Linux ve Windows'ta IP Çakışması Nasıl Tespit Edilir?

Bir IP adresine ping atıp yanıt almak, o adreste çakışma olduğunu göstermez. Yalnızca bir cihazın yanıt verdiğini gösterir. Aynı IPv4 adresine farklı MAC adreslerinden yanıt gelmesi veya eşleşmenin değişmesi araştırılması gereken kanıttır; planlı sanal IP hareketi ve proxy ARP elenmeden tek başına kesin çakışma teşhisi değildir.

Bu rehberde örnek hedef adres olarak 192.168.1.50 kullanılıyor. Komutları çalıştırmadan önce hedefin sizinle aynı VLAN veya yayın alanında olduğundan emin olun. ARP tabanlı kontroller yönlendiricinin arkasındaki uzak bir ağda çalışmaz; uzak hedef için yalnızca ağ geçidinin MAC adresini görürsünüz.

Önce doğru ağ arayüzünü ve yolu bulun

Birden fazla Ethernet, Wi-Fi, VPN veya sanal ağ arayüzü varsa yanlış ARP tablosuna bakmak kolaydır. Linux’ta hedefe giden yolu şu komutla kontrol edin:

ip route get 192.168.1.50

Aşağıdaki çıktı temsili olup bu yazı için yapılmış bir ölçüm değildir:

192.168.1.50 dev enp1s0 src 192.168.1.20 uid 1000
    cache

Burada kullanılacak arayüz enp1s0, test yapan cihazın adresi ise 192.168.1.20. Çıktıda via 192.168.1.1 gibi bir ağ geçidi görünüyorsa hedef doğrudan bağlı olmayabilir; bu durumda ARP ile hedef cihazı değil ağ geçidini incelemiş olursunuz.

Windows’ta aktif IPv4 adresini, ağ geçidini ve bağdaştırıcıyı birlikte görmek için:

ipconfig /all

Hedef IP ile istemcinin alt ağ maskesine göre aynı yerel ağda bulunup bulunmadığını kontrol edin. VPN ve sanal makine bağdaştırıcılarını fiziksel ağ kartıyla karıştırmayın.

Linux’ta IP–MAC eşleşmesini inceleyin

Linux çekirdeğinin komşu tablosu IPv4 için ARP eşleşmelerini gösterir. Önce hedefe tek paket gönderip komşu kaydının oluşmasını sağlayın, ardından kaydı okuyun:

ping -c 1 192.168.1.50
ip neigh show to 192.168.1.50 dev enp1s0

Temsili bir komşu kaydı şu biçimdedir:

192.168.1.50 lladdr 00:25:96:ff:1a:20 REACHABLE

lladdr sonrasındaki değer cihazın MAC adresidir. REACHABLE yakın zamanda doğrulanmış bir eşleşmeyi, STALE ise süresi yaşlanmış fakat hâlâ kullanılabilir bir kaydı ifade eder. Tek başına STALE durumu IP çakışması değildir. FAILED veya INCOMPLETE görülmesi de çakışmayı kanıtlamaz; cihaz kapalı, VLAN yanlış veya katman 2 erişimi kesik olabilir.

Komşu tablosunu birkaç saniye arayla tekrar okuyun:

for i in {1..6}; do
  ping -c 1 -W 1 192.168.1.50 >/dev/null
  ip neigh show to 192.168.1.50 dev enp1s0
  sleep 2
done

Aynı IP için sırayla iki farklı MAC görünmesi güçlü bir çakışma işaretidir:

192.168.1.50 lladdr 00:25:96:ff:1a:20 REACHABLE
192.168.1.50 lladdr 3c:52:82:71:90:0d REACHABLE
192.168.1.50 lladdr 00:25:96:ff:1a:20 REACHABLE

