ARP-Probleme lösen Sie, indem Sie die aktuelle ARP-Tabelle prüfen (arp -a bzw. show ip arp), verdächtige Einträge identifizieren und den Cache leeren: unter Windows mit netsh interface ip delete arpcache, unter Linux mit ip -s -s neigh flush all, auf Cisco-Geräten mit clear arp-cache. Danach neu auflösen lassen.
Symptome
- Ping an bekannte Hosts im selben Subnetz schlägt fehl, während DNS funktioniert
- Zwei Geräte reklamieren dieselbe IP, Windows meldet einen IP-Adresskonflikt
- Sporadische Paketverluste oder Verbindungsabbrüche zu Gateway oder Server
- Wireshark zeigt widersprüchliche ARP-Replies für dieselbe IP-Adresse
- Ein Gerät erreicht das Standard-Gateway erst nach mehreren Sekunden Verzögerung
Häufige Ursachen
Veraltete Cache-Einträge nach NIC- oder IP-Wechsel
Wenn ein Host die Netzwerkkarte tauscht oder eine neue IP erhält, behalten Nachbargeräte die alte MAC-Zuordnung bis zum Timeout. Bis dahin gehen Frames an die falsche MAC.
Doppelte IP-Adressen im Subnetz
Zwei Interfaces mit derselben IP erzeugen konkurrierende ARP-Replies. Der Cache wechselt zwischen beiden MAC-Adressen und die Verbindung wird instabil.
Falsche statische ARP-Einträge
Manuell gesetzte Bindungen überschreiben dynamische Antworten. Nach einem Hardwaretausch zeigt der statische Eintrag auf eine nicht mehr existierende MAC.
ARP-Spoofing im LAN
Ein Angreifer sendet gefälschte Gratuitous-ARP-Pakete und leitet Traffic über sein Gerät um. Erkennbar an häufig wechselnden MAC-Adressen für Gateway-IPs.
Proxy-ARP oder VRRP-Fehlkonfiguration
Router mit fehlerhaftem Proxy-ARP oder mehreren aktiven VRRP-Mastern beantworten Anfragen, die sie nicht beantworten sollten. Das führt zu inkonsistenten Einträgen zwischen Segmenten.
Schritt-für-Schritt-Lösung
- Aktuellen ARP-Cache auslesen und Referenzwerte notieren
Prüfen Sie den Ist-Zustand vor jeder Änderung. Unter Windows: arp -a. Unter Linux und macOS: ip neigh show oder arp -n. Auf Cisco-IOS: show ip arp, auf Junos: show arp. Notieren Sie die MAC des Gateways aus einer bekannt sauberen Quelle, etwa dem Router-Label. - Verdächtige Einträge identifizieren
Suchen Sie nach Duplikaten: gleiche MAC für mehrere IPs oder umgekehrt. Vergleichen Sie die Gateway-MAC mit dem Referenzwert. Einträge im Status incomplete unter Linux weisen auf fehlgeschlagene Auflösung hin, meist wegen Layer-2-Trennung oder falschem VLAN. - ARP-Cache leeren
Windows als Administrator: netsh interface ip delete arpcache oder gezielt arp -d *. Linux: sudo ip -s -s neigh flush all, alternativ pro Interface sudo ip neigh flush dev eth0. macOS: sudo arp -a -d. Cisco-IOS: clear arp-cache, optional mit Interface-Angabe. - Neuauflösung erzwingen und Ergebnis verifizieren
Pingen Sie die betroffenen Hosts an, damit die Einträge dynamisch neu gelernt werden. Lesen Sie die Tabelle erneut aus. Die MAC-Adresse muss jetzt zur echten Hardware passen. Bei Cisco hilft debug arp kurzzeitig, um Antworten live zu sehen. - Doppelte IPs auf Layer 2 aufspüren
