Sophos Firewall ARP- und NDP-Neighbor-Cache prüfen

Wenn ein Gerät trotz korrekter IP-Adresse nicht erreichbar ist, muss nicht sofort eine Firewall-Regel oder Route falsch sein. Im lokalen Netzwerk benötigt die Sophos Firewall zusätzlich die passende MAC-Adresse des Ziels. Diese Zuordnung speichert sie im Neighbor-Cache.

Unter Network > Neighbors (ARP–NDP) lässt sich prüfen, welche IP-Adresse aktuell zu welcher MAC-Adresse und welchem Interface gehört. Erst wird der bestehende Eintrag dokumentiert und mit der tatsächlichen Netzsituation verglichen. Nur wenn die Zuordnung veraltet ist, wird der betroffene Cache geleert und neu gelernt.

⚠️ Flush leert den ausgewählten IPv4- oder IPv6-Cache, nicht nur eine einzelne Zeile. Auf einer produktiven Firewall sollte man den aktuellen Eintrag deshalb zuerst sichern, den Test eingrenzen und den Cache nicht während einer Lastspitze leeren.

Was ARP, NDP und der Neighbor-Cache leisten

ARP ordnet im lokalen Layer-2-Segment eine IPv4-Adresse einer MAC-Adresse zu. Gemeint ist damit ein direkt erreichbares Gerät, typischerweise im selben VLAN. Für IPv6 übernimmt Neighbor Discovery Protocol (NDP) diese Aufgabe mit ICMPv6. Die Firewall benötigt diese Information, bevor sie ein Paket über ein direkt verbundenes Interface an den nächsten Nachbarn senden kann.

Die dynamisch gelernten Zuordnungen bleiben standardmässig 600 Sekunden im Cache. Danach werden sie bei Bedarf neu gelernt. Ein veralteter Eintrag kann beispielsweise nach einem Geräte-, Netzwerkkarten- oder VM-Wechsel entstehen. Eine doppelt vergebene IP-Adresse kann dagegen dazu führen, dass sich die sichtbare MAC-Adresse wiederholt ändert.

Der Neighbor-Cache betrifft nur direkt erreichbare Nachbarn im jeweiligen Layer-2-Segment. Für ein entferntes Ziel speichert die Firewall nicht die MAC-Adresse des Zielservers, sondern jene des nächsten Routers.

Das ist nicht dasselbe wie Proxy ARP: Dabei beantwortet die Firewall auf einem Interface die IPv4-ARP-Anfrage für eine andere Zieladresse stellvertretend. Dieser Sonderfall wird unter Proxy ARP auf Sophos Firewall konfigurieren und prüfen getrennt behandelt.

Neighbor-Cache zuerst prüfen

Network > Neighbors (ARP–NDP) öffnen.
Unter Show den IPv4 neighbor cache oder IPv6 neighbor cache auswählen.
Nach der betroffenen IP-Adresse suchen.
IP-Adresse, MAC-Adresse und Interface notieren.
Unter Static neighbor table ausschliessen, dass für dieselbe IP-Adresse eine feste, aber falsche Bindung besteht.
Die MAC-Adresse mit dem Endgerät, Hypervisor, Switch oder nächsten Router vergleichen.

Das Interface ist genauso wichtig wie die MAC-Adresse. Eine korrekte IP-MAC-Zuordnung auf dem falschen Port deutet häufig auf ein VLAN-, Bridge-, LAG- oder Verkabelungsproblem hin. Die erwartete MAC-Adresse findet man beispielsweise in den Netzwerkinformationen des Endgeräts, in der MAC-Tabelle des Switches oder beim direkt verbundenen Router. Fehlt der Eintrag vollständig, erzeugt man von der Firewall einen gezielten Ping zur betroffenen IP-Adresse und prüft die Ansicht danach erneut.

Für IPv4 kann die aktuelle ARP-Tabelle zusätzlich in der Device Console angezeigt werden. Nach der Anmeldung per SSH oder Konsole Option 4: Device Console öffnen und ausführen:

system diagnostics utilities arp show

Der Befehl liest den Zustand nur aus. Er ist besonders hilfreich, wenn der WebAdmin nicht erreichbar ist oder die Zuordnung während eines Tests schnell kontrolliert werden soll. Für IPv6 bleibt die IPv6 neighbor cache-Ansicht im WebAdmin der klare Prüfpunkt. Den Zugang erklärt Sophos Firewall per SSH verbinden.

Veraltete Zuordnung kontrolliert neu lernen

Ein Cache-Flush ist ein Diagnoseschritt, keine dauerhafte Reparatur. Er entfernt auch keine falsche statische Bindung. Wenn dieselbe falsche Zuordnung zurückkehrt, liegt die Ursache weiterhin im Netzwerk.

