Resumen

  • Sabina Anja muestra cómo una hoja de EVPN puede tomar una MAC de origen falsificada por una ubicación nueva y anunciarla a toda la malla.
  • El contador de movilidad ayuda a elegir entre rutas; una cifra mayor no demuestra que el servidor se haya trasladado.

La migración de una máquina virtual tiene un truco útil: conserva su dirección MAC y el tejido EVPN aprende dónde está ahora. Sabina Anja describe en APNIC una mudanza inventada. Un host envía una trama con la MAC de otro servidor como dirección de origen. Su switch la aprende localmente; después, el plano de control puede anunciar a las demás hojas que ese servidor cambió de sitio.

El RFC 7432 define la comunidad de movilidad MAC y el número de secuencia en los anuncios MAC/IP. Cuando una hoja que conocía una MAC remota pasa a verla como local, puede publicar una secuencia superior. La preferencia de ruta sigue ese orden. La dirección de origen del paquete inicial, sin embargo, llegó de un host que podía escribir cualquier MAC. El protocolo resuelve qué anuncio gana, no quién tenía derecho a producirlo.

Por eso Anja desconfía de dos atajos. Muchas migraciones reales pueden elevar el contador sin ataque alguno. Movimientos falsos espaciados pueden no activar una alarma que solo mide ráfagas breves. Su propuesta cruza la historia de rutas tipo 2 vista por los reflectores con la identidad esperada en el puerto de acceso: origen, segmento Ethernet, secuencia, marca estática y hora, junto a las asignaciones autorizadas.

El daño potencial tiene un mecanismo concreto: tráfico destinado al servidor puede seguir la nueva ubicación falsa. Anja expone ese camino como análisis de amenaza; no presenta un incidente medido en una red identificada. Una traza conjunta del reflector y del puerto donde nació el anuncio cambiaría esa constatación. Mientras tanto, la ingeniería puede probar si su propia red distingue movilidad aprobada de una dirección prestada por un host.

El borde es el punto donde una trama se convierte en una afirmación de identidad. Si allí se acepta sin contraste, la distribución rápida de EVPN lleva el error hasta todas las hojas pertinentes con eficiencia impecable.