ネットワーク管理において、特定の機器のIPアドレスを素早く特定する必要がある場面は多い。特にMACアドレスは分かっているが、DHCPによって動的にIPアドレスが割り当てられている環境では、従来のIPアドレス総当たり方式では非効率である。このような状況でARP（Address Resolution Protocol）テーブルを活用することで、効率的に目的の機器を発見できる。
ARPは、同一ネットワークセグメント内でIPアドレスとMACアドレスの対応関係を管理するプロトコルである。ネットワーク通信が発生する際、OSは自動的にARPテーブルを更新し、最近通信した機器の情報を保持している。この仕組みを利用することで、ネットワーク全体をスキャンした後、ARPテーブルから目的のMACアドレスを持つ機器のIPアドレスを直接抽出できる。
実行環境と前提条件
本記事の手順はmacOS、Linux、Windowsの各環境で実行可能である。ただし、一部のコマンドには管理者権限が必要となる。また、対象機器は同一ネットワークセグメント内に存在し、ファイアウォール等でICMPパケット（ping）をブロックしていないことが前提となる。
基本的なARP発見手順
最も基本的な手順は、まずネットワーク全体に対してping応答を送信し、その結果生成されるARPテーブルから目的の機器を抽出する方法である。
# ネットワーク全体の生存確認
nmap -sn 192.168.1.0/24
# ARPテーブルから特定MACアドレスを検索
arp -a | grep "b8:27:eb"
上記の例では、192.168.1.0/24のネットワークレンジに対してping応答確認を実行し、その後ARPテーブルからb8:27:ebで始まるMACアドレスを検索している。nmap -snオプションは、ポートスキャンを実行せずにホストの生存確認のみを行うため、処理が高速である。
nmapが利用できない環境では、標準的なpingコマンドを使用したスクリプトでも代替可能である：
for i in {1..254}; do
ping -c 1 -W 1 192.168.1.$i >/dev/null 2>&1 &
done
wait
arp -a | grep "b8:27:eb"
このスクリプトでは、IPアドレスの範囲を並行処理でpingし、完了後にARPテーブルを確認している。ただし、処理時間の観点からnmapの使用が推奨される。
arp-scanツールを使用した高速検出
より確実で高速な検出を実現するには、専用ツールであるarp-scanの使用が効果的である。arp-scanは、ARPリクエストを直接送信するため、pingに応答しない機器でもMACアドレスベースでの検出が可能である。
macOSでのインストール：
brew install arp-scan
Linux（Ubuntu/Debian）でのインストール：
sudo apt install arp-scan
基本的な使用方法：
# ローカルネットワーク全体をスキャン
sudo arp-scan --local | grep "b8:27:eb"
# 特定のネットワークレンジを指定
sudo arp-scan 192.168.1.0/24 | grep "b8:27:eb"
arp-scanの利点は、ICMPパケット（ping）がブロックされている環境でも動作することである。ARPは同一セグメント内での通信に必須のプロトコルであるため、通常のファイアウォール設定でブロックされることは稀である。また、arp-scanは結果を構造化された形式で出力するため、スクリプト処理にも適している。
Raspberry Pi機器の特定における実践的応用
Raspberry Piを例とした具体的な応用例を示す。Raspberry Piは、製造時期やモデルによって異なるMACアドレスプリフィックスを使用している。
主要なRaspberry PiのMACアドレスプリフィックス：
b8:27:eb- 初期のRaspberry Pi（Pi 1, 2, 3の初期モデル）dc:a6:32- 新しいRaspberry Pi（Pi 3後期モデル以降、Pi 4、Pi Zero 2W等）e4:5f:01- 一部のPi 4モデルd8:3a:dd- 最新の一部モデル
複数のプリフィックスを同時に検索する場合：
sudo arp-scan --local | grep -E "(b8:27:eb|dc:a6:32|e4:5f:01|d8:3a:dd)"
実際の出力例：
192.168.1.105 b8:27:eb:12:34:56 Raspberry Pi Trading Ltd
192.168.1.108 dc:a6:32:78:9a:bc Raspberry Pi Trading Ltd
この結果から、192.168.1.105と192.168.1.108にRaspberry Pi機器が存在することが確認できる。さらに詳細な情報が必要な場合は、検出されたIPアドレスに対してSSH接続やWebブラウザでのアクセスを試行することで、具体的なサービス内容を確認できる。
トラブルシューティングとパフォーマンス最適化
ARPテーブルベースの検出で問題が発生する場合の対処法について説明する。最も一般的な問題は、ARPテーブルエントリの有効期限切れである。多くのOSでは、ARPエントリは数分から数十分で自動的に削除される。そのため、スキャン実行から時間が経過した後にARPテーブルを確認しても、目的の機器が見つからない場合がある。
この問題を回避するには、スキャンとARPテーブル確認を連続して実行する必要がある：
nmap -sn 192.168.1.0/24 && arp -a | grep "target_mac_prefix"
また、一部の機器はICMPパケットをブロックしている場合がある。このような環境では、arp-scanの使用が必須となる。arp-scanでも検出できない場合は、対象機器のネットワーク設定やファイアウォール設定を確認する必要がある。
パフォーマンスを向上させるには、nmapの並行処理オプションを調整できる：
nmap -sn -T5 --min-parallelism 100 192.168.1.0/24
ただし、過度な並行処理は、ネットワーク機器に負荷をかける可能性があるため、環境に応じて適切な値を設定することが重要である。
セキュリティ考慮事項と運用上の注意点
ARPスキャンは、ネットワーク上のすべての機器に対してパケットを送信するため、ネットワーク管理者の許可なく実行すべきではない。企業環境や公共のネットワークでは、事前に適切な許可を取得することが必要である。
また、頻繁なARPスキャンは、ネットワーク監視システムによって異常なトラフィックとして検出される可能性がある。定期的な機器発見が必要な場合は、スキャン間隔を適切に調整し、ネットワーク負荷を最小限に抑える運用を心がけることが重要である。
検出された機器への不正アクセスは法的な問題を引き起こす可能性があるため、発見した機器に対するアクセスは、適切な権限を持つ範囲内でのみ実行するべきである。特にSSHやWebサービスへのアクセス試行は、正当な理由と適切な権限なしに実行してはならない。
