ARP: From IP Address to MAC AddressARP: لە ناونیشانی IP بۆ ناونیشانی MAC

To send data to a device on the same LAN, a computer needs two addresses of the receiver. The IP address names the device on the network; most devices get it automatically from a DHCP server (DHCP), and administrators type it by hand only on servers, printers and routers. The MAC address names the device’s network card; the card’s maker writes it into the card (MAC Addresses and Ethernet Frames).

بۆ ناردنی دراوە (Data) بۆ ئامێرێک لە سەر هەمان ڕایەڵەی ناوچەیی، کۆمپیوتەر دوو ناونیشانی وەرگرەکەی پێویستە. ناونیشانی IP ئامێرەکە لە سەر ڕایەڵەکە دەناسێنێت؛ زۆربەی ئامێرەکان بە شێوەی خۆکار لە ڕاژەکارێکی (Server) DHCP وەریدەگرن (DHCP)، بەڕێوەبەرانیش تەنیا بۆ ڕاژەکارەکان، چاپەرەکان (Printer) و ڕێدۆزەکان (Router) بە دەست دەینووسن. ناونیشانی MAC کارتی ڕایەڵەی (Network interface card) ئامێرەکە دەناسێنێت؛ دروستکەری کارتەکە لە ناو کارتەکەدا دەینووسێت (ناونیشانەکانی MAC و فرەیمەکانی Ethernet).

Aram-PC (192.168.1.10) wants to send something to PC-B (192.168.1.20). It knows PC-B’s IP address — the user typed it, or DNS found it. But the packet travels inside an Ethernet frame, and switches deliver frames by MAC address. Until the “to MAC” box of the frame header is filled, the frame cannot leave. Finding that missing MAC address is the job of ARP, and without it devices on a LAN could not reach each other at all.

⁦Aram-PC (192.168.1.10)⁩ دەیەوێت شتێک بۆ ⁦PC-B (192.168.1.20)⁩ بنێرێت. ناونیشانی IPـی ⁦PC-B⁩ دەزانێت — بەکارهێنەر نووسیویەتی، یان DNS دۆزیویەتییەوە. بەڵام پاکێتەکە (Packet) لە ناو فرەیمێکی Ethernet دەڕوات و سویچەکان (Network switch) فرەیمەکان بەپێی ناونیشانی MAC دەگەیەنن. تا خانەی «بۆ MAC»ـی سەرەی فرەیمەکە پڕ نەکرێتەوە، فرەیمەکە ناتوانێت بڕوات. دۆزینەوەی ئەو ناونیشانی MACـە ونە کاری ARPـە؛ بەبێ ئەو، ئامێرەکانی ڕایەڵەی ناوچەیی هەرگیز نەیاندەتوانی بگەنە یەکتر.

ARP — Address Resolution Protocol — is the protocol that any host or router on a LAN uses to learn, while the network runs, the MAC address that belongs to a known IP address on the same LAN. It was published in November 1982 as RFC 826, and every IPv4 device still uses it. It has two messages: the ARP request and the ARP reply.

ARP — Address Resolution Protocol — ئەو پرۆتۆکۆڵەیە (Protocol) کە هەر میوانگر یان ڕێدۆزێکی سەر ڕایەڵەی ناوچەیی بەکاری دەهێنێت بۆ ئەوەی لە کاتی کارکردنی ڕایەڵەکەدا ئەو ناونیشانی MACـە فێر ببێت کە هی ناونیشانێکی IPـی زانراوە لە سەر هەمان ڕایەڵەی ناوچەیی. لە تشرینی دووەمی ⁦1982⁩ وەک ⁦RFC 826⁩ بڵاو کرایەوە و هێشتا هەموو ئامێرێکی IPv4 بەکاری دەهێنێت. دوو پەیامی هەیە: داواکاریی ARP و وەڵامی ARP.

Mind the direction. ARP starts from the IP address, which the sender already knows, and finds the MAC address. It never turns a MAC address into an IP address; that opposite job belonged to RARP, which is history now (see below). ARP also stays inside one LAN: it serves IP, the layer-3 protocol, but its messages travel in layer-2 frames and never cross a router.

