Indirizzi MAC e tabella degli indirizzi

Ogni interfaccia di rete ha un indirizzo MAC (Media Access Control address), un identificatore hardware univoco integrato nel dispositivo dal produttore. Mentre gli indirizzi IP possono cambiare quando un dispositivo passa da una rete all'altra, l'indirizzo MAC normalmente rimane associato all'hardware. Gli switch si affidano interamente agli indirizzi MAC per inoltrare i frame, quindi comprenderli è essenziale per capire il funzionamento di una LAN.

Un indirizzo MAC ha una lunghezza di 48 bit e viene solitamente scritto come dodici cifre esadecimali disposte in sei coppie, ad esempio 00:1A:2B:3C:4D:5E. Ogni coppia rappresenta un byte. I due punti (o talvolta i trattini o i punti) servono semplicemente a separare le coppie per facilitarne la lettura. Questo formato offre un numero enorme di indirizzi possibili, sufficiente a identificare in modo univoco l'hardware di rete in tutto il mondo.

Un indirizzo MAC è composto da due metà:

• Primi 24 bit — OUI (Organizationally Unique Identifier): identifica il produttore ed è assegnato dall'IEEE.
• Ultimi 24 bit: un valore univoco assegnato dal produttore a quello specifico dispositivo.

Insieme, questi elementi rendono ogni MAC univoco a livello globale. Spesso è possibile cercare l'OUI per identificare il produttore di un dispositivo.

Il MAC viene talvolta chiamato BIA (Burned-In Address) perché è impostato nel firmware dell'hardware. Tuttavia, i sistemi operativi moderni possono eseguire lo spoofing o sovrascriverlo tramite software, presentando un MAC diverso. Gli aggressori possono farlo per aggirare i filtri e le funzionalità di privacy randomizzano i MAC sulle reti Wi-Fi. Pertanto, anche se normalmente è fisso, un MAC non è veramente immodificabile.

Uno switch mantiene una tabella degli indirizzi MAC (chiamata anche tabella CAM, da Content Addressable Memory) che associa ogni indirizzo MAC noto alla porta dello switch a cui è collegato il dispositivo corrispondente. Questa tabella è il cuore dello switching: ogni decisione di inoltro la consulta. Lo switch la crea e la aggiorna automaticamente osservando gli indirizzi sorgente dei frame in ingresso.

La tabella si popola tramite l'apprendimento. Ogni volta che un frame entra da una porta, lo switch legge il suo MAC sorgente e registra quel MAC insieme al numero della porta di ingresso. Se in seguito lo stesso MAC trasmette da una porta diversa, perché il dispositivo si è spostato, lo switch aggiorna la voce. Questo apprendimento continuo mantiene la tabella conforme alla configurazione reale della rete.

La maggior parte delle voci della tabella è dinamica: viene appresa automaticamente e rimossa per invecchiamento dopo un periodo di inattività. Gli amministratori possono anche aggiungere voci statiche che associano permanentemente uno specifico MAC a una porta, una soluzione utile per server importanti o per la sicurezza. Le voci statiche non vengono rimosse per invecchiamento e hanno la precedenza sul comportamento appreso, offrendo un controllo preciso dove necessario.

La tabella MAC ha una dimensione finita. Uno switch può contenere solo un certo numero di voci. Un aggressore può sfruttare questo limite tramite il MAC flooding, inviando molti frame con MAC sorgente falsi per riempire la tabella. Quando è piena, lo switch può tornare a inondare tutti i frame come un hub, consentendo all'aggressore di intercettare il traffico. La sicurezza delle porte contrasta questo attacco limitando il numero di MAC per porta.

Distinguete chiaramente i due tipi di indirizzo:

• Indirizzo MAC — livello 2, hardware, utilizzato dagli switch all'interno di una rete locale.
• Indirizzo IP — livello 3, logico, utilizzato per instradare il traffico tra reti.

Un dispositivo mantiene il proprio MAC quando si sposta all'interno di reti locali, ma riceve nuovi indirizzi IP nelle nuove reti. Gli switch utilizzano i MAC; i router utilizzano gli IP. Questa divisione dei compiti è fondamentale.

Non tutti gli indirizzi MAC fanno riferimento a un solo dispositivo. L'indirizzo speciale FF:FF:FF:FF:FF:FF è l'indirizzo di broadcast, cioè l'indirizzo di ogni dispositivo della rete locale. Un normale indirizzo MAC specifico di un dispositivo è un indirizzo unicast, mentre determinati intervalli sono riservati ai gruppi multicast. Quando uno switch rileva una destinazione broadcast, inoltra il frame su tutte le porte: è così che protocolli come ARP raggiungono contemporaneamente ogni dispositivo.

Per l'esame, sappia che un indirizzo MAC è un indirizzo hardware a 48 bit rappresentato da dodici cifre esadecimali, la cui prima metà corrisponde all'OUI del produttore. Gli switch memorizzano le associazioni tra MAC e porte nella tabella degli indirizzi MAC, usando voci dinamiche che scadono nel tempo e, facoltativamente, voci statiche. Comprenda il MAC flooding come un attacco e ricordi che il MAC opera al livello 2, mentre l'IP opera al livello 3.

Verifichi le Sue conoscenze sugli indirizzi MAC.

Ha imparato che un indirizzo MAC è un identificatore hardware a 48 bit, rappresentato da dodici cifre esadecimali e suddiviso in un OUI del produttore e in una parte relativa al dispositivo. Sebbene sia assegnato in origine al dispositivo, può essere falsificato. Gli switch mantengono una tabella degli indirizzi MAC (tabella CAM) che associa i MAC alle porte; la tabella viene popolata tramite il learning degli indirizzi di origine e contiene voci dinamiche che scadono nel tempo e, facoltativamente, voci statiche. Il MAC flooding sfrutta le dimensioni limitate della tabella; la sicurezza delle porte offre una protezione. Il MAC opera al livello 2, mentre l'IP opera al livello 3.