ob ARP-Spoofing im Spiel ist. Dieser Leitfaden erklärt show mac address-table praxisnah, zeigt typische Workflows (Client finden, Uplink verfolgen, Flapping erkennen) und ergänzt die wichtigsten ARP-Checks.

Grundprinzip: ARP-Tabelle vs. MAC Address Table

Beide Tabellen beantworten unterschiedliche Fragen. Erst zusammen ergibt sich das vollständige Bild vom „IP-Paket bis zum Switchport“.

Die drei Standard-Commands

show ip arp
show mac address-table
show mac address-table dynamic

show mac address-table richtig lesen: Spalten und Bedeutung

Der Output enthält typischerweise VLAN, MAC-Adresse, Typ (dynamic/static) und das Interface. Genau diese vier Werte brauchst du für fast jedes Layer-2-Troubleshooting.

MAC Table anzeigen (Grundansicht)

show mac address-table

Praxis-Workflow 1: Client über IP finden (ARP → MAC → Port)

Wenn du die IP eines Clients kennst, ist das der schnellste Weg zur physikalischen Lokation. Wichtig: ARP sitzt meist auf dem L3-Gateway (SVI) oder auf einem Router, nicht zwingend auf dem Access-Switch.

1) MAC zur IP ermitteln

show ip arp | include 10.1.10.55

2) MAC im VLAN auf dem Switch suchen

show mac address-table | include aaaa.bbbb.cccc
show mac address-table vlan 10 | include aaaa.bbbb.cccc

3) Port prüfen und verifizieren

show interfaces status | include Gi1/0/10
show interfaces gigabitEthernet 1/0/10 switchport

Praxis-Workflow 2: Port „rückwärts“ prüfen (Was hängt an diesem Port?)

Wenn du einen verdächtigen Port hast (z. B. Loop, Rogue-Switch, MAC Flood), prüfe, wie viele MACs dort gelernt werden. Ein normaler Client-Port hat meist 1 MAC (oder 2 bei Phone+PC). Viele MACs sind verdächtig.

MACs auf einem Interface anzeigen

show mac address-table interface gigabitEthernet 1/0/10
show mac address-table dynamic interface gigabitEthernet 1/0/10

Interpretation (Faustregeln)

Praxis-Workflow 3: Uplinks und Port-Channels erkennen (MACs landen auf PoX)

Wenn die MAC Table einen Port-Channel zeigt, ist das gut: Der Traffic geht über den gebündelten Uplink. Wenn du hingegen erwartest, dass es ein Port-Channel ist, aber MACs auf Einzelports landen, ist EtherChannel oft nicht sauber gebündelt.

MACs auf Port-Channel ansehen

show mac address-table interface port-channel 1
show etherchannel summary

Hinweis

STP und MAC Learning sollten bei einem sauberen Bundle den Port-Channel sehen, nicht die einzelnen Member-Interfaces.

MAC-Flapping erkennen: Wenn MACs „wandern“

MAC-Flapping ist ein starkes Loop- oder Topologieproblem: Dieselbe MAC wird abwechselnd auf unterschiedlichen Ports gelernt. Das verursacht Unicast Flooding, TCNs und sporadische Ausfälle.

Logs auf MAC-Flapping prüfen

show logging | include MACFLAP|MAC move|FLAP

MAC gezielt beobachten

show mac address-table | include aaaa.bbbb.cccc

Typische Ursachen

MAC Address Table Overflow: Angriffsmuster erkennen

Bei MAC Flooding steigt die Anzahl dynamischer MACs sprunghaft. Dadurch wird Unknown-Unicast Flooding wahrscheinlicher. Ein starker Hinweis ist ein einzelner Access-Port mit sehr vielen MACs in kurzer Zeit.

MAC Table Größe und Dynamik prüfen

show mac address-table count
show mac address-table dynamic
show mac address-table interface gigabitEthernet 1/0/10

Abwehrmaßnahmen (Kurzliste)

ARP praxisnah prüfen: Typische ARP-Probleme und Indikatoren

ARP-Probleme wirken wie „IP-Probleme“, sind aber oft Layer 2: falsche Zuordnung, ARP Spoofing oder fehlende Bindings bei DAI/IPSG. Prüfe ARP-Einträge auf Plausibilität.

ARP-Tabellen prüfen

show ip arp
show ip arp vlan 10

Warnsignale im ARP-Kontext

DAI/DHCP Snooping Kontext: Wenn ARP/MAC „nicht passt“

In gehärteten Netzen können DAI und DHCP Snooping ARP-/DHCP-Traffic droppen. Dann wirkt es so, als ob ARP/MAC „kaputt“ wäre, obwohl Security greift. Prüfe deshalb Bindings und DAI-Status.

show ip dhcp snooping binding
show ip arp inspection vlan 10
show logging | include DHCP|SNOOP|ARP|INSPECTION|DAI

Checkliste: Häufige Fragen, die du mit MAC/ARP sofort beantwortest

Best Practices: MAC/ARP-Auswertung im Betrieb standardisieren

Wenn du MAC/ARP konsequent nutzt, wird Troubleshooting schneller und sicherer. Entscheidend ist ein sauberer Pfad: Management-Zugriff, NTP-Zeit und zentrale Logs.

copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version