MAC-Adresswechsel sind in einer Ethernet-VPN-(EVPN-)Fabric ein alltäglicher Vorgang. Wenn eine virtuelle Maschine auf einen neuen Host migriert, behält sie ihre MAC-Adresse bei; der neue Leaf-Switch lernt sie und meldet die Änderung über BGP, damit der Datenverkehr folgen kann. Derselbe Vorgang lässt sich jedoch missbrauchen, wenn ein anderes Gerät eine MAC-Adresse für sich beansprucht, die ihm nicht gehört.
Das Risiko ergibt sich daraus, dass Ethernet keine Authentifizierung der Quell-MAC-Adresse vorsieht. Ein Switch lernt eine MAC-Adresse anhand von Frames, die an einem Access-Port eintreffen, und EVPN verteilt diese Informationen an andere Provider-Edge-Geräte. Gibt sich ein Host als Server mit dessen MAC-Adresse aus, kann die daraus resultierende Ankündigung eine höhere Mobilitätssequenznummer enthalten. Dadurch leiten andere Leaf-Switches den Datenverkehr für diesen Server an den Host weiter, der die Adresse fälscht. Die gefälschte Route bleibt vertrauenswürdig, bis der legitime Host sich erneut ankündigt.
Zu den möglichen Folgen zählen das Abfangen von Datenverkehr, Dienstunterbrechungen und eine zusätzliche Belastung der Control Plane. Ein Angreifer kann Datenverkehr, der für das Opfer bestimmt ist, auf sich ziehen, dessen MAC-Adresse beanspruchen und Pakete verwerfen oder wiederholt MAC-Adresswechsel auslösen, die BGP-Updates und Änderungen an den Weiterleitungstabellen verursachen. Der Artikel warnt außerdem, dass ein Angreifer versuchen könnte, die IP-Adresse des Opfers mithilfe von Gratuitous ARP oder unaufgeforderten Neighbor Advertisements zu beanspruchen – ein Schritt, der möglicherweise keine Erkennung der MAC-Mobilität auslöst.
Der Schutz vor doppelten MAC-Adressen bietet keine vollständige Abwehr. Die Schutzmechanismen zählen in der Regel die Wechsel innerhalb eines Zeitfensters auf jedem einzelnen PE. Daher kann die Aktivität unter dem Warnschwellenwert bleiben oder auf mehrere Switches verteilt werden. Selbst wenn ein Alarm ausgelöst wird, weist er möglicherweise lediglich auf ein Duplikat hin, ohne erkennen zu lassen, dass es sich um eine böswillige Aktivität handeln könnte.
Route Reflectors bieten einen umfassenderen Überblick, da sie EVPN-Updates für Routen des Typs 2 empfangen. Betreiber können diese Updates mithilfe des BGP Monitoring Protocol exportieren und MAC-Adressen, Ursprungsgeräte, Sequenznummern, Sticky-Flags und Zeitstempel erfassen. Zu den nützlichen Warnzeichen zählen ungewöhnlich häufige Wechsel über längere Zeiträume, Sequenznummernsprünge von mehr als eins, unerwartete Sticky-Routen und widersprüchliche Ankündigungen für dieselbe MAC-Adresse.
Diese Überwachung der Control Plane sollte mit den Aufzeichnungen der Zugriffsebene abgeglichen werden, darunter DHCP-Snooping-Bindings, 802.1X-Sitzungen und Portinventare. Der Artikel nennt außerdem MAC-Limits für Ports, ARP-/ND-Inspektion und Sticky-MAC-Einträge für kritische Systeme als Maßnahmen, die dazu beitragen können, die Adressen einzuschränken, die Hosts verwenden dürfen. Die zentrale Sicherheitsbedenken bestehen darin, dass EVPN Informationen verteilt, die am Netzwerkrand gelernt wurden. Das Vertrauen in die Fabric hängt daher davon ab, die Identität von Hosts dort zu überprüfen, wo die Geräte angeschlossen sind.
Quellen: APNIC Blog.