Saturation de la table MAC : port security et limites
32 768. C'est le nombre d'adresses MAC unicast que peut contenir un Catalyst 9300 dans son template access par défaut. Cela paraît beaucoup.
Un seul équipement sur un seul port peut tenter de remplir cette table d'adresses inventées, et un commutateur qui ne sait plus où se trouve un hôte envoie ses trames partout.
La technique
Un commutateur apprend quelle adresse MAC se trouve derrière quel port, dans une table de taille fixe. Inondez-la d'adresses source inventées, et les vraies n'y tiennent plus.
La port security est désactivée par défaut chez Cisco et chez Huawei, et Juniper indique que la limitation des adresses MAC n'est pas activée par défaut. Rien n'empêche un port de revendiquer adresse après adresse.
À quel point est-ce facile ?
Un port d'accès. Aucun compte, et aucun droit particulier : tout commutateur apprend les adresses source de chaque trame qu'il reçoit. C'est tout simplement ainsi que fonctionne la commutation.
Le principe de fonctionnement
Le port de l'attaquant émet des trames depuis une adresse après l'autre. La table se remