ARP：その「信頼」という名の脆弱性。ネットワークの深淵を覗く
ネットワークエンジニアとして数多の障害現場を潜り抜けてきた私だが、今なお「ARP」というプロトコルには底知れぬ恐怖と魅力を感じている。
OSI参照モデルの第2層（データリンク層）と第3層（ネットワーク層）の橋渡しをするこのプロトコルは、現代のイーサネットネットワークの根幹だ。しかし、その動作原理はあまりに「性善説」に基づいている。今回は、この古典的だが極めて重要なARPの挙動を、パケットレベルの解像度で再定義し、現代のセキュリティアーキテクチャにおいてどう向き合うべきかを深掘りしていこう。
—
ARPの真実：パケットは「誰」を探しているのか
あなたがブラウザにURLを入力し、TLSハンドシェイクが始まるその瞬間、裏側では凄まじい速度でARPのやり取りが行われている。
1. ARP Request: 送信元ノードは、宛先IPアドレスに対応するMACアドレスを知らない。そのため、ブロードキャストアドレス FF:FF:FF:FF:FF:FF を宛先として、「IPアドレス xxx.xxx.xxx.xxx を持っている奴は誰だ？ MACアドレスを教えろ」というパケットをセグメント全体に叩き込む。
2. ARP Reply: 該当するIPを持つホストがこれを受信し、自身のMACアドレスをユニキャストで返信する。
このやり取りにより、ホストのメモリ内には「IP ↔ MAC」の変換テーブル、すなわち ARPキャッシュ が生成される。ここで重要なのは、この通信には認証が存在しないということだ。
ARPポイズニング：信頼の悪用
悪意ある攻撃者がネットワーク内に存在する場合、受信したARPリクエストを待たずして、偽のARPリプライを送りつける「Gratuitous ARP（無償ARP）」攻撃が可能になる。これにより、ターゲットのARPキャッシュを汚染（ポイズニング）し、通信を強制的に傍受・改ざんする中間者攻撃（MitM）が成立する。
—
パフォーマンスとセキュリティの境界線
インフラアーキテクトとして、ARPの効率化とセキュリティ対策の両立は常に悩ましい課題だ。特に、高トラフィックな環境ではARPキャッシュの枯渇やタイムアウト設定がスループットに直結する。
LinuxにおけるARPキャッシュのチューニング
Linuxカーネルのネットワークパラメータを適切に設定することで、ARPの安定性とレスポンスを改善できる。/etc/sysctl.conf に以下の設定を投入するのが現場の定石だ。
# ARPキャッシュの最大保持数を増やす（大規模環境向け）
net.ipv4.neigh.default.gc_thresh1 = 128
net.ipv4.neigh.default.gc_thresh2 = 512
net.ipv4.neigh.default.gc_thresh3 = 1024
# ARPのリクエスト間隔を短縮し、ネットワーク変動に追従させる
net.ipv4.neigh.default.base_reachable_time_ms = 30000
# 厳格なARPモード：インターフェースに紐付くIPのみに応答する（セキュリティ強化）
net.ipv4.conf.all.arp_ignore = 1
net.ipv4.conf.all.arp_announce = 2特に arp_ignore = 1 は重要だ。これは、「受信したインターフェースに設定されているIP宛のARPリクエストにのみ回答する」という設定で、マルチホーム環境での意図しないARP応答を防ぐ。
—
現代の防御策：ゼロトラストの視点
ARPが抱える脆弱性をソフトウェアだけで完璧に塞ぐのは不可能に近い。だからこそ、物理層・データリンク層からの防御が必要になる。
1. Dynamic ARP Inspection (DAI) の導入
スイッチ側で、DHCPスヌーピングテーブルを元に「正当なIP-MACペア」を監視する。これに合致しないARPパケットはスイッチ側で即座に破棄（ドロップ）させる。これが、現代のエンタープライズネットワークにおける境界防御の最適解だ。
2. TLSとトランスポート層の最適化
ARPの解決が完了し、ようやくTCPの3-wayハンドシェイク、そしてTLSハンドシェイクへと進む。ここでRTT（ラウンドトリップタイム）を最小化するために、以下の手法が有効だ。
- TCP Fast Open (TFO): 初回ハンドシェイクでデータ送信を可能にし、RTTを削る。
- TLS 1.3の利用: 0-RTT再開機能により、ハンドシェイクの往復回数を1回に削減する。
これらはARPのような低レイヤーの安定性があって初めて機能する。ネットワークの基礎が揺らげば、どんなに高度な暗号化もパフォーマンスを台無しにするのだ。
—
最後に：ネットワークを「信じるな」
我々技術者が持つべきマインドセットは、「ネットワーク上の通信は常に傍受・改ざんされる可能性がある」という前提だ。
ARPの仕組みは美しいほどシンプルだが、そのシンプルさゆえに現代の脅威に対しては脆い。ARPポイズニングを防ぐには、スイッチによる物理的な制御（DAI）と、論理的な防御（IPsecやTLSによるエンドツーエンドの暗号化）を多層的に積み上げることが不可欠だ。
パケットがNICを通過し、カーネルのスタックを登り、アプリケーションに届くまでの数ミリ秒の間に、これだけのドラマと戦術が詰まっている。インフラエンジニアの皆さんは、ぜひ ip neigh show コマンドを叩き、自分のマシンの足元がいかに脆い土台の上に築かれているかを確認してほしい。
技術の深淵を覗くことは、自分たちの守るべきシステムをより強固にすることに他ならないのだから。
コメント