Bu değişim yüksek erişilebilirlik kümesi, VRRP, proxy ARP veya sanal IP taşıma mekanizması tarafından bilinçli olarak oluşturuluyor olabilir. MAC adreslerinden biri ağ geçidine ya da güvenlik duvarına aitse bunu hata olarak kabul etmeden önce ağ tasarımını kontrol edin.

arping ile Duplicate Address Detection yapın

arping, aynı yerel ağda ICMP yerine ARP isteği gönderir. IP adresini bir cihaza atamadan önce kullanımda olup olmadığını sınamak için Duplicate Address Detection modu kullanılabilir:

sudo arping -D -I enp1s0 -c 3 192.168.1.50
echo $?

iputils-arping sürümünde -D testi hiç yanıt alınmazsa başarılı sayılır ve çıkış kodu 0 olur. Yanıt gelmesi, yerel ağda bir cihazın bu adresi sahiplendiğini gösterir. Bu, henüz yapılandırılmamış boş bir IP’yi kontrol ederken kullanışlıdır.

Hedef adres zaten test yaptığınız arayüze atanmışsa komut davranışı dağıtıma ve kullanılan arping paketine göre kafa karıştırabilir. Böyle bir durumda testi aynı VLAN’daki üçüncü bir Linux cihazından yapmak daha güvenlidir. Komut seçeneklerini sisteminizde arping --help ile doğrulayın; bazı dağıtımlarda aynı isimli farklı bir arping paketi bulunur.

Windows’ta ARP kaydını karşılaştırın

Windows’ta hedefe bir istek gönderdikten sonra yalnızca ilgili ARP kaydını görüntüleyin:

ping -n 1 192.168.1.50
arp -a 192.168.1.50

Temsili çıktı:

Interface: 192.168.1.20 --- 0x8
  Internet Address      Physical Address      Type
  192.168.1.50          00-25-96-ff-1a-20     dynamic

Komutu farklı zamanlarda tekrarladığınızda fiziksel adres değişiyorsa iki ayrı cihaz yanıt veriyor olabilir. Birden fazla ağ kartı bulunan bilgisayarda arp -a her bağdaştırıcı için ayrı tablo gösterebilir; doğru Interface başlığı altındaki kaydı okuyun.

Önbellekteki eski kaydı devre dışı bırakmak gerekiyorsa Yönetici olarak açılmış Komut İstemi’nde yalnızca hedef kaydı silin:

arp -d 192.168.1.50
ping -n 1 192.168.1.50
arp -a 192.168.1.50

Tüm ARP tablosunu silmek yerine tek hedefi temizlemek, diğer bağlantılara olan etkiyi sınırlar. Yine de uzak oturumla bağlı olduğunuz kritik bir sunucuda bu işlemi bakım penceresi dışında yapmayın.

Paket yakalamada iki farklı MAC arayın

Komşu tablosu sürekli değişiyorsa ARP trafiğini doğrudan izlemek daha açık kanıt verir:

sudo tcpdump -c 20 -eni enp1s0 arp

Yalnız yetkili olduğunuz yerel ağda dinleme yapın. Komut 20 ARP paketi yakalayınca biter; trafik yoksa bekler, Ctrl+C ile durdurabilirsiniz. Paylaşmadan önce ilgisiz cihaz bilgilerini ayıklayın. Başka bir terminalden hedefe sınırlı sayıda arping gönderin. Aynı who-has 192.168.1.50 isteğine farklı kaynak MAC adreslerinden yanıt gelmesi çakışma şüphesini güçlendirir. Aşağıdaki iki satır temsili yanıtlardır; sanal IP ve proxy ARP ihtimalleri ayrıca incelenmelidir:

00:25:96:ff:1a:20 > 02:11:22:33:44:20, ARP, Reply 192.168.1.50 is-at 00:25:96:ff:1a:20
3c:52:82:71:90:0d > 02:11:22:33:44:20, ARP, Reply 192.168.1.50 is-at 3c:52:82:71:90:0d

Tek bir paket yerine birkaç istek gözlemleyin. Kablosuz istemci uykuya geçebilir, anahtarlama gecikmesi yaşanabilir veya cihaz yalnızca aralıklı yanıt verebilir.

