MAC-Adressen und die Adresstabelle

Jede Netzwerkschnittstelle besitzt eine MAC-Adresse (Media Access Control address), eine eindeutige Hardwarekennung, die vom Hersteller in das Gerät eingebrannt wird. Während sich IP-Adressen ändern können, wenn ein Gerät zwischen Netzwerken wechselt, bleibt die MAC-Adresse normalerweise an die Hardware gebunden. Switches verlassen sich bei der Weiterleitung von Frames vollständig auf MAC-Adressen. Daher ist ihr Verständnis entscheidend, um die Funktionsweise eines LANs zu verstehen.

Eine MAC-Adresse ist 48 Bit lang und wird normalerweise als zwölf hexadezimale Ziffern in sechs Paaren geschrieben, zum Beispiel 00:1A:2B:3C:4D:5E. Jedes Paar stellt ein Byte dar. Die Doppelpunkte (manchmal auch Bindestriche oder Punkte) trennen die Paare lediglich zur besseren Lesbarkeit. Dieses Format ermöglicht eine sehr große Anzahl möglicher Adressen – genug, um Netzwerkhardware weltweit eindeutig zu identifizieren.

Eine MAC-Adresse besteht aus zwei Hälften:

• Erste 24 Bit – OUI (Organizationally Unique Identifier): identifizieren den Hersteller und werden von der IEEE vergeben.
• Letzte 24 Bit: ein eindeutiger Wert, den der Hersteller diesem bestimmten Gerät zuweist.

Zusammen machen sie jede MAC-Adresse weltweit eindeutig. Häufig können Sie die OUI nachschlagen, um den Hersteller eines Geräts zu ermitteln.

Die MAC-Adresse wird manchmal als BIA (Burned-In Address) bezeichnet, weil sie in der Firmware der Hardware festgelegt ist. Moderne Betriebssysteme können sie jedoch per Software spoofen oder überschreiben und eine andere MAC-Adresse verwenden. Angreifer können dies tun, um Filter zu umgehen, und Datenschutzfunktionen erzeugen für WLANs zufällige MAC-Adressen. Eine MAC-Adresse ist also normalerweise fest, aber nicht wirklich unveränderlich.

Ein Switch führt eine MAC-Adresstabelle (auch CAM-Tabelle genannt, nach Content Addressable Memory), die jede bekannte MAC-Adresse dem Switch-Port zuordnet, an dem sich das entsprechende Gerät befindet. Diese Tabelle bildet das Herzstück des Switchings: Jede Weiterleitungsentscheidung greift auf sie zu. Der Switch erstellt und aktualisiert sie automatisch, indem er die Quelladressen eingehender Frames beobachtet.

Die Tabelle wird durch Lernen gefüllt. Jedes Mal, wenn ein Frame an einem Port eingeht, liest der Switch dessen Quell-MAC-Adresse und speichert diese zusammen mit der Nummer des Eingangsports. Wenn dieselbe MAC-Adresse später von einem anderen Port sendet, weil ein Gerät umgezogen ist, aktualisiert der Switch den Eintrag. Durch dieses kontinuierliche Lernen entspricht die Tabelle stets der tatsächlichen Netzwerktopologie.

Die meisten Tabelleneinträge sind dynamisch: Sie werden automatisch gelernt und laufen nach einer gewissen Zeit ohne Datenverkehr ab. Administratoren können auch statische Einträge hinzufügen, die eine bestimmte MAC-Adresse dauerhaft einem Port zuordnen. Das ist beispielsweise für wichtige Server oder aus Sicherheitsgründen nützlich. Statische Einträge laufen nicht ab und haben Vorrang vor gelernten Zuordnungen. Dadurch ist eine präzise Kontrolle möglich, wo sie benötigt wird.

Die MAC-Tabelle hat eine begrenzte Größe. Ein Switch kann nur eine bestimmte Anzahl von Einträgen speichern. Ein Angreifer kann dies mit MAC-Flooding ausnutzen, indem er viele Frames mit gefälschten Quell-MAC-Adressen sendet, um die Tabelle zu füllen. Wenn sie voll ist, fällt der Switch möglicherweise auf das Überfluten aller Frames wie bei einem Hub zurück, sodass der Angreifer den Datenverkehr mithören kann. Port-Sicherheit schützt davor, indem sie die Anzahl der MAC-Adressen pro Port begrenzt.

Halten Sie die beiden Adresstypen klar auseinander:

• MAC-Adresse – Layer 2, Hardwareadresse, wird von Switches innerhalb eines lokalen Netzwerks verwendet.
• IP-Adresse – Layer 3, logische Adresse, wird zum Routen zwischen Netzwerken verwendet.

Ein Gerät behält seine MAC-Adresse bei lokalen Wechseln, erhält aber in neuen Netzwerken neue IP-Adressen. Switches verwenden MAC-Adressen, Router verwenden IP-Adressen. Diese Aufgabenteilung ist grundlegend.

Nicht alle MAC-Adressen verweisen auf ein einzelnes Gerät. Die spezielle Adresse FF:FF:FF:FF:FF:FF ist die Broadcast-Adresse und steht für jedes Gerät im lokalen Netzwerk. Eine normale gerätespezifische MAC-Adresse ist eine Unicast-Adresse, und bestimmte Bereiche sind für Multicast-Gruppen reserviert. Wenn ein Switch das Broadcast-Ziel erkennt, flutet er den Frame an alle Ports. So erreichen Protokolle wie ARP alle Geräte gleichzeitig.

Für die Prüfung sollten Sie wissen, dass eine MAC-Adresse eine 48-Bit-Hardwareadresse aus zwölf Hexadezimalziffern ist, wobei die erste Hälfte die Herstellerkennung OUI bildet. Switches speichern gelernte MAC-zu-Port-Zuordnungen in der MAC-Adresstabelle – mit dynamischen Einträgen, die nach einer gewissen Zeit verfallen, und optionalen statischen Einträgen. Sie sollten MAC-Flooding als Angriff verstehen und wissen, dass MAC auf Schicht 2 und IP auf Schicht 3 arbeitet.

Testen Sie Ihr Wissen über MAC-Adressen.

Sie haben gelernt, dass eine MAC-Adresse ein 48-Bit-Hardwarebezeichner ist, der als zwölf Hexadezimalziffern dargestellt und in eine Herstellerkennung OUI sowie einen Geräteanteil aufgeteilt wird. Obwohl sie fest im Gerät hinterlegt ist, kann sie gefälscht werden. Switches führen eine MAC-Adresstabelle (CAM-Tabelle), die MAC-Adressen Ports zuordnet. Diese wird durch das Lernen von Quelladressen gefüllt und enthält dynamische Einträge, die nach einer gewissen Zeit verfallen, sowie optional statische Einträge. MAC-Flooding zielt auf die begrenzte Größe der Tabelle; Port-Sicherheit schützt sie. MAC arbeitet auf Schicht 2, IP auf Schicht 3.