ئاگاداری ئاڕاستەکە بە. ARP لە ناونیشانی IP دەست پێ دەکات، کە نێرەر پێشتر دەیزانێت. پاشان ناونیشانی MAC دەدۆزێتەوە. هەرگیز ناونیشانی MAC ناکات بە ناونیشانی IP؛ ئەو کارە پێچەوانەیە هی RARP بوو کە ئێستا مێژووە (لە خوارەوە). هەروەها ARP لە ناو یەک ڕایەڵەی ناوچەییدا دەمێنێتەوە: خزمەتی IP دەکات کە پرۆتۆکۆڵی چینی 3ـیە، بەڵام پەیامەکانی لە ناو فرەیمەکانی چینی 2دا دەڕۆن و هەرگیز لە ڕێدۆز ناپەڕنەوە.

Aram-PC (192.168.1.10) is about to send its first frame to PC-B (192.168.1.20) on the same switch. Here is the whole conversation:

⁦Aram-PC (192.168.1.10)⁩ خەریکە یەکەم فرەیم بۆ ⁦PC-B (192.168.1.20)⁩ لە سەر هەمان سویچ دەنێرێت. هەموو گفتوگۆکە ئەمەیە:

In plain words: Aram-PC calls out to the whole network, “Which of you devices has this IP address? Whoever has it, I need your MAC address — send it back to me.” Everyone hears the question; only the owner answers, and only to the one who asked.

بە زمانێکی سادەتر: ⁦Aram-PC⁩ بە دەنگی بەرز بە هەموو ڕایەڵەکە دەڵێت: «کام لە ئێوە، ئەی ئامێرەکان، ئەم ناونیشانی IPـەی هەیە؟ هەر کامێکتان هەیەتی، ناونیشانی MACـەکەیم پێویستە — بۆم بنێرەوە.» هەمووان پرسیارەکە دەبیستن؛ تەنیا خاوەنەکەی وەڵام دەداتەوە، ئەویش تەنیا بۆ پرسیارکەرەکە.

An ARP message is small: 28 bytes for IPv4 over Ethernet. It rides directly inside an Ethernet frame whose EtherType is 0x0806 (an IPv4 packet has 0x0800); there is no IP header, because ARP works below IP. Request and reply have the same fields; only the contents change:

پەیامێکی ARP بچووکە: ⁦28⁩ بایت (Byte) بۆ IPv4 لە سەر Ethernet. ڕاستەوخۆ لە ناو فرەیمێکی Ethernet دەڕوات کە EtherTypeـەکەی ⁦0x0806⁩ـە (پاکێتێکی IPv4 ⁦0x0800⁩ـی هەیە)؛ سەرەی IP نییە، چونکە ARP لە خوار IPـەوە کار دەکات. داواکاری و وەڵام هەمان خانەیان هەیە؛ تەنیا ناوەڕۆکەکەیان دەگۆڕێت:

In the example below, router R1 (192.168.1.1) asks for PC2 (192.168.1.20). In the reply, PC2 swaps sender and target and fills in the missing address: the answer is in the reply’s sender MAC field.

لە نموونەکەی خوارەوەدا ڕێدۆزی ⁦R1 (192.168.1.1)⁩ بۆ ⁦PC2 (192.168.1.20)⁩ دەپرسێت. لە وەڵامەکەدا ⁦PC2⁩ جێی نێرەر و مەبەست دەگۆڕێتەوە و ناونیشانە ونەکە پڕ دەکاتەوە: وەڵامەکە لە خانەی Sender MACـی وەڵامەکەدایە.

Asking before every frame would fill the LAN with broadcasts, so every host and router keeps an ARP cache (also called the ARP table): a short list of the IP-to-MAC pairs it has learned. It is the first place a device looks. On Windows, arp -a shows it:

پرسیارکردن پێش هەموو فرەیمێک ڕایەڵەی ناوچەیی پڕ دەکات لە پەخشکردن، بۆیە هەموو میوانگر و ڕێدۆزێک کاشی ARPـێک هەڵدەگرێت (پێی دەگوترێت خشتەی ARPـیش): لیستێکی کورتی ئەو جووتە IP و MACـانەی فێریان بووە. یەکەم شوێنە کە ئامێرێک سەیری دەکات. لە Windowsـدا arp -a نیشانی دەدات:

Why not keep a pair for ever? Because networks change: a laptop leaves, a network card is replaced, a backup router takes over an address. An old pair would send frames to the wrong card. So entries age. Since Windows Vista, Windows follows the same rules as IPv6 Neighbor Discovery, and Linux does the same: a new entry is Reachable for a random 15 to 45 seconds (30 seconds times a random factor between 0.5 and 1.5). Then it becomes Stale: it is still kept, but the next time it is needed the device checks it with a new ARP request before trusting it. Entries that stay unused are deleted later, or when the cache is full (on Windows PCs, 256 entries by default).

