Pesquisar conteúdos

Encontre uma trilha ou aula pelo assunto.

Experimente pesquisar por “governança”, “ITIL” ou “planejamento”.

Conteúdo da trilha

Ethernet, endereços MAC, ARP e NDP

Entenda a entrega dentro do enlace e como IPv4 e IPv6 descobrem o endereço de um vizinho ou roteador local.
Enlace e endereçamento5 de 1616 min de leitura
Notebook consulta dispositivos de uma rede Ethernet por um switch e recebe a resposta do vizinho correto

Entrega IP e entrega Ethernet respondem a perguntas diferentes

Ao enviar dados, um computador pode conhecer o endereço IP do destino e ainda não saber como transmitir o próximo quadro no enlace local. O IP identifica a ponta lógica da comunicação; Ethernet precisa identificar quem receberá o quadro neste trecho.

Essa diferença é essencial quando o destino está longe. Se um notebook acessa um servidor na Internet, o pacote mantém o IP desse servidor, mas o primeiro quadro Ethernet normalmente tem como destino o endereço de enlace do roteador local. O endereço MAC do servidor remoto não viaja de roteador em roteador.

A sequência mental correta possui quatro decisões:

  1. identificar o endereço IP de destino;
  2. consultar a configuração e as rotas para escolher o próximo salto;
  3. descobrir o endereço de enlace desse próximo salto, se ele ainda não estiver no cache;
  4. montar o quadro e transmiti-lo.

No IPv4 sobre Ethernet, essa descoberta costuma usar ARP. No IPv6, ela faz parte do Neighbor Discovery Protocol (NDP). Antes de comparar os dois, é preciso entender o que o quadro e o endereço MAC representam.

O quadro Ethernet transporta dados dentro do enlace

Ethernet é uma família de tecnologias padronizada pelo IEEE 802.3. Ela abrange diferentes meios físicos e velocidades, mas preserva uma função reconhecível no enlace: transmitir quadros entre interfaces participantes da mesma infraestrutura Ethernet.

Em uma visão didática, o quadro reúne:

  • endereço MAC de destino: indica o receptor ou conjunto de receptores no enlace;
  • endereço MAC de origem: identifica a interface que transmitiu aquele quadro;
  • EtherType ou campo de tipo/comprimento: ajuda a interpretar o conteúdo carregado;
  • payload: pode conter, por exemplo, um pacote IPv4 ou IPv6;
  • Frame Check Sequence (FCS): permite detectar determinadas alterações acidentais ocorridas durante a transmissão.

Há ainda regras de tamanho, preenchimento e transmissão. Preâmbulo, delimitador de início e intervalo entre quadros participam da operação Ethernet, mas não devem ser confundidos indiscriminadamente com os campos do quadro MAC. Para formar um modelo inicial, os cinco elementos acima mostram o que interessa à entrega local.

Quadro Ethernet com MAC de destino, MAC de origem, EtherType, payload e FCS chega a um switch, que aprende a origem e procura a porta associada ao destino
O endereço de origem alimenta a aprendizagem básica do switch; o endereço de destino orienta o encaminhamento. O pacote IP viaja como payload do quadro.

O FCS detecta erros segundo o mecanismo definido pelo protocolo; ele não autentica o remetente e não protege contra alterações maliciosas. Confundir verificação de transmissão com segurança criptográfica atribui ao enlace uma garantia que ele não oferece.

Endereço MAC identifica uma interface no contexto do enlace

Um endereço MAC Ethernet é normalmente representado por 48 bits, exibidos como seis grupos hexadecimais. Seu papel prático é identificar origem e destino de quadros no domínio Ethernet aplicável.

Há três formas importantes de destino:

  • unicast: o quadro é destinado a uma interface;
  • multicast: o destino representa um grupo de interfaces interessadas;
  • broadcast: o endereço com todos os bits em 1 alcança o domínio de broadcast local.

O endereço de origem de um quadro comum identifica uma única interface. O destino, por sua vez, pode ser individual ou coletivo. Broadcast não significa “toda a Internet”: roteadores não encaminham um quadro Ethernet de broadcast como se ele fosse uma mensagem global.

