Adresy MAC i tablica adresów

Każdy interfejs sieciowy ma adres MAC (Media Access Control address) — unikatowy identyfikator sprzętowy zapisany w urządzeniu przez jego producenta. Adresy IP mogą się zmieniać, gdy urządzenie przechodzi między sieciami, natomiast adres MAC zwykle pozostaje przypisany do sprzętu. Switche opierają przekazywanie ramek wyłącznie na adresach MAC, dlatego ich zrozumienie jest niezbędne do zrozumienia działania sieci LAN.

Adres MAC ma długość 48 bitów i zwykle zapisuje się go jako dwanaście cyfr szesnastkowych w sześciu parach, na przykład 00:1A:2B:3C:4D:5E. Każda para reprezentuje jeden bajt. Dwukropki (a czasami łączniki lub kropki) służą jedynie do oddzielania par dla ułatwienia odczytu. Ten format zapewnia ogromną liczbę możliwych adresów, wystarczającą do unikatowej identyfikacji sprzętu sieciowego na całym świecie.

Adres MAC składa się z dwóch części:

• Pierwsze 24 bity — OUI (Organizationally Unique Identifier): identyfikują producenta; identyfikator jest przydzielany przez IEEE.
• Ostatnie 24 bity: unikatowa wartość przydzielana przez producenta konkretnemu urządzeniu.

Razem zapewniają globalną unikatowość każdego adresu MAC. Często można wyszukać OUI, aby ustalić producenta urządzenia.

Adres MAC bywa nazywany BIA (Burned-In Address), ponieważ jest ustawiany w oprogramowaniu sprzętowym urządzenia. Współczesne systemy operacyjne mogą jednak podszywać się pod ten adres lub nadpisywać go programowo, prezentując inny adres MAC. Atakujący mogą wykorzystywać to do omijania filtrów, a funkcje ochrony prywatności losują adresy MAC w sieciach Wi-Fi. Zatem adres MAC jest zwykle stały, ale nie jest całkowicie niezmienny.

Switch przechowuje tablicę adresów MAC (nazywaną również tablicą CAM, od Content Addressable Memory), która mapuje każdy znany adres MAC na port switcha, do którego podłączone jest dane urządzenie. Tablica ta stanowi serce przełączania: każda decyzja o przekazaniu danych odwołuje się do jej zawartości. Switch automatycznie tworzy ją i aktualizuje, obserwując adresy źródłowe przychodzących ramek.

Tablica jest zapełniana poprzez uczenie się. Za każdym razem, gdy ramka trafia do portu, switch odczytuje jej źródłowy adres MAC i zapisuje ten adres wraz z numerem portu wejściowego. Jeśli ten sam adres MAC później pojawi się na innym porcie — ponieważ urządzenie zmieniło miejsce podłączenia — switch aktualizuje wpis. Ciągłe uczenie się sprawia, że tablica odzwierciedla rzeczywisty układ sieci.

Większość wpisów w tablicy jest dynamiczna: są uczone automatycznie i usuwane po pewnym czasie ciszy. Administratorzy mogą również dodawać statyczne wpisy, które trwale mapują konkretny adres MAC na port, co jest przydatne w przypadku ważnych serwerów lub ze względów bezpieczeństwa. Wpisy statyczne nie ulegają starzeniu i mają pierwszeństwo przed wpisami nauczonymi, zapewniając precyzyjną kontrolę tam, gdzie jest ona potrzebna.

Tablica MAC ma ograniczony rozmiar. Switch może przechowywać tylko określoną liczbę wpisów. Atakujący może to wykorzystać za pomocą zalewania adresami MAC, wysyłając wiele ramek z fałszywymi źródłowymi adresami MAC w celu zapełnienia tablicy. Gdy tablica się zapełni, switch może powrócić do rozsyłania wszystkich ramek, podobnie jak hub, umożliwiając atakującemu podsłuchiwanie ruchu. Przed takim atakiem chroni bezpieczeństwo portów, ograniczając liczbę adresów MAC przypisanych do portu.

Należy rozróżniać te dwa typy adresów:

• Adres MAC — warstwa 2, sprzętowy, używany w sieci lokalnej przez switche.
• Adres IP — warstwa 3, logiczny, używany do routingu między sieciami.

Urządzenie zachowuje swój adres MAC podczas przemieszczania się w obrębie sieci lokalnej, ale w nowych sieciach otrzymuje nowe adresy IP. Switche używają adresów MAC, a routery adresów IP. Ten podział zadań ma fundamentalne znaczenie.

Nie wszystkie adresy MAC wskazują jedno urządzenie. Specjalny adres FF:FF:FF:FF:FF:FF to adres broadcast, czyli adres przeznaczony dla każdego urządzenia w sieci lokalnej. Zwykły adres MAC przypisany do konkretnego urządzenia to adres unicast, a określone zakresy są zarezerwowane dla grup multicast. Gdy przełącznik wykryje adres docelowy broadcast, wysyła ramkę na wszystkie porty, dzięki czemu protokoły takie jak ARP mogą dotrzeć jednocześnie do każdego urządzenia.

Na egzaminie należy wiedzieć, że adres MAC to 48-bitowy adres sprzętowy zapisany za pomocą dwunastu cyfr szesnastkowych, przy czym pierwsza połowa to identyfikator producenta OUI. Przełączniki przechowują poznane powiązania adresów MAC z portami w tabeli adresów MAC, korzystając z wpisów dynamicznych, które z czasem wygasają, oraz opcjonalnych wpisów statycznych. Należy rozumieć, że zalewanie tablicy MAC (MAC flooding) jest atakiem, a MAC działa w warstwie 2, natomiast IP w warstwie 3.

Sprawdź swoją wiedzę o adresach MAC.

Dowiedzieli się Państwo, że adres MAC to 48-bitowy identyfikator sprzętowy przedstawiany jako dwanaście cyfr szesnastkowych, podzielony na identyfikator producenta OUI i część identyfikującą urządzenie. Choć jest zapisany w urządzeniu, może zostać sfałszowany. Przełączniki przechowują tabelę adresów MAC (tablicę CAM), która mapuje adresy MAC na porty. Jest ona wypełniana przez uczenie się adresów źródłowych i zawiera dynamiczne wpisy, które z czasem wygasają, oraz opcjonalne wpisy statyczne. Atak MAC flooding wykorzystuje ograniczony rozmiar tablicy, a mechanizm bezpieczeństwa portów zapewnia przed nim ochronę. MAC działa w warstwie 2, a IP w warstwie 3.