Los cambios de dirección Mac son habituales en una estructura de Ethernet VPN (EVPN). Cuando una máquina virtual migra a un nuevo host, conserva su dirección MAC; el nuevo conmutador leaf la aprende y anuncia el cambio mediante BGP para que el tráfico pueda seguirla. Sin embargo, se puede abusar del mismo proceso si otro dispositivo reclama una dirección MAC que no le pertenece.
El riesgo se debe a que Ethernet carece de autenticación de la MAC de origen. Un conmutador aprende una dirección MAC a partir de las tramas que llegan a un puerto de acceso, y EVPN distribuye esa información a otros dispositivos de borde del proveedor. Si un host suplanta la MAC de un servidor, el anuncio resultante puede llevar un número de secuencia de movilidad más alto, lo que hace que otros conmutadores leaf dirijan hacia el host que suplanta la identidad el tráfico destinado a ese servidor. La ruta falsificada sigue siendo de confianza hasta que el host legítimo vuelve a anunciarse.
Entre las posibles consecuencias están la interceptación del tráfico, la interrupción del servicio y una mayor carga en el plano de control. Un atacante puede atraer el tráfico destinado a la víctima, reclamar su MAC y descartar paquetes, o provocar repetidamente cambios de MAC que generen actualizaciones de BGP y modificaciones de las tablas de reenvío. El artículo también advierte de que un atacante podría intentar reclamar la dirección IP de la víctima mediante ARP gratuito o anuncios de vecinos no solicitados, una acción que quizá no active la detección de movilidad de MAC.
La protección contra MAC duplicadas no es una defensa completa. Por lo general, las medidas de protección cuentan los cambios dentro de un intervalo de tiempo en cada PE individual, por lo que la actividad puede mantenerse por debajo del umbral de alerta o distribuirse entre varios conmutadores. Incluso cuando se genera una alerta, esta puede identificar un evento de duplicación sin indicar que podría ser malicioso.
Los reflectores de rutas pueden ofrecer una perspectiva más amplia porque reciben actualizaciones de rutas EVPN de tipo 2. Los operadores pueden exportar esas actualizaciones mediante el protocolo de monitorización de BGP y hacer un seguimiento de las direcciones MAC, los dispositivos de origen, los números de secuencia, las marcas de rutas persistentes y las marcas de tiempo. Entre las señales de alerta útiles se incluyen cambios inusualmente frecuentes durante periodos prolongados, saltos en el número de secuencia superiores a uno, rutas persistentes inesperadas y anuncios en conflicto para una misma MAC.
Esta supervisión del plano de control debe contrastarse con los registros de la capa de acceso, incluidos los enlaces de DHCP snooping, las sesiones 802.1X y los inventarios de puertos. El artículo también señala los límites de MAC por puerto, la inspección de ARP/ND y las entradas de MAC persistentes para sistemas críticos como medidas que pueden ayudar a restringir las direcciones que los hosts pueden usar. La principal preocupación de seguridad es que EVPN distribuye información aprendida en el borde, por lo que la confianza en la estructura depende de verificar la identidad de los hosts en el punto donde se conectan los dispositivos.
Fuentes: APNIC Blog.