Também é perigoso tratar MAC como identidade física eterna. Interfaces podem usar endereços administrados localmente, sistemas podem randomizá-los para privacidade e configurações virtuais podem atribuir valores diferentes do endereço gravado pelo fabricante. Um MAC observado ajuda a analisar o enlace naquele momento; sozinho, não prova quem é a pessoa, onde está o equipamento nem se o valor nunca mudará.

O switch aprende origens e encaminha destinos

Em sua função básica, um switch Ethernet observa o endereço MAC de origem de um quadro e associa essa origem à porta pela qual o quadro chegou. Essa informação alimenta uma tabela de encaminhamento.

Ao receber outro quadro, o switch procura o MAC de destino:

  • se conhece a porta associada, encaminha o quadro pela saída apropriada;
  • se o destino unicast ainda é desconhecido, replica o quadro pelas portas aplicáveis, exceto a de entrada;
  • se o destino é broadcast, replica-o dentro do domínio de broadcast aplicável;
  • se é multicast, o comportamento depende dos recursos de tratamento de grupos e da configuração.

Esse é apenas o núcleo da comutação. Envelhecimento de entradas, VLANs, separação de domínios, prevenção de loops e protocolos de árvore serão tratados na aula específica sobre switches e VLANs. O ponto importante aqui é: o switch encaminha o endereço que já está no quadro; ele não usa ARP para decidir por todos os hosts.

Antes do ARP, o host precisa escolher o próximo salto

Considere um notebook com IPv4 192.0.2.10/24 e gateway 192.0.2.1. Ele deseja enviar um pacote para um endereço de destino.

Se o destino for 192.0.2.80, a comparação com o prefixo indica que ele está no mesmo enlace IP. O próximo salto é o próprio destino. O notebook precisa descobrir qual endereço MAC corresponde a 192.0.2.80.

Se o destino for 198.51.100.20, ele não pertence ao prefixo local. Uma rota, frequentemente a rota padrão, escolhe 192.0.2.1 como próximo salto. O notebook então procura o MAC de 192.0.2.1, não o MAC de 198.51.100.20.

Decisão divide o envio em dois caminhos: destino na mesma rede usa ARP para o próprio destino; destino em outra rede usa ARP para o gateway
ARP resolve o participante imediato do enlace. Em uma comunicação remota, o pacote conserva o IP final, enquanto o quadro aponta para o gateway local.

Os endereços usados no exemplo pertencem a blocos reservados para documentação. Em uma rede real, os valores serão outros, mas a decisão permanece: selecionar a rota vem antes de resolver o endereço de enlace.

ARP resolve endereços no IPv4

O Address Resolution Protocol permite obter um endereço de hardware a partir de um endereço de protocolo. No cenário mais comum desta aula, ele relaciona um endereço IPv4 a um endereço MAC Ethernet.

Quando a correspondência ainda não está disponível, ocorre um fluxo conceitual:

  1. o host cria um ARP Request com seu IPv4 e MAC e informa o IPv4 procurado;
  2. o quadro que carrega a solicitação usa o destino Ethernet de broadcast, de modo que as interfaces do enlace possam recebê-lo;
  3. cada participante verifica o IPv4 consultado;
  4. o participante que possui esse IPv4 envia um ARP Reply, normalmente em unicast, informando seu MAC;
  5. o solicitante guarda a associação em uma tabela ou cache e transmite o quadro pendente.

ARP não está encapsulado dentro de IP. O campo EtherType distingue a mensagem ARP de um pacote IPv4. Isso explica por que uma captura pode mostrar um ARP Request antes do primeiro pacote IP para um vizinho ainda desconhecido.

O cache evita uma solicitação para cada quadro. Entradas podem envelhecer, mudar de estado ou ser reaprendidas conforme o sistema operacional. Os tempos e nomes exatos variam; não existe um prazo universal que deva ser memorizado como regra de toda implementação.

