Palo Alto Firewall: ARP-Tabelle anzeigen und prüfen

Die ARP-Tabelle einer Palo-Alto-Firewall lässt sich direkt in der Operational CLI anzeigen. Das ist hilfreich, wenn ein Next Hop, Server oder Gateway nicht erreichbar ist und du prüfen möchtest, ob die Firewall überhaupt eine MAC-Adresse zur IP gelernt hat.

Alle ARP-Einträge anzeigen

show arp all

Auf aktuellen PAN-OS-Versionen ist auch der Basisbefehl show arp weiterhin dokumentiert.

ARP-Tabelle eines Interfaces anzeigen

Du kannst die Ausgabe auf ein Layer-3-Interface bzw. eine Subinterface-ID einschränken, zum Beispiel:

show arp ethernet1/1
show arp ae4.303

Status der Einträge verstehen

Die Ausgabe erklärt die wichtigsten Statuswerte direkt:

  • c – complete: IP und MAC-Adresse wurden erfolgreich aufgelöst.
  • i – incomplete: Die Firewall kennt noch keine MAC-Adresse zur IP. Das ist ein wichtiger Hinweis bei Erreichbarkeitsproblemen.
  • s – static: statischer ARP-Eintrag.
  • e – expiring: Eintrag läuft aus.

Bei einem incomplete-Eintrag solltest du unter anderem Routing zum Next Hop, Interface/VLAN, Layer-2-Erreichbarkeit und die Gegenstelle prüfen. Palo Alto zeigt in aktuellen Supportfällen ebenfalls show arp ethernet1/1, um genau solche unvollständigen Einträge zu diagnostizieren.

Beispiel aus der Praxis

XY@PA1(active-secondary)> show arp ae4.303

maximum of entries supported :      1500
default timeout:                    1800 seconds
total ARP entries in table :        14
total ARP entries shown :           14
status: s - static, c - complete, e - expiring, i - incomplete

interface         ip address      hw address        port              status   ttl
--------------------------------------------------------------------------------
ae4.303           185.9.109.2     00:1e:c9:b4:31:6e ae4                 c      246
ae4.303           185.9.109.10    00:1b:17:9a:74:33 ae4                 c      246
ae4.303           185.9.109.12    00:1b:17:9a:74:33 ae4                 c      1772
ae4.303           185.9.109.29    00:18:7d:29:82:cd ae4                 c      1741
ae4.303           185.9.109.30    00:18:7d:29:82:cd ae4                 c      1741
ae4.303           185.9.109.31    00:18:7d:29:88:85 ae4                 c      246
ae4.303           185.9.109.32    00:18:7d:29:82:cd ae4                 c      246
ae4.303           185.9.109.33    00:01:d7:a3:0b:43 ae4                 c      243
ae4.303           185.9.109.109   00:18:7d:3a:84:35 ae4                 c      382
ae4.303           185.9.109.121   00:01:d7:a3:0b:43 ae4                 c      246
ae4.303           185.9.109.122   00:01:d7:a3:0b:43 ae4                 c      246
ae4.303           185.9.109.124   00:01:d7:a3:0b:43 ae4                 c      246
ae4.303           185.9.109.125   00:01:d7:a3:0b:43 ae4                 c      246
ae4.303           185.9.109.126   00:01:d7:a3:0b:43 ae4                 c      246