Gli spostamenti degli indirizzi MAC sono una parte ordinaria di una fabric Ethernet VPN (EVPN). Quando una macchina virtuale migra verso un nuovo host, mantiene il proprio indirizzo MAC; il nuovo switch leaf lo apprende e annuncia la modifica tramite BGP, così il traffico può seguire la macchina. Tuttavia, lo stesso processo può essere sfruttato se un altro dispositivo rivendica un indirizzo MAC che non gli appartiene.
Il rischio deriva dall’assenza, in Ethernet, di un’autenticazione dell’indirizzo MAC sorgente. Uno switch apprende un indirizzo MAC dai frame che arrivano su una porta di accesso, e EVPN distribuisce queste informazioni agli altri dispositivi provider edge. Se un host si spaccia per il MAC di un server, l’annuncio risultante può avere un numero di sequenza di mobilità più alto, inducendo gli altri leaf a indirizzare il traffico destinato a quel server verso l’host che falsifica l’identità. La route contraffatta rimane considerata attendibile finché l’host legittimo non si annuncia di nuovo.
Le possibili conseguenze includono l’intercettazione del traffico, l’interruzione dei servizi e un carico aggiuntivo sul control plane. Un aggressore può attirare il traffico destinato alla vittima, rivendicarne il MAC e scartare i pacchetti, oppure provocare ripetutamente spostamenti MAC che generano aggiornamenti BGP e modifiche alle tabelle di inoltro. L’articolo avverte inoltre che un aggressore potrebbe tentare di rivendicare l’indirizzo IP della vittima usando ARP gratuiti o annunci di vicinato non sollecitati, un’azione che potrebbe non attivare il rilevamento della mobilità MAC.
La protezione contro i MAC duplicati non è una difesa completa. In genere, le misure di protezione contano gli spostamenti entro una finestra temporale su ciascun PE individualmente, perciò l’attività può rimanere sotto la soglia di allarme oppure essere distribuita su più switch. Anche quando viene generato un allarme, questo può segnalare un evento di duplicazione senza indicare che potrebbe essere malevolo.
I route reflector possono offrire una visione più ampia perché ricevono gli aggiornamenti delle route EVPN di tipo 2. Gli operatori possono esportare tali aggiornamenti tramite il BGP Monitoring Protocol e monitorare gli indirizzi MAC, i dispositivi di origine, i numeri di sequenza, i flag sticky e le marcature temporali. Tra i segnali d’allarme utili figurano spostamenti insolitamente frequenti su periodi più lunghi, salti del numero di sequenza superiori a uno, route sticky inattese e annunci in conflitto per lo stesso MAC.
Il monitoraggio del control plane dovrebbe essere confrontato con i registri del livello di accesso, comprese le associazioni DHCP snooping, le sessioni 802.1X e gli inventari delle porte. L’articolo individua inoltre nei limiti al numero di MAC per porta, nell’ispezione ARP/ND e nelle voci MAC sticky per i sistemi critici alcune misure che possono contribuire a limitare gli indirizzi che gli host sono autorizzati a usare. La preoccupazione centrale in termini di sicurezza è che EVPN distribuisce informazioni apprese al bordo della rete, perciò la fiducia nella fabric dipende dalla verifica dell’identità degli host nel punto in cui si collegano i dispositivi.
Fonti: APNIC Blog.