Sind die Einträge nach dem Leeren erneut widersprüchlich, arbeiten zwei Geräte mit derselben IP. Auf dem Switch: show mac address-table address <MAC> zeigt den Port. Trennen Sie den falschen Host oder ändern Sie dessen IP-Konfiguration. - Bei Verdacht auf ARP-Spoofing gegensteuern
Aktivieren Sie Dynamic ARP Inspection auf verwalteten Switches in Kombination mit DHCP Snooping. Für Einzelhosts binden Sie das Gateway per statischem Eintrag: unter Windows netsh interface ip add neighbors, unter Linux arp -s <ip> <mac>. Statische Einträge nur dokumentiert einsetzen. - Statische Fehleinträge bereinigen
Löschen Sie veraltete manuelle Bindungen: Windows arp -d <ip>, Linux arp -d <ip> oder ip neigh del <ip> dev <iface>. Auf Cisco entfernt no arp <ip> die Konfigurationszeile. Prüfen Sie anschließend, ob die dynamische Auflösung wieder greift. - Timeout-Werte an das Netzwerk anpassen
Der Standard-ARP-Timeout auf Cisco liegt bei 4 Stunden, was mit typischen MAC-Aging-Timern von 5 Minuten kollidieren kann. Setzen Sie beide Werte konsistent, zum Beispiel arp timeout 300 auf dem Interface und mac address-table aging-time 300 global.
Befehle zum Prüfen und Leeren des ARP-Cache je Plattform
| Plattform | ARP-Tabelle anzeigen | Cache leeren | Einzeleintrag löschen |
|---|---|---|---|
| Windows 10/11 | arp -a | netsh interface ip delete arpcache | arp -d <ip> |
| Linux (iproute2) | ip neigh show | ip -s -s neigh flush all | ip neigh del <ip> dev <iface> |
| macOS | arp -a | sudo arp -a -d | sudo arp -d <ip> |
| Cisco IOS | show ip arp | clear arp-cache | clear arp-cache <ip> |
| Juniper Junos | show arp | clear arp | clear arp hostname <ip> |
So beugen Sie vor
- DHCP-Snooping und Dynamic ARP Inspection auf Access-Switches aktivieren
- MAC-Aging- und ARP-Timeout aufeinander abstimmen, um Blackholing zu vermeiden
- IP-Vergabe zentral über DHCP mit Reservierungen statt manuell dokumentieren
- Monitoring auf Gratuitous-ARP-Peaks setzen, etwa via arpwatch oder Suricata
Häufige Fragen
Wie lange bleibt ein Eintrag im ARP-Cache?
Windows hält dynamische Einträge in der Regel 15 bis 45 Sekunden bei Inaktivität, verlängert auf bis zu zehn Minuten bei aktiver Nutzung. Linux verwendet die Kernel-Parameter unter /proc/sys/net/ipv4/neigh/. Cisco-Router setzen standardmäßig 14400 Sekunden. Passen Sie den Wert an, wenn Sie viele mobile Endgeräte betreiben.
Muss ich nach clear arp-cache Verbindungen neu aufbauen?
Nein, bestehende TCP-Sitzungen laufen weiter, sobald das nächste Paket eine neue ARP-Anfrage auslöst. Sie merken kurz eine Verzögerung im niedrigen Millisekundenbereich. Nur wenn parallel eine falsche Bindung erneut gelernt wird, etwa durch Spoofing, treten weiterhin Probleme auf.
Wann sind statische ARP-Einträge sinnvoll?
Statische Einträge helfen in kleinen, stabilen Umgebungen für kritische Systeme wie Gateway, Firewall oder Managementserver. Sie schützen vor einfachem Spoofing, verursachen aber Wartungsaufwand bei jedem Hardwaretausch. In größeren Netzen sind Dynamic ARP Inspection und DHCP-Snooping die bessere Wahl.
Sie kommen bei ARP-Problemen nicht weiter? Vereinbaren Sie ein technisches Beratungsgespräch mit unserem Netzwerk-Team.