ARP代理--工作原理

2026/6/17 6:29:01

ARP 代理（Proxy ARP）工作原理详解：

ARP代理作用：arp代理可以让IP地址属于同一网段却不属于同一物理网络的主机间相互通信。

例子，如图所示：

开启代理之前PC1>ping 10.1.2.2不通；
开启代理之前PC1>ping 10.1.2.2可以通；

配置命令如下：

int g0/0/1
arp-proxy enable
#
int g0/0/2
arp-proxy enable

其他相关命令：

arp -a 查看PC机的ARP缓存表
arp -s 在PC机上绑定IP地址和MAC地址

实验结果的详细分析过程：

一、为什么需要 ARP 代理？

在您的拓扑中存在一个关键矛盾：

设备	IP 地址 / 掩码	自身判断	实际网络情况
PC1	10.1.1.2/16	认为自己在`10.1.0.0/16`网段，PC2 (10.1.2.2) 和自己同网段	实际在左子网`10.1.1.0/24`
PC2	10.1.2.2/16	认为自己在`10.1.0.0/16`网段，PC1 (10.1.1.2) 和自己同网段	实际在右子网`10.1.2.0/24`
AR1	两个接口都是 / 24	知道两个子网是不同物理网络	路由器隔开了两个广播域

核心问题：两台主机都认为对方在同一广播域，会直接发 ARP 请求，但路由器默认不转发广播包，ARP 请求无法跨子网到达。

二、完整通信过程（PC1 ping PC2）

阶段 1：PC1 发起 ARP 请求

PC1 计算：10.1.2.2 & 255.255.0.0 = 10.1.0.0，与自己同网段

PC1 发送广播 ARP 请求：

源MAC: PC1_MAC 目的MAC: FF:FF:FF:FF:FF:FF（广播） 内容："谁是10.1.2.2？请告诉10.1.1.2"

广播包到达 AR1 的 GE0/0/1 接口

阶段 2：路由器 ARP 代理响应

AR1 收到 ARP 请求，检查：
- 目的 IP 10.1.2.2 不在 GE0/0/1 所在的 10.1.1.0/24 网段
- 查找路由表，发现 10.1.2.0/24 在 GE0/0/2 接口可达
- 确认自己开启了 ARP 代理功能

AR1 以自己的 MAC 地址代答 ARP 请求（这就是代理！）：

源MAC: AR1_GE0/0/1_MAC 目的MAC: PC1_MAC 内容："10.1.2.2的MAC地址是 AR1_GE0/0/1_MAC"

阶段 3：PC1 发送数据

PC1 收到 ARP 响应，在 ARP 表中记录：
```
10.1.2.2 → AR1_GE0/0/1_MAC
```

PC1 将 ICMP 数据包发给路由器（以为直接发给 PC2）：

源MAC: PC1_MAC 目的MAC: AR1_GE0/0/1_MAC 源IP: 10.1.1.2 目的IP: 10.1.2.2

阶段 4：路由器转发 + PC2 侧 ARP 代理

AR1 解封装，查路由表，将数据包从 GE0/0/2 转发出去
同样的过程在 PC2 侧重复：PC2 发 ARP 请求找 10.1.1.2，AR1 用 GE0/0/2 的 MAC 代答
双向通信建立完成

三、ARP 代理的本质

ARP 代理 = 路由器 "欺骗" 主机

对 PC1：路由器假装自己是 PC2
对 PC2：路由器假装自己是 PC1
两台主机都以为在直接通信，实际所有流量都经过路由器转发

ARP 表最终状态：

PC1 ARP表：10.1.2.2 → AR1_GE0/0/1_MAC PC2 ARP表：10.1.1.2 → AR1_GE0/0/2_MAC

四、典型应用场景

主机使用大掩码（如您的拓扑）：/16 掩码但实际划分了多个 / 24 子网
无默认网关的主机：某些设备不支持配置网关，靠 ARP 代理访问其他子网
VPN / 专线场景：跨广域网的两个站点使用同网段地址
迁移过渡期：网络改造中 IP 规划变更的过渡方案

五、华为设备配置命令

[AR1] interface GigabitEthernet 0/0/1 [AR1-GigabitEthernet0/0/1] arp-proxy enable # 开启接口ARP代理 [AR1] interface GigabitEthernet 0/0/2 [AR1-GigabitEthernet0/0/2] arp-proxy enable