Zusammenfassung

  • Sabina Anja lokalisiert die erste Vertrauensentscheidung am Zugangsport: Das Leaf-Gerät übernimmt eine vom Host gesetzte Quell-MAC als lokale Beobachtung.
  • Die MAC-Mobility-Sequenz priorisiert Ankündigungen; sie prüft nicht, ob der Host die Adresse beanspruchen darf.

EVPN kann eine virtuelle Maschine umziehen lassen, ohne ihr eine neue MAC-Adresse zu geben. Der Datenverkehr folgt der neuen Stelle. Sabina Anja beschreibt bei APNIC einen Umzug, der nie stattfand: Ein anderer Host sendet einen Frame mit der MAC des unveränderten Servers als Quelladresse. Das angeschlossene Leaf lernt sie lokal und meldet dem Fabric einen neuen Standort.

Der RFC 7432 definiert die MAC-Mobility-Information in EVPN-MAC/IP-Routen. Ein Leaf, das eine zuvor entfernte MAC nun lokal sieht, kann eine höhere Sequenznummer ankündigen. Andere Leaves bevorzugen diese Route. Die Nummer löst den Konflikt zwischen Standortmeldungen, aber der ursprüngliche Host hat die behauptete Identität dadurch nicht bewiesen. Aus einer ungeprüften Beobachtung am Rand wird eine BGP-Ankündigung für das gesamte Fabric.

Anja warnt vor dem bequemen Blick auf den Zähler. Eine oft verschobene virtuelle Maschine kann viele legitime Bewegungen vorweisen. Ein Angreifer kann seltener wechseln und unter einem Alarmfenster bleiben. Für die Untersuchung nennt sie die Type-2-Historie am Route Reflector: Ursprung, ESI, Sequenz, Sticky-Flag und Zeitstempel. Diese Informationen sollen mit autorisierten MAC-Port-Bindungen und Inventardaten abgeglichen werden.

Der mögliche Effekt ist eine Umleitung des Verkehrs, der eigentlich zum Server gehen sollte. Der Beitrag beschreibt einen Angriffsweg, keine gemessene Beeinträchtigung in einem namentlich genannten Netz. Ein korrelierter Trace von Route Reflector und Zugangsport würde einen konkreten Vorfall belegen. Schon ohne diesen Fall lässt sich die eigene Kontrollfrage stellen: Wer durfte die Adresse am Eingang überhaupt aussprechen?