Öffnen Sie eine Konsole mit Admin-Rechten, prüfen Sie die ARP-Tabelle (arp -a, arp -n oder show ip arp) und leeren Sie sie mit netsh interface ip delete arpcache, sudo ip -s -s neigh flush all oder clear arp-cache. Danach neu lernen lassen, Duplikate und Spoofing ausschließen.
Symptome
- Zielhost antwortet nicht, obwohl er im selben Subnetz aktiv erreichbar sein sollte
- Ping erhält Antwort von einer fremden oder unerwarteten MAC-Adresse
- Zwei Geräte melden IP-Adresskonflikt, obwohl DHCP korrekt konfiguriert ist
- Verbindungen brechen sporadisch ab, nach ein paar Minuten läuft alles wieder
- arp -a zeigt mehrere IPs mit identischer MAC oder umgekehrt
Häufige Ursachen
Veraltete oder abgelaufene Einträge
Ein Eintrag bleibt länger im Cache als das Zielgerät seine IP behält. Wechselt ein Client die IP oder wird eine Netzwerkkarte getauscht, zeigt der Cache noch die alte Zuordnung.
Doppelte IP-Adressen im Segment
Zwei Hosts beanspruchen dieselbe IPv4-Adresse. ARP wechselt dann sekündlich zwischen beiden MACs, Pakete landen mal hier, mal dort.
Fehlerhafte statische Einträge
Ein manuell gesetzter arp -s Eintrag überschreibt die automatische Auflösung. Wird das Zielgerät später ausgetauscht, zeigt der Client hartnäckig ins Leere.
ARP-Spoofing oder Poisoning
Ein Angreifer im LAN sendet gefälschte ARP-Antworten und lenkt Traffic auf sich um. Typisches Muster: die Gateway-IP zeigt plötzlich auf eine unbekannte MAC.
Fehlkonfiguration auf Switch oder Router
Deaktiviertes Proxy-ARP, falsche VLAN-Zuordnung oder ein blockierender Port-Security-Eintrag verhindern, dass ARP-Requests korrekt beantwortet werden.
Schritt-für-Schritt-Lösung
- Aktuellen ARP-Cache auslesen und bewerten
Öffnen Sie ein Terminal. Unter Windows: arp -a. Linux und macOS: arp -n oder ip neigh show. Auf Cisco IOS: show ip arp. Achten Sie auf doppelte MACs, den Status FAILED oder INCOMPLETE sowie auf Gateway-Einträge, deren Hersteller-OUI Sie nicht zuordnen können. - Betroffene IP gezielt testen
Pingen Sie das Ziel und prüfen Sie sofort danach den Cache-Eintrag. Bleibt der Status INCOMPLETE, antwortet der Host gar nicht auf ARP. Kommt eine unerwartete MAC zurück, ist entweder ein Duplikat aktiv oder es läuft ein Spoofing-Angriff. - ARP-Cache leeren
Windows (Admin-CMD): netsh interface ip delete arpcache oder gezielt arp -d <IP>. Linux: sudo ip -s -s neigh flush all, optional mit dev eth0 einschränken. macOS: sudo arp -a -d. Cisco: clear arp-cache, auf Nexus clear ip arp. Danach mit arp -a erneut prüfen. - Neuauflösung erzwingen und verifizieren
Setzen Sie einen Ping auf das Ziel ab, damit der Kernel eine frische ARP-Anfrage generiert. Vergleichen Sie die neue MAC mit dem Aufkleber am Gerät oder mit der DHCP-Lease auf dem Server. Passt beides, ist die Zuordnung wiederhergestellt. - Statische Einträge und Konflikte bereinigen
Listen Sie statische Einträge mit arp -a (Typ static) auf und entfernen Sie überholte Zuordnungen per arp -d. Bei doppelten IPs identifizieren Sie den Zweitnutzer über die MAC im Switch (show mac address-table address xxxx.xxxx.xxxx) und weisen eine neue Adresse zu. - Switch- und Router-Ebene prüfen
Kontrollieren Sie auf dem Distribution-Switch die MAC-Tabelle für die betroffene VLAN-ID. Fehlt der Host dort, liegt das Problem eine Ebene tiefer: falsches VLAN, Port-Security-Violation oder ein deaktiviertes Interface. show interfaces status und show port-security helfen weiter. - Auf ARP-Spoofing prüfen
Läuft die Gateway-MAC ohne Grund auf einen unbekannten Client, aktivieren Sie Dynamic ARP Inspection (DAI) mit DHCP-Snooping auf den Access-Switches. Auf Endgeräten lässt sich arpwatch oder arping -D zur Duplikatsuche einsetzen, um den Angreifer zu isolieren. - Ergebnis dokumentieren
Notieren Sie die betroffene VLAN, IP, alte und neue MAC sowie die durchgeführten Kommandos im Ticket. Bei wiederkehrenden Fällen im selben Segment lohnt sich ein Blick auf DHCP-Reservierungen und die ARP-Timeout-Werte der Router.
