A mudança de endereço Mac é uma ocorrência rotineira em uma malha Ethernet VPN (EVPN). Quando uma máquina virtual migra para um novo host, ela mantém seu endereço MAC; o novo switch leaf o aprende e anuncia a mudança por meio do BGP, para que o tráfego possa acompanhá-la. Mas o mesmo processo pode ser explorado se outro dispositivo reivindicar um endereço MAC que não lhe pertence.
O risco decorre da falta de autenticação do MAC de origem no Ethernet. Um switch aprende um endereço MAC a partir de quadros que chegam a uma porta de acesso, e o EVPN distribui essas informações a outros dispositivos de borda do provedor. Se um host se fizer passar pelo MAC de um servidor, o anúncio resultante poderá incluir um número de sequência de mobilidade mais alto, levando outros switches leaf a encaminhar para o host falsificador o tráfego destinado àquele servidor. A rota forjada continua sendo considerada confiável até que o host legítimo volte a se anunciar.
As possíveis consequências incluem interceptação de tráfego, interrupção de serviços e aumento da carga no plano de controle. Um atacante pode atrair o tráfego destinado à vítima, reivindicar seu MAC e descartar pacotes, ou provocar repetidamente mudanças de MAC que geram atualizações BGP e alterações nas tabelas de encaminhamento. O artigo também alerta que um atacante pode tentar reivindicar o endereço IP da vítima usando ARP gratuito ou anúncios de vizinhança não solicitados, uma ação que talvez não acione a detecção de mobilidade de MAC.
A proteção contra MACs duplicados não é uma defesa completa. Em geral, as salvaguardas contam as mudanças dentro de uma janela de tempo em cada PE individual, de modo que a atividade pode ficar abaixo do limite de alerta ou ser distribuída entre vários switches. Mesmo quando um alerta é gerado, ele pode identificar um evento de duplicação sem indicar que ele pode ser malicioso.
Os route reflectors podem oferecer uma visão mais abrangente, pois recebem atualizações de rotas EVPN Type-2. Os operadores podem exportar essas atualizações usando o BGP Monitoring Protocol e acompanhar endereços MAC, dispositivos de origem, números de sequência, flags sticky e marcações de tempo. Entre os sinais de alerta úteis estão mudanças excepcionalmente frequentes ao longo de períodos maiores, saltos nos números de sequência superiores a um, rotas sticky inesperadas e anúncios conflitantes para o mesmo MAC.
Esse monitoramento do plano de controle deve ser comparado com os registros da camada de acesso, incluindo associações do DHCP snooping, sessões 802.1X e inventários de portas. O artigo também aponta limites de MAC por porta, inspeção de ARP/ND e entradas de MAC sticky para sistemas críticos como medidas que podem ajudar a restringir os endereços que os hosts têm permissão para usar. A principal preocupação de segurança é que o EVPN distribui informações aprendidas na borda; portanto, a confiança na malha depende da verificação da identidade dos hosts nos pontos de conexão dos dispositivos.
Fontes: APNIC Blog.