O que o ARP Request realmente pergunta

A pergunta pode ser lida como: “quem possui este endereço IPv4 no enlace e qual é seu endereço de hardware?”. Todos recebem a difusão, mas somente o participante responsável pelo IPv4 consultado deve responder no fluxo normal.

Uma resposta também carrega dados do solicitante e do respondente. Os nós podem aproveitar essas informações para atualizar associações. Esse aprendizado prático melhora a eficiência, mas também revela uma característica de segurança: o protocolo básico depende da confiança nas mensagens recebidas.

IPv6 usa Neighbor Discovery, não ARP

O IPv6 não utiliza ARP. A resolução do endereço de enlace faz parte do NDP, definido sobre mensagens ICMPv6. Para uma interface multicast-capable, o fluxo de resolução usa principalmente:

  1. Neighbor Solicitation (NS): o host pergunta pelo endereço de enlace do vizinho;
  2. a solicitação é enviada ao endereço multicast solicited-node correspondente ao IPv6 alvo;
  3. Neighbor Advertisement (NA): o alvo responde e fornece a informação de enlace;
  4. a associação é registrada no cache de vizinhos e o pacote pendente pode ser enviado.

O uso de solicited-node multicast reduz o conjunto de nós que precisa processar a consulta em comparação com o broadcast do ARP. Isso não significa que a mensagem viaje para um único dispositivo desde o início nem que toda infraestrutura trate multicast da mesma forma; significa que a seleção usa um grupo derivado do endereço alvo.

Comparação mostra ARP Request IPv4 chegando a todos por broadcast e Neighbor Solicitation IPv6 chegando ao grupo solicited-node multicast, seguidos por ARP Reply e Neighbor Advertisement
ARP e NDP podem resolver um vizinho, mas NDP usa ICMPv6 e multicast. Ele também oferece funções que vão além da correspondência entre IP e endereço de enlace.

NDP é mais amplo que “ARP para endereços maiores”. Suas mensagens também participam de:

  • descoberta de roteadores e prefixos com Router Solicitation e Router Advertisement;
  • descoberta de parâmetros do enlace;
  • detecção de endereços duplicados;
  • verificação de que um vizinho continua alcançável;
  • redirecionamento para um primeiro salto melhor em situações definidas.

Como NDP depende de ICMPv6, bloquear ICMPv6 indiscriminadamente pode interromper funções fundamentais do IPv6. Uma política de segurança deve filtrar mensagens conforme função, origem, escopo e controles adequados, e não partir da premissa de que todo ICMP é descartável.

ARP e NDP possuem semelhanças, mas não são equivalentes

Ambos resolvem uma necessidade comum: o host conhece o endereço IP do próximo salto, mas precisa de informação do enlace para transmitir. Ambos mantêm associações em cache e podem emitir uma consulta quando a entrada não existe ou deixou de ser válida.

As diferenças centrais são:

  • ARP é um protocolo próprio transportado diretamente pelo enlace; NDP usa ICMPv6;
  • a solicitação ARP sobre Ethernet é difundida em broadcast; a Neighbor Solicitation de resolução usa solicited-node multicast;
  • ARP concentra-se na resolução; NDP integra descoberta de roteadores, parâmetros, endereços duplicados e alcançabilidade de vizinhos;
  • caches IPv6 possuem estados definidos para acompanhar alcançabilidade, não apenas uma lista estática de pares.

Por isso, “NDP é o ARP do IPv6” pode servir como primeira aproximação, mas é incompleto. Uma explicação precisa acrescenta que a resolução é apenas uma das responsabilidades do Neighbor Discovery.

A tabela de vizinhos conecta teoria e diagnóstico

Sistemas operacionais mantêm uma visão das associações conhecidas. Dependendo da plataforma, ela pode ser chamada de tabela ARP, cache ARP, tabela de vizinhos ou neighbor cache. Ferramentas modernas costumam apresentar IPv4 e IPv6 em uma interface comum.

Uma entrada normalmente permite relacionar:

  • interface local usada;
  • endereço IPv4 ou IPv6 do vizinho;
  • endereço de enlace conhecido;
  • estado da associação, como incompleta, alcançável, antiga ou com falha, conforme o sistema e o protocolo.