بۆچی جووتێک بۆ هەمیشە هەڵنەگیرێت؟ چونکە ڕایەڵەکان دەگۆڕێن: لاپتۆپێک دەڕوات، کارتی ڕایەڵەیەک دەگۆڕدرێت، ڕێدۆزێکی یەدەگ ناونیشانێک وەردەگرێت. جووتێکی کۆن فرەیمەکان بۆ کارتی هەڵە دەنێرێت. بۆیە تۆمارەکان بەسەر دەچن. لە Windows Vistaـوە، Windows هەمان یاساکانی دۆزینەوەی دراوسێی IPv6 پەیڕەو دەکات و Linuxـیش وا دەکات: تۆمارێکی نوێ بۆ ماوەیەکی هەڕەمەکیی ⁦15⁩ تا ⁦45⁩ چرکە بەردەستە ⁦(Reachable)⁩ (⁦30⁩ چرکە جارانی ژمارەیەکی هەڕەمەکی (Random number) لە نێوان ⁦0.5⁩ و ⁦1.5⁩). پاشان دەبێتە کۆن ⁦(Stale)⁩: هێشتا هەڵدەگیرێت، بەڵام جاری داهاتوو کە پێویست بوو، ئامێرەکە پێش متمانەکردن بە داواکاریی ARPـی نوێ دەیپشکنێت. ئەو تۆمارانەی بەکار نایەن دواتر دەسڕدرێنەوە، یان کاتێک کاشەکە پڕ دەبێت (لە کۆمپیوتەرەکانی Windowsـدا بە شێوەی بنەڕەت ⁦256⁩ تۆمار).

Routers trust their entries much longer: a Cisco router keeps an ARP entry for 4 hours by default. A static entry never ages; on Windows, arp -s adds one, and it lasts until it is deleted or the TCP/IP stack restarts.

ڕێدۆزەکان زۆر زیاتر متمانە بە تۆمارەکانیان دەکەن: ڕێدۆزێکی Cisco بە شێوەی بنەڕەت تۆمارێکی ARP بۆ 4 کاتژمێر هەڵدەگرێت. تۆمارێکی جێگیر ⁦(static)⁩ هەرگیز بەسەر ناچێت؛ لە Windowsـدا arp -s یەکێک زیاد دەکات و دەمێنێتەوە تا دەسڕدرێتەوە یان TCP/IP دووپاتە دەست پێ دەکاتەوە.

In Packet Tracer you will often see this: device A sends to device B, and the first attempt fails — “Request timed out” in the Command Prompt, “Failed” in the simulation list — while the next ones succeed. Nothing is broken. A knows B’s IP address but not its MAC address, so its first job is ARP. A device that has a packet but no MAC address for the next device sends an ARP request first; Cisco routers and Packet Tracer devices throw away the packet that started the ARP. The reply fills the cache, and the next packets go through. Ping again and you will see 4 of 4 replies.

لە Packet Tracerـدا زۆرجار ئەمە دەبینیت: ئامێری A بۆ ئامێری B دەنێرێت و یەکەم هەوڵ سەرناکەوێت — لە Command Promptـدا «Request timed out» و لە لیستی هاوشێوەکردندا «Failed» — بەڵام هەوڵەکانی دواتر سەردەکەون. هیچ شتێک تێک نەچووە. A ناونیشانی IPـی B دەزانێت بەڵام ناونیشانی MACـەکەی نازانێت، بۆیە یەکەم کاری ARPـە. ئامێرێک کە پاکێتێکی هەیە بەڵام ناونیشانی MACـی ئامێری دواتری نییە، سەرەتا داواکاریی ARP دەنێرێت؛ ڕێدۆزەکانی Cisco و ئامێرەکانی Packet Tracer ئەو پاکێتەی ARPـەکەی دەست پێ کرد فڕێ دەدەن. وەڵامەکە کاشەکە پڕ دەکاتەوە و پاکێتەکانی دواتر دەڕۆن. دووپاتە پینگ بکە و 4 لە 4 وەڵام دەبینیت.

Windows and Linux PCs are more patient: they keep the waiting packet until the ARP reply comes (RFC 1122 asks hosts to keep at least one), so on real PCs the first ping usually succeeds, only a few milliseconds slower. A Cisco router’s own ping shows the lost first packet as a dot: .!!!!. You will meet the same lost echo again when you test an SSH lab (Why the first ping fails).

