Mạng máy tínhARP (Address Resolution Protocol) ánh xạ IP address (tầng 3) sang MAC address (tầng 2) trong cùng một LAN. Khi máy A muốn gửi gói tới một IP đích cùng subnet nhưng chưa biết MAC của nó, A broadcast một ARP request ("Ai đang giữ IP 192.168.1.5?") ra toàn LAN. Máy sở hữu IP đó trả lời bằng ARP reply (unicast) chứa MAC của mình. A lưu cặp IP↔MAC vào ARP cache (có TTL) để lần sau khỏi hỏi lại.
Nếu đích nằm khác subnet, A không ARP đích trực tiếp mà ARP để lấy MAC của default gateway rồi gửi frame tới router. ARP spoofing (giả mạo reply) là một vector tấn công MITM phổ biến bên trong LAN.