Aktuelle IP-Adresse, MAC-Adresse und Interface dokumentieren.
Den Fehler mit einem einzelnen Ping oder Verbindungsversuch reproduzieren.
Bei Verdacht auf eine doppelte IP-Adresse oder Manipulation zuerst den aktuellen Zustand und einen kurzen Capture sichern. Ein sofortiger Flush würde diesen Hinweis entfernen.
Unter Show den betroffenen IPv4- oder IPv6-Cache auswählen.
Flush anklicken. Dadurch wird der ausgewählte Cache geleert.
Vom betroffenen Gerät erneut gezielt Verkehr erzeugen.
Prüfen, welche MAC-Adresse und welches Interface neu gelernt wurden.
Den ursprünglichen Dienst mit identischer Quelle und identischem Ziel erneut testen.

Für einen kontrollierten Test aus der Device Console können beispielsweise vier Pakete an eine dokumentierte Zieladresse gesendet werden:

ping 192.0.2.10 count 4
ping6 2001:db8:10::10 count 4

Die Adressen sind Beispiele und werden durch das tatsächliche IPv4- oder IPv6-Ziel ersetzt. Ein erfolgreicher Ping bestätigt nur die grundsätzliche Erreichbarkeit; danach muss weiterhin der ursprünglich gestörte Dienst getestet werden.

Während des Neulernens kann es kurz zu Verzögerungen kommen. Den Timeout pauschal stark zu verkürzen ist selten die beste Lösung: Die Firewall muss Nachbarn dann häufiger neu auflösen, ohne dass damit eine doppelte IP-Adresse oder ein falscher Switch-Port behoben wäre.

Wechselt nach dem Flush nur eine öffentliche IP-Adresse weiterhin nicht auf die neue Firewall-MAC, befindet sich der veraltete Eintrag wahrscheinlich beim Provider oder vorgeschalteten Router. Dafür gibt es den eigenen Ablauf ARP-Probleme nach einer Firewall-Migration beheben.

Statischen Neighbor nur für feste Zuordnungen anlegen

Ein statischer Neighbor bindet eine IP-Adresse dauerhaft an eine MAC-Adresse und ein physisches Interface. Pro IP-Adresse kann nur eine solche Bindung bestehen. Die Firewall prüft statische Einträge vor dem dynamischen Cache und entfernt beim Speichern dynamische Referenzen für dieselbe IP. Stimmt IP, MAC oder Port später nicht mehr, kann die Verbindung ausfallen, obwohl das Endgerät korrekt konfiguriert ist.

Statische Einträge passen deshalb zu stabilen Systemen wie einem fest verkabelten Infrastrukturgerät mit fester IP-Adresse. Für DHCP-Clients, mobile Geräte, HA- oder VM-Wechsel und wechselnde Switch-Ports sind sie meist ungeeignet.

Unter Network > Neighbors (ARP–NDP) die Static neighbor table anzeigen und Add wählen. Danach werden folgende Werte gesetzt:

IP version: IPv4 oder IPv6 auswählen.
IPv4/IPv6 address: feste Adresse des Geräts eintragen.
MAC address: tatsächliche MAC-Adresse dieses Geräts eintragen.
Interface: das physische Interface auswählen, über das der Nachbar erreichbar ist.

Ein dokumentiertes Beispiel könnte 192.0.2.10, 02:00:00:00:00:10 und Port1 verwenden. Diese Werte sind Platzhalter und müssen vollständig durch die reale IP-Adresse, MAC-Adresse und den realen Port ersetzt werden.

Die Option Add as a trusted MAC address to prevent a spoofing attempt übernimmt die IP-MAC-Zuordnung zusätzlich in die Trusted-MAC-Liste. Sie sollte nur aktiviert werden, wenn diese Schutzstrategie bewusst eingesetzt wird, denn ein späterer VM-, NIC- oder Portwechsel kann dann als legitimer Konflikt erscheinen. Wie diese Bindungen mit dynamischen Netzen, DHCP und Virtualisierung zusammenspielen, erklärt Sophos Firewall Spoof Protection und DoS Settings prüfen.

Nach dem Speichern wird genau das gebundene Gerät getestet. Zusätzlich sollte dokumentiert werden, wer den Eintrag bei einem Hardware-, IP- oder Port-Wechsel anpasst. Eine statische Bindung ohne diese Zuständigkeit wird später leicht zur unsichtbaren Fehlerursache.

Mögliche Neighbor-Poisoning-Versuche prüfen

Eine statische Bindung definiert die erwartete Kombination aus IP-Adresse, MAC-Adresse und Interface. Erscheint dieselbe IP mit einer anderen MAC-Adresse oder dieselbe IP-MAC-Kombination auf einem anderen gebundenen Port, behandelt die Firewall dies als mögliche Manipulation und aktualisiert den Cache nicht mit der abweichenden Zuordnung.