DHCP kaydı neden tek başına yeterli değildir?

DHCP kiralama listesinde 192.168.1.50 için bir MAC adresi görmeniz yalnızca DHCP sunucusunun yaptığı atamayı gösterir. Aynı adresi elle yapılandırmış ikinci cihaz DHCP’den kiralama istemediği için bu listede görünmeyebilir.

Şu üç kaydı birlikte karşılaştırın:

• DHCP kiralamasındaki IP, MAC ve istemci adı
• Linux ip neigh veya Windows arp -a çıktısındaki MAC
• Yönetilebilir switch üzerindeki MAC adres tablosunda görülen fiziksel port

MAC tablosu komutu üreticiye göre değişir. Amaç iki MAC adresinin hangi switch portlarından öğrenildiğini bulmaktır. MAC bir uplink portunda görünüyorsa sonraki switch üzerinde aramaya devam edin. Kablosuz ağda aynı iş için erişim noktası veya denetleyicinin istemci tablosuna bakılır.

Yanlış pozitifleri eleyin

Kök nedeni düzelterek IP çakışmasını giderin

Hangi iki cihazın aynı adresi kullandığı belirlendikten sonra çözüm, adresi rastgele değiştirmek değildir. IP yönetim yöntemini düzeltin:

• Elle verilen sabit adresleri DHCP havuzunun dışına taşıyın.
• Sabit kalması gereken istemci için DHCP reservation kullanın.
• Eski veya yinelenmiş DHCP rezervasyonlarını temizleyin.
• Klonlanmış sanal makinelerde ağ yapılandırmasını ve MAC adresini kontrol edin.
• Birden fazla DHCP sunucusu varsa kapsamların birbiriyle çakışmadığını doğrulayın.

IP çakışmasının kavramsal nedenleri için IP Çakışması Nedir? yazısına bakabilirsiniz. Buradaki teşhis akışı ise değişiklik yapmadan önce gerçek cihazları ve fiziksel portları bulmaya odaklanır.

Düzeltmeyi aynı yöntemle doğrulayın

Düzeltmeden sonra aynı kontrolleri tekrarlayın. Yalnız eski önbellek kaydı ölçümü engelliyorsa, yerel erişimi olan test istemcisinde ve yetkili bakım kapsamında tek hedef kaydı temizlenebilir. Uzak yönetim bağlantısının bağlı olduğu komşuyu temizlemeyin. Aşağıdaki örnekte IP ve arayüz adını kendi test ortamınıza göre değiştirin:

sudo ip neigh flush to 192.168.1.50 dev enp1s0
sudo arping -I enp1s0 -c 5 192.168.1.50
ip neigh show to 192.168.1.50 dev enp1s0

Beş istekte aynı MAC görülmesi bu kısa gözlemde eşleşmenin kararlı olduğunu gösterir; uyuyan veya bağlantısı kesik ikinci cihazı dışlamaz. Aşağıdaki çıktı temsildir. DHCP/switch kayıtlarını ve etkilenen uygulamayı da kontrol edin; bilinen iki cihazın aynı anda çalıştığı durumda gözlemi tekrarlayın:

ARPING 192.168.1.50 from 192.168.1.20 enp1s0
Unicast reply from 192.168.1.50 [00:25:96:FF:1A:20]
Unicast reply from 192.168.1.50 [00:25:96:FF:1A:20]
Unicast reply from 192.168.1.50 [00:25:96:FF:1A:20]
Unicast reply from 192.168.1.50 [00:25:96:FF:1A:20]
Unicast reply from 192.168.1.50 [00:25:96:FF:1A:20]

192.168.1.50 lladdr 00:25:96:ff:1a:20 REACHABLE

Teknik başvuru: ip-neighbour(8), iputils arping(8) ve Microsoft arp komutu.