Cache ARP
Tabela no kernel do SO que mapeia IPv4 → MAC. Preenchida por requisições ARP (broadcasts) ou entradas estáticas.
Para ver: ip neigh show (Linux), arp -a (Windows/macOS). As entradas ficam "STALE" depois de ~30 s, depois "DELAY" e então "FAILED" se não forem verificadas. O MAC do gateway costuma ficar em cache de forma persistente (sticky). Vulnerável a ARP spoofing — o atacante manda ARP gratuito com o MAC errado ⇒ MITM. Defesas: Dynamic ARP Inspection (DAI) nos switches, entradas ARP estáticas para o gateway.