Unter Network > Neighbors (ARP–NDP) kann Log possible neighbor poisoning attempts aktiviert und mit Apply gespeichert werden. Die Option hilft bei der Diagnose, sollte aber nicht dazu verleiten, jede Abweichung sofort als Angriff zu bewerten. Auch eine doppelte IP-Adresse, ein ersetzter Netzwerkadapter, eine verschobene VM oder ein Portwechsel erzeugen einen Konflikt.

Verworfene IPv4-ARP-Pakete lassen sich in der Device Console während eines kurzen Tests anzeigen:

drop-packet-capture 'arp'

Bei vielen Interfaces kann die Ausgabe auf einen physischen Port eingeschränkt werden:

drop-packet-capture interface Port1 'arp'

Port1 ist ein Beispiel und wird durch das betroffene Interface ersetzt. Danach den Fehler einmal reproduzieren und die laufende Ausgabe mit Ctrl+C beenden. Der Filter zeigt nur verworfene ARP-Pakete und ist kein dauerhaftes Logarchiv. Für IPv6-NDP oder eine allgemeine Paketanalyse verwendet man Packet Capture im WebAdmin und grenzt Quelle, Ziel, Protokoll und Interface gezielt ein.

Typische Fehlerbilder einordnen

Nach einem Geräte- oder NIC-Wechsel bleibt das Ziel unerreichbar: alten und neu gelernten MAC-Wert vergleichen, Cache kontrolliert leeren und erneut testen.
Die MAC-Adresse wechselt wiederholt: doppelte IP-Adresse, DHCP-Lease, VM-Klon oder HA-Verhalten prüfen. Ein statischer Eintrag würde den eigentlichen Konflikt nur verdecken.
Die Zuordnung erscheint auf dem falschen Interface: VLAN, Bridge, LAG, Switch-Port und Verkabelung prüfen.
Ein statisch gebundenes Gerät fällt nach einem Umbau aus: IP, MAC und physischen Port mit der Bindung vergleichen und den Eintrag bewusst anpassen oder entfernen.
Nur IPv6 ist betroffen: IPv6 neighbor cache, Router Advertisements, VLAN und ICMPv6-Pfad prüfen. Ein IPv4-ARP-Befehl liefert dafür keinen Beleg.
Pakete erreichen die Firewall, der Dienst funktioniert trotzdem nicht: Firewall-Regel, NAT, Routing und Rückweg getrennt prüfen. Der Neighbor-Cache beweist nur die lokale Layer-2-Zustellung.

Abnahme

Betroffene IP-Adresse, erwartete MAC-Adresse und Interface dokumentiert.
IPv4- oder IPv6-Cache vor einer Änderung geprüft.
Falls nötig genau den ausgewählten Cache geleert und gezielten Verkehr erzeugt.
Neu gelernte Zuordnung mit Endgerät, Switch, Hypervisor oder Router verglichen.
Statische Bindung nur bei dauerhaft stabiler IP-MAC-Port-Zuordnung verwendet.
Poisoning-Hinweis gegen doppelte IP, Gerätewechsel und Netzänderungen abgegrenzt.
Ursprünglichen Dienst nach der Layer-2-Prüfung erneut getestet.

FAQ

Was ist der Unterschied zwischen ARP- und NDP-Cache?

ARP löst IPv4-Adressen in MAC-Adressen auf. NDP übernimmt diese Nachbarauflösung für IPv6 mit ICMPv6. In der Sophos Firewall werden beide Ansichten unter Network > Neighbors (ARP–NDP) verwaltet.

Kann man den Neighbor-Cache ohne Unterbruch leeren?

Die Einträge werden durch neuen Verkehr automatisch wieder gelernt, dabei kann es aber kurz zu Verzögerungen kommen. Da Flush den ausgewählten Cache vollständig leert, sollte der Schritt geplant, dokumentiert und ausserhalb einer Lastspitze ausgeführt werden.

Wann ist ein statischer Neighbor sinnvoll?

Nur wenn IP-Adresse, MAC-Adresse und physisches Interface dauerhaft stabil bleiben und die Bindung betrieblich gepflegt wird. Bei DHCP, mobilen Geräten, VM-Wechseln oder wechselnden Ports ist dynamisches Lernen meist robuster.

Bedeutet eine Poisoning-Meldung automatisch einen Angriff?

Nein. Die Meldung zeigt zuerst eine Abweichung von der erwarteten Zuordnung. Neben einem Angriff kommen auch doppelte IP-Adressen, Geräte- oder NIC-Wechsel, verschobene VMs und Portänderungen infrage.