الملخص

  • تضع Sabina Anja نقطة الثقة الأولى عند منفذ الوصول الذي يتعلم منه المبدّل عنوان MAC الذي كتبه المضيف في إطار البيانات.
  • رقم تسلسل انتقال MAC يرتب الإعلانات المتنافسة، ولا يثبت حق المضيف في استخدام العنوان.

عندما تنتقل آلة افتراضية انتقالاً مشروعاً، تحتفظ بعنوان MAC وتخبر شبكة EVPN بموقعها الجديد. تصف Sabina Anja في مقالها لدى APNIC نسخة مزيفة من الحركة نفسها: مضيف آخر يرسل إطاراً يضع فيه عنوان خادم ثابت في خانة المصدر. يتعلم مبدّل الوصول العنوان محلياً، ثم يعلن لبقية الشبكة أن موقع الخادم تغير.

يعرّف RFC 7432 خاصية انتقال MAC ورقم التسلسل المصاحب لإعلانات EVPN الخاصة بعنوان MAC وIP. إذا صار العنوان الذي عُرف عن بعد مرئياً محلياً، يستطيع الجهاز إعلان رقم أعلى، فتفضل الأجهزة الأخرى المسار الجديد. هذا ترتيب لإعلانات المواقع، وليس فحصاً لهوية من صنع الإطار الأول. هنا يتحول ادعاء من طرف الشبكة إلى خبر تتعامل معه طبقة التحكم بثقة.

تحذر Anja من الاعتماد على عداد الحركة وحده. قد تتنقل آلة افتراضية مرات كثيرة بصورة سليمة، وقد ينفذ مخادع تغييرات بطيئة لا تبلغ حد الإنذار في نافذة قصيرة. تقترح جمع تاريخ إعلانات Type-2 عند عاكسات المسارات، مع المُعلن ومعرف مقطع Ethernet ورقم التسلسل والوقت، ثم مقارنته بسجل المضيف والمنفذ المسموح له بحمل ذلك العنوان.

قد يُوجَّه المرور المتجه إلى الخادم نحو موقع المضيف المزيف وفق السيناريو الذي تحلله. المقال يقدم آلية تهديد ولا يقدم أثراً مقاساً لحادثة في شبكة مسماة. سجل متزامن من عاكس المسارات ومنفذ الوصول سيحدد أين بدأ إعلان مضلل في حالة فعلية. إلى ذلك الحين، لا تصلح زيادة رقم التسلسل وحدها حكماً على ما جرى.