کۆمپیوتەرەکانی Windows و Linux پشووداترن: پاکێت چاوەڕوانەکە ڕادەگرن تا وەڵامی ARP دێت (⁦RFC 1122⁩ داوا لە میوانگرەکان دەکات لانیکەم یەکێک ڕابگرن)، بۆیە لە کۆمپیوتەرەکانی ڕاستەقینەدا یەکەم پینگ زۆربەی جار سەردەکەوێت، تەنیا چەند میلیچرکەیەک هێواشتر. پینگی خودی ڕێدۆزێکی Cisco ئەو پاکێتە ونبووەی یەکەم وەک خاڵێک نیشان دەدات: .!!!!. هەمان Echoـی ونبوو لە تاقیگەی SSHـیشدا دەبینیتەوە (بۆچی یەکەم پینگ سەرناکەوێت).

ARP works only inside one LAN: its request is a broadcast, and routers do not pass broadcasts on (broadcast domains). So when Aram-PC (192.168.1.10/24) sends to PC-B on another network (192.168.2.20), it cannot learn PC-B’s MAC address with ARP — and it does not need it.

ARP تەنیا لە ناو یەک ڕایەڵەی ناوچەییدا کار دەکات: داواکارییەکەی پەخشکردنە و ڕێدۆزەکان پەخشکردن تێناپەڕێنن (پاوانەکانی پەخش). بۆیە کاتێک ⁦Aram-PC (192.168.1.10/24)⁩ بۆ ⁦PC-B⁩ لە سەر ڕایەڵەیەکی تر ⁦(192.168.2.20)⁩ دەنێرێت، ناتوانێت بە ARP ناونیشانی MACـی ⁦PC-B⁩ بزانێت — پێویستیشی پێی نییە.

Aram-PC compares the two addresses with its mask, sees “another network”, and asks instead for the MAC address of its default gateway, 192.168.1.1. The frame goes to the router; the router then runs its own ARP on the next network, hop by hop. How the router chooses where to send the packet is in How a Packet Finds Its Way.

⁦Aram-PC⁩ بە ماسکی ژێرڕایەڵەکەی (Subnet mask) دوو ناونیشانەکە بەراورد دەکات، دەبینێت «ڕایەڵەیەکی ترە» و لەبری ئەوە ناونیشانی MACـی دەروازەی بنەڕەتی دەپرسێت، کە ⁦192.168.1.1⁩ـە. فرەیمەکە بۆ ڕێدۆزەکە دەچێت؛ پاشان ڕێدۆزەکە ARPـی خۆی لە سەر ڕایەڵەی دواتر دەکات، باز (Hop) بە باز. ڕێدۆز چۆن بڕیار دەدات پاکێتەکە بۆ کوێ بنێرێت لە پاکێتێک چۆن ڕێگەکەی دەدۆزێتەوەدایە.

A gratuitous ARP is an ARP message that nobody asked for: a device announces its own IP-to-MAC pair to the whole LAN, with its own address as both sender IP and target IP. It has two everyday jobs:

ARPـی خۆبەخش پەیامێکی ARPـە کە کەس داوای نەکردووە: ئامێرێک جووتی IP و MACـی خۆی بۆ هەموو ڕایەڵەی ناوچەیی ڕادەگەیەنێت و ناونیشانی خۆی هەم وەک IPـی نێرەر و هەم وەک IPـی مەبەست دادەنێت. دوو کاری ڕۆژانەی هەیە:

Proxy ARP (RFC 1027, 1987): a router answers an ARP request for a host on another network with its own MAC address, then routes the frames it receives. It rescues hosts that have a wrong mask or no default gateway. Cisco routers have it switched on by default; many administrators switch it off on their router interfaces, because it hides configuration mistakes, makes ARP caches bigger and lets one device answer for others.

ARPـی بریکار (⁦RFC 1027⁩، ⁦1987⁩): ڕێدۆز وەڵامی داواکاریی ARP بۆ میوانگرێکی سەر ڕایەڵەیەکی تر بە ناونیشانی MACـی خۆی دەداتەوە، پاشان ئەو فرەیمانەی وەریاندەگرێت دەیانگەیەنێت. میوانگرانێک ڕزگار دەکات کە ماسکی ژێرڕایەڵەی هەڵەیان هەیە یان دەروازەی بنەڕەتییان نییە. ڕێدۆزەکانی Cisco بە شێوەی بنەڕەت چالاکیان کردووە؛ زۆر بەڕێوەبەر لەسەر نێوبەستەکانی (Interface (network)) ڕێدۆزەکانیان ناچالاکی دەکەن، چونکە هەڵەی ڕێکخستن دەشارێتەوە، کاشەکانی ARP گەورەتر دەکات و ڕێگە دەدات ئامێرێک لەبری ئەوانی تر وەڵام بداتەوە.

