Resumo

  • Sabina Anja mostra que a primeira afirmação de identidade nasce na porta de acesso, quando uma leaf aprende o MAC de origem enviado pelo host.
  • O número de sequência da mobilidade escolhe entre rotas concorrentes; ele não autentica quem lançou o frame inicial.

Uma máquina virtual migra e leva seu endereço MAC. O EVPN muda o caminho para que as sessões continuem. Na análise publicada pela APNIC, Sabina Anja troca a migração por uma falsificação: outro host envia um frame com o MAC do servidor parado. A leaf que recebe o frame aprende o endereço como local e anuncia ao fabric que o servidor agora está ali.

O RFC 7432 define o atributo de mobilidade MAC para anúncios EVPN de MAC/IP. Quando uma leaf considera local um endereço antes conhecido como remoto, pode anunciar uma sequência superior. As demais escolhem a rota de acordo com essa preferência. O protocolo organiza anúncios de localização; não examina o direito do host de usar o endereço escrito no frame. Assim, um dado falso colhido no acesso pode se tornar uma rota convincente no plano de controle.

Anja também desmonta a fé no contador. Muitas migrações reais elevam o número sem indicar fraude. Movimentos falsos lentos podem ficar abaixo da janela de alerta para duplicação de MAC.

A saída proposta é olhar o histórico de rotas Type-2 nos refletores, com originador, ESI, sequência e hora, e conferir a identidade esperada do host nas vinculações e no inventário da porta de acesso.

A ameaça descrita pode atrair tráfego destinado à vítima para a leaf errada. O texto explica o mecanismo; não traz captura de um incidente identificado nem taxa de ocorrência.

Um registro correlacionado entre refletor e porta de acesso mostraria se uma rede concreta sofreu o desvio. A distinção já é útil para a operação: um número crescente pode marcar movimento legítimo ou uma mentira bem distribuída.