要約

  • Sabina Anja は、アクセススイッチが端末の送信元 MAC を学習する時点を EVPN の信頼境界と見る。
  • MAC Mobility のシーケンス番号は広告の優先順位を決めるが、その MAC を名乗った端末の権限までは証明しない。

仮想マシンが移れば、同じ MAC アドレスを新しい場所から知らせる。EVPN の便利さはそこにある。Sabina Anja の APNIC 寄稿は、サーバーが一歩も動いていない場合を描く。別の端末がそのサーバーの MAC を送信元に書いてフレームを出す。接続先のリーフがローカルに学習し、場所が変わったという広告を配る。

RFC 7432 は EVPN の MAC/IP 広告と MAC Mobility 属性を規定する。以前は遠隔にあった MAC を新たにローカルで見たリーフは、より高いシーケンス番号を付けて広告できる。他のノードはその情報で経路を選ぶ。番号は順序の道具であって、最初のフレームを送った端末の身分証ではない。偽装が通れば、被害サーバー宛ての通信が別のリーフへ向かい得る。

異常検知を移動回数だけに任せても危うい。正当な仮想マシンは何度も移動する。一方、偽装を短い警報窓より遅く繰り返せば、回数の閾値に届かない。

Anja はルートリフレクターから Type-2 更新の履歴を取り、発信元、ESI、番号、静的フラグ、時刻を端末とポートの登録情報に突き合わせる案を示す。動いたと記録されたなら、どの端末がその MAC を使う許可を持っていたかまで追う。

寄稿は脅威の解析であり、特定の施設で起きた事件の測定記録はない。実際の被害を確定するには、リフレクターの経路履歴とアクセス側の記録を同じ時刻で結ぶ必要がある。

設計上の問題は既に具体的だ。エッジで未検証の情報を受け取れば、制御面はそれを丁寧に拡散する。