Direcciones MAC y tabla de direcciones

Cada interfaz de red tiene una dirección MAC (Media Access Control address), un identificador de hardware único integrado en el dispositivo por su fabricante. Aunque las direcciones IP pueden cambiar cuando un dispositivo pasa de una red a otra, la dirección MAC normalmente permanece asociada al hardware. Los switches dependen por completo de las direcciones MAC para reenviar tramas, por lo que comprenderlas es esencial para entender cómo funciona una LAN.

Una dirección MAC tiene 48 bits de longitud y normalmente se escribe como doce dígitos hexadecimales en seis pares, por ejemplo, 00:1A:2B:3C:4D:5E. Cada par representa un byte. Los dos puntos (o, en ocasiones, los guiones o puntos) solo separan los pares para facilitar la lectura. Este formato ofrece una enorme cantidad de direcciones posibles, suficiente para identificar de forma única el hardware de red en todo el mundo.

Una dirección MAC tiene dos mitades:

• Primeros 24 bits — OUI (Organizationally Unique Identifier): identifica al fabricante y lo asigna la IEEE.
• Últimos 24 bits: un valor único que el fabricante asigna a ese dispositivo concreto.

Juntas, ambas partes hacen que cada MAC sea única a escala mundial. A menudo puede consultar el OUI para identificar al fabricante de un dispositivo.

La MAC a veces recibe el nombre de BIA (Burned-In Address) porque está establecida en el firmware del hardware. Sin embargo, los sistemas operativos modernos pueden suplantarla o sobrescribirla mediante software y presentar una MAC diferente. Los atacantes pueden hacerlo para eludir filtros, y las funciones de privacidad aleatorizan las MAC en redes Wi-Fi. Por tanto, aunque normalmente es fija, una MAC no es verdaderamente inmodificable.

Un switch mantiene una tabla de direcciones MAC (también llamada tabla CAM, por Content Addressable Memory) que asocia cada dirección MAC conocida con el puerto del switch donde se encuentra el dispositivo correspondiente. Esta tabla es el núcleo de la conmutación: cada decisión de reenvío la consulta. El switch la crea y actualiza automáticamente observando las direcciones de origen de las tramas entrantes.

La tabla se completa mediante el aprendizaje. Cada vez que una trama entra por un puerto, el switch lee su MAC de origen y registra esa MAC junto con el número del puerto de entrada. Si posteriormente la misma MAC envía tráfico desde otro puerto, porque el dispositivo se ha movido, el switch actualiza la entrada. Este aprendizaje continuo mantiene la tabla adaptada a la topología real de la red.

La mayoría de las entradas de la tabla son dinámicas: se aprenden automáticamente y caducan después de un periodo de inactividad. Los administradores también pueden añadir entradas estáticas que asignan permanentemente una MAC específica a un puerto, algo útil para servidores importantes o por motivos de seguridad. Las entradas estáticas no caducan y prevalecen sobre el comportamiento aprendido, lo que proporciona un control preciso cuando es necesario.

La tabla MAC tiene un tamaño finito. Un switch solo puede almacenar un número limitado de entradas. Un atacante puede aprovechar esta limitación mediante un MAC flooding, enviando muchas tramas con MAC de origen falsas para llenar la tabla. Cuando está llena, el switch puede volver a inundar todas las tramas como un hub, lo que permite al atacante capturar el tráfico. La función port security protege contra este ataque limitando el número de MAC por puerto.

Distinga claramente los dos tipos de dirección:

• Dirección MAC — capa 2, de hardware, utilizada dentro de una red local por los switches.
• Dirección IP — capa 3, lógica, utilizada para enrutar entre redes.

Un dispositivo conserva su MAC cuando se desplaza dentro de redes locales, pero obtiene nuevas IP al conectarse a redes distintas. Los switches utilizan MAC; los routers utilizan IP. Esta división de funciones es fundamental.

No todas las direcciones MAC apuntan a un solo dispositivo. La dirección especial FF:FF:FF:FF:FF:FF es la dirección de broadcast, es decir, la que representa a todos los dispositivos de la red local. Una dirección MAC normal específica de un dispositivo es una dirección de unicast, y ciertos rangos están reservados para grupos de multicast. Cuando un switch detecta el destino de broadcast, inunda la trama hacia todos los puertos; así es como protocolos como ARP llegan a todos los dispositivos a la vez.

Para el examen, debe saber que una dirección MAC es una dirección de hardware de 48 bits representada mediante doce dígitos hexadecimales, cuya primera mitad corresponde al fabricante OUI. Los switches almacenan las asociaciones entre direcciones MAC y puertos en la tabla de direcciones MAC, mediante entradas dinámicas que caducan y entradas estáticas opcionales. Comprenda el MAC flooding como un ataque, y recuerde que MAC pertenece a la capa 2, mientras que IP pertenece a la capa 3.

Ponga a prueba sus conocimientos sobre las direcciones MAC.

Ha aprendido que una dirección MAC es un identificador de hardware de 48 bits que se muestra como doce dígitos hexadecimales, dividido en un OUI del fabricante y una parte correspondiente al dispositivo. Aunque viene incorporada de fábrica, puede falsificarse. Los switches mantienen una tabla de direcciones MAC (tabla CAM) que asocia las MAC con los puertos y que se completa mediante el aprendizaje de las direcciones de origen, con entradas dinámicas que caducan y entradas estáticas opcionales. El MAC flooding ataca el tamaño limitado de la tabla; la seguridad de puertos ofrece protección. MAC pertenece a la capa 2; IP pertenece a la capa 3.