摘要

  • Sabina Anja 指出，EVPN 的第一处信任决定发生在接入端口：交换机把主机送来的源 MAC 当作本地地址学习。
  • MAC Mobility 序列号决定竞争路由的优先顺序，却不核验最初发帧的主机是否有权使用该地址。

虚拟机真正迁移时，EVPN 帮它保留 MAC 地址，并迅速把流量转到新位置。这套便利机制也能替一台根本没动过的服务器“报新址”。Sabina Anja 在APNIC 原文中设定的情形很简单：另一台主机发出一帧，把服务器的 MAC 写进源地址。它所接入的交换机学到这个地址，再向整个 EVPN 广告本地位置。

RFC 7432 规定了 EVPN MAC/IP 路由中的迁移扩展属性和序列号。原来被视为远端的 MAC 若在本地出现，新的广告可以带更高的序列号；其他节点据此选择路径。这个数字说明哪条广告占优，却没有追问谁制造了最初的“本地学习”。Anja 关注的正是这一步：接入端口上的伪造，经过 BGP 传播后变成全网都看得见的路径声明。

只盯迁移计数会误判两边。虚拟机多次合法迁移也能积累很高的数字；攻击者若慢慢改变位置，可能一直躲开按短时间窗口计数的告警。Anja 建议从路由反射器保留 Type-2 更新，查看源节点、以太网段标识、序列号、静态标记和时间，再拿接入端口的授权绑定与资产清单核对。一条“服务器搬家”的路由，必须找到对应的真实搬家。

她写的是威胁路径分析，没有给出某家机构的事故抓包或发生率。若出现一组同时间线上的路由反射器记录与接入端口记录，就能确认具体事件的起点和传播。当前已经清楚的是机制：错误信息在边缘被接纳后，EVPN 会高效地替它广播。