RARP (Reverse ARP, RFC 903, 1984) went the other way: a computer without a disk knew only its MAC address and asked a server for its own IP address. BOOTP and then DHCP replaced it long ago, so you will meet RARP only in history and in exam questions about “which protocol does the reverse of ARP”.

RARP (Reverse ARP، ⁦RFC 903⁩، ⁦1984⁩) بە پێچەوانەوە کاری دەکرد: کۆمپیوتەرێکی بێ دیسک تەنیا ناونیشانی MACـی خۆی دەزانی و ناونیشانی IPـی خۆی لە ڕاژەکارێک دەپرسی. BOOTP و پاشان DHCP زۆر لەمەوبەر جێیان گرتەوە، بۆیە RARP تەنیا لە مێژوو و لە پرسیاری تاقیکردنەوەدا دەبینیت: «کام پرۆتۆکۆڵ پێچەوانەی ARP دەکات؟».

ARP has no proof of identity: a device believes any reply, even one it never asked for. A device on the same LAN can abuse this. In ARP spoofing (also called ARP poisoning) it keeps sending fake replies that say “192.168.1.1 is at my MAC address”. The victims’ ARP caches now hold a wrong pair, so their frames for the gateway go to that device, which can read them and pass them on — a man-in-the-middle attack. Because ARP never crosses a router, this works only from inside the same broadcast domain.

ARP هیچ بەڵگەیەکی ناسنامەی نییە: ئامێرێک باوەڕ بە هەر وەڵامێک دەکات، تەنانەت ئەوەیشی هەرگیز داوای نەکردووە. ئامێرێک لە سەر هەمان ڕایەڵەی ناوچەیی دەتوانێت ئەمە بەکار بهێنێت. لە هەڵخەڵەتاندنی ARPـدا (پێی دەگوترێت ژەهراویکردنی ARPـیش) بەردەوام وەڵامی ساختە دەنێرێت کە دەڵێن «⁦192.168.1.1⁩ لای MACـی منە». ئێستا کاشەکانی ARPـی قوربانییەکان جووتێکی هەڵەیان تێدایە، بۆیە فرەیمەکانی ئەوان بۆ دەروازەی بنەڕەتی دەچنە لای ئەو ئامێرە، کە دەتوانێت بیانخوێنێتەوە و ئینجا تێیانپەڕێنێت — هێرشێکی کەسی ناوەڕاست. چونکە ARP هەرگیز لە ڕێدۆز ناپەڕێتەوە، ئەمە تەنیا لە ناو هەمان پاوانی پەخشدا کار دەکات.

Networks defend themselves in layers:

ڕایەڵەکان بە چەند چینێک بەرگری لە خۆیان دەکەن:

IPv6 does not use ARP at all. Its Neighbor Discovery protocol (NDP, RFC 4861) does the same job with ICMPv6 messages: a neighbor solicitation asks for the MAC address, and a neighbor advertisement answers. The question is not a broadcast — IPv6 has none. It goes to a solicited-node multicast address built from the last 24 bits of the target address, so usually only the owner has to read it. NDP also finds routers and checks that a new address is not already in use. The whole story is in Neighbor Discovery instead of ARP.

IPv6 هەرگیز ARP بەکار ناهێنێت. پرۆتۆکۆڵی دۆزینەوەی دراوسێ (NDP، ⁦RFC 4861⁩) هەمان کار بە پەیامەکانی ⁦ICMPv6⁩ دەکات: داواکاریی دراوسێ (Neighbor solicitation) ناونیشانی MACـەکە دەپرسێت و ڕاگەیاندنی دراوسێ (Neighbor advertisement) وەڵام دەداتەوە. پرسیارەکە پەخشکردن نییە — IPv6 پەخشکردنی نییە. دەچێتە ناونیشانێکی فرەپەخشی ⁦solicited-node⁩ کە لە ⁦24⁩ بیتی (Bit) کۆتایی ناونیشانی مەبەست دروست دەکرێت، بۆیە زۆربەی جار تەنیا خاوەنەکەی دەبێت بیخوێنێتەوە. NDP هەروەها ڕێدۆزەکان دەدۆزێتەوە و دەپشکنێت کە ناونیشانێکی نوێ پێشتر بەکار نەهاتبێت. هەموو چیرۆکەکە لە دۆزینەوەی دراوسێ لە جیاتی ARPدایە.