Symptom, Ursache und Sofortmaßnahme im ARP-Umfeld
| Symptom | Wahrscheinliche Ursache | Sofortmaßnahme |
|---|---|---|
| Eintrag steht auf INCOMPLETE | Host offline oder ARP wird geblockt | Ping testen, Firewall und Switchport prüfen |
| Zwei IPs, eine MAC | Fehlkonfiguration oder Virtualisierungs-Bridge | Betroffenen Host identifizieren, IP neu vergeben |
| Gateway-MAC ändert sich ständig | ARP-Spoofing im LAN | DAI aktivieren, Angreiferport isolieren |
| Statischer Eintrag zeigt ins Leere | Gerät getauscht, alter arp -s aktiv | arp -d <IP> und statische Zeile entfernen |
| Nach Reboot alles gut, später wieder Fehler | Duplicate IP im Segment | arping -D nutzen, zweiten Nutzer finden |
| arp -a leer trotz Traffic | NIC-Treiber oder Offloading defekt | Treiber aktualisieren, TCP-Offload testweise deaktivieren |
So beugen Sie vor
- DHCP-Reservierungen statt statischer ARP-Einträge pflegen, damit Zuordnungen zentral bleiben
- Dynamic ARP Inspection und DHCP-Snooping auf allen Access-Switches aktivieren
- ARP-Timeout auf Routern an die Lease-Zeit des DHCP-Servers angleichen
- MAC- und IP-Zuordnungen kritischer Server im CMDB-Eintrag hinterlegen
Häufige Fragen
Muss ich den ARP-Cache regelmäßig manuell leeren?
Nein. Betriebssysteme altern Einträge selbstständig aus, meist nach zwei bis vier Minuten Inaktivität. Ein manuelles Flush ist nur bei akuten Fehlern, nach IP-Umzügen oder bei Verdacht auf Spoofing sinnvoll. Automatisierte Skripte, die den Cache im Minutentakt löschen, verursachen mehr Broadcast-Traffic als sie beheben.
Warum sehe ich nach dem Leeren sofort wieder alte Einträge?
Sobald Traffic zu einem Host fließt, lernt der Kernel die Zuordnung erneut. Erscheint danach dieselbe falsche MAC, liegt die Ursache nicht im lokalen Cache, sondern im Netz: ein zweites Gerät antwortet auf die Anfrage, oder ein Switch cached die MAC noch. Prüfen Sie in diesem Fall die MAC-Tabelle des Switches.
Kann ich ARP-Probleme auch ohne Admin-Rechte diagnostizieren?
Zum Lesen der Tabelle reichen normale Benutzerrechte auf allen gängigen Systemen. Für arp -d, netsh interface ip delete arpcache oder ip neigh flush benötigen Sie hingegen erhöhte Rechte. In gemanagten Umgebungen bittet man den Endnutzer daher meist um die Ausgabe, die eigentliche Bereinigung übernimmt der Administrator remote.