FortiGate get system arp

Visão geral

get system arp apresenta as entradas ARP IPv4 aprendidas pelo FortiGate.

ARP associa endereços IPv4 a MAC addresses em redes Layer 2 diretamente ligadas. A tabela é útil para validar se o FortiGate comunicou recentemente com um equipamento local e em que interface esse neighbor foi aprendido.

Comando

get system arp

Output típico

Address         Age(min)  Hardware Addr       Interface
10.1.10.20      0         00:11:22:33:44:55   VLAN10
10.1.50.10      2         aa:bb:cc:dd:ee:ff   VLAN50

Campos

Address

O endereço IPv4 associado à entrada ARP.

Age

A idade da entrada aprendida, apresentada em minutos no output standard da tabela.

Hardware Addr

O MAC address associado ao neighbor IPv4.

Interface

A interface do FortiGate através da qual o neighbor está acessível.

Quando utilizar

Utiliza get system arp quando:

• Um host diretamente ligado não está acessível.
• Precisas de confirmar que MAC address corresponde a um IP.
• Suspeitas de um conflito de IP.
• Precisas de validar a interface onde um endpoint local foi aprendido.
• A firewall policy está correta, mas a entrega local continua a falhar.
• Queres verificar se um equipamento comunicou recentemente com o FortiGate.

Como interpretar o resultado

O IP e MAC esperados estão presentes

Isto prova que o FortiGate tem atualmente um ARP mapping para esse endereço IPv4 local.

Não prova que a aplicação no endpoint está acessível nem que uma firewall policy permite todo o tráfego relevante.

O IP está presente com um MAC inesperado

Possíveis causas:

• Endereço IP duplicado
• Substituição do equipamento
• Informação ARP desatualizada
• Alterações de ownership de Virtual IP
• Comportamento de HA ou virtualização

Compara o MAC address com o endpoint, CAM/MAC table do switch, DHCP lease ou inventário.

O IP não está presente

Possíveis explicações:

• Não existiu comunicação Layer 3 recente com o host
• Host offline
• VLAN incorreta
• Subnet mask incorreta
• Falha no caminho Layer 2
• O destino não está realmente diretamente ligado

Gera tráfego, por exemplo com um ping a partir do FortiGate, e volta a verificar a tabela.

Cache ARP detalhada

Para informação ARP mais detalhada, a Fortinet também documenta:

diagnose ip arp list

Este comando pode apresentar estado interno adicional que não aparece no output mais simples de get system arp.

Workflow de validação

Para um host local como 10.1.10.20:

1. Confirma que a interface do FortiGate pertence à mesma subnet.
2. Executa:

get system arp

3. Confirma se 10.1.10.20 está presente.
4. Compara o MAC com o endpoint esperado.
5. Se não estiver presente, gera tráfego:

execute ping 10.1.10.20

6. Volta a inspecionar ARP.
7. Se continuar ausente, faz troubleshooting à conectividade Layer 2/VLAN.

Riscos e considerações

Este comando é read-only e não tem impacto operacional direto.

A principal limitação é o âmbito: ARP aplica-se apenas a neighbors IPv4 diretamente acessíveis. Não deves esperar que o FortiGate tenha uma entrada ARP para um host a vários routed hops de distância.

Artigos relacionados

• FortiGate execute ping
• FortiGate packet sniffer
• FortiGate routing table

Fontes

Consulta a referência oficial da Fortinet indicada nos metadados do artigo.