O nome exato de um estado não deve ser interpretado sem a documentação da plataforma. Uma entrada “stale”, por exemplo, não significa necessariamente que a comunicação já falhou; no NDP, ela indica que a alcançabilidade não foi confirmada recentemente e poderá ser verificada quando houver tráfego.

Um roteiro de diagnóstico local

Quando um host não alcança um destino, siga a ordem das decisões:

  1. confirme a interface, o endereço IP e o prefixo configurados;
  2. determine se o destino deveria ser local ou usar um gateway;
  3. confira se existe uma rota e qual próximo salto ela escolheu;
  4. observe a entrada do próximo salto na tabela de vizinhos;
  5. em uma captura, procure ARP Request e Reply ou NS e NA;
  6. verifique se a resposta retorna pela interface esperada;
  7. só depois avance para transporte, DNS ou aplicação.

Se o ARP Request se repete e não há Reply, o problema pode estar no enlace, no endereçamento, na separação lógica da rede, no dispositivo alvo ou em algum controle intermediário. Se não existe solicitação alguma, talvez a rota tenha escolhido outra interface, a entrada em cache esteja sendo usada ou o tráfego nem tenha sido gerado.

No IPv6, solicitações sem anúncios podem indicar um alvo ausente, seleção incorreta de enlace, filtro inadequado de ICMPv6 ou falha de multicast. Um diagnóstico consistente busca evidências antes de apagar caches ou reiniciar equipamentos.

Resolução de vizinhos também é uma fronteira de segurança

ARP básico não autentica as associações anunciadas. Um participante malicioso no mesmo domínio pode tentar enviar informações falsas e desviar tráfego. NDP também possui ameaças próprias, como anúncios de vizinho ou roteador falsificados, apesar de incluir validações de escopo e hop limit.

Isso não significa que cada rede precise da mesma defesa. Segmentação, controle de acesso ao enlace, inspeção e validação oferecidas por equipamentos, monitoramento e proteção dos próprios dispositivos compõem decisões de risco. A visão mais ampla está em Segurança de redes: firewall, VPN e segmentação.

Não use o endereço MAC como autenticação forte. Como ele pode ser observado e alterado em muitos ambientes, uma regra baseada apenas nesse valor oferece identificação operacional limitada, não prova criptográfica de identidade.

Erros comuns sobre Ethernet, ARP e NDP

  • procurar o MAC de um servidor remoto: a origem resolve o endereço do próximo salto local, normalmente o gateway;
  • achar que o MAC atravessa a Internet: cada enlace cria seu próprio quadro e usa endereços compatíveis com aquele trecho;
  • dizer que ARP transforma IP em MAC: ele descobre e registra uma associação; não converte matematicamente um endereço no outro;
  • tratar broadcast como mensagem global: a difusão fica limitada ao domínio local e não é roteada como quadro Ethernet pela Internet;
  • chamar NDP apenas de ARP do IPv6: a resolução é uma função entre várias;
  • bloquear todo ICMPv6: isso pode impedir Neighbor Discovery e outras operações essenciais;
  • supor que MAC nunca muda: virtualização, administração local e privacidade tornam essa hipótese insegura;
  • atribuir ARP ao switch: quem precisa transmitir consulta sua associação; o switch encaminha os quadros resultantes;
  • limpar tabelas como primeira solução: a alteração destrói evidências e pode apenas esconder temporariamente o problema.

O que você deve guardar

Ethernet entrega quadros no enlace. O endereço MAC identifica a origem e o destino dessa transmissão local, enquanto o pacote carregado conserva os endereços IP usados para a comunicação lógica.

Antes de montar o quadro, o host decide qual é o próximo salto. Se o destino está no mesmo enlace, resolve o próprio destino. Se está em outra rede, resolve o gateway escolhido pela rota. ARP faz essa resolução no IPv4; NDP usa Neighbor Solicitation e Neighbor Advertisement no IPv6 e ainda oferece descoberta de roteadores, parâmetros e alcançabilidade.

Referências