Profile picture

[네트워크] 와이어샤크(Wireshark)로 ARP 패킷 분석해보기

JaehyoJJAng2024년 06월 03일

ARP 연결 준비

ARP 목록 확인

arp -a

...
? (192.168.219.151) at 9c:6b:00:2b:08:40 [ether] on ens18

테스트를 위해 192.168.219.151을 ARP 테이블에서 삭제할 것임.


ARP 재등록을 위해 192.168.219.151으로 ICMP 패킷 전송

ping 192.168.219.151

그리고 다시 arp -a를 수행해보면

? (192.168.219.151) at 9c:6b:00:2b:08:40 [ether] on ens18

ping을 보낸 결과 최종적으로 151 IP가 등록된 것을 볼 수 있음.


ARP 패킷

image

  • ARP 패킷은 요청과 응답 두 가지의 패킷으로 분류된다.
  • ping 테스트를 하였으므로 마지막 두 개의 ICMP 패킷이 찍혔다.

ARP Request

image

  • 첫 번째의 ARP 요청 패킷이다. 요청 패킷에는 목적지 패킷이 ff:ff:ff:ff:ff:ff로 되어있다. 해당 주소는 Broadcast 주소이다.
  • 수신 측 주소를 모르기 때문에 IP만 실어서 Broadcast로 전송을 하게 된다. 해당 IP를 가진 사람이 누구인지 요청 하는 메시지이다.

image

  • ARP 요청 패킷의 내용을 보면 목적지 MAC 주소가 00:00:00:00:00:00으로 비워져 있는게 보일거다.
  • IP는 알고 있지만 MAC 주소 정보가 없으니 0으로 비워두고 FF:FF:FF:FF:FF:FF(Broadcast) 주소로 네트워크 전체에 보내는 패킷임을 확인할 수 있다.

ARP Reply

image

  • 두 번째는 요청한 Request 패킷에대해서 응답을 해주는 Reply 패킷이다.
  • .114가 .151의 정확한 MAC 주소를 모르기에 ARP Request를 먼저 보내 해당 IP가 누구인지 알려달라는 요청을 맨 처음에 Broadcast 주소로 보냈다.
  • 여기서 해당 주소를 가진 .151가 자신이라며 ARP Reply를 .114에게 보낸다.

image

  • ARP에 Reply 패킷이라는 것을 먼저 볼 수 있다.
  • 자신의 MAC 주소를 함께 실어서 Request를 요청했던 측으로 보내는 것을 볼 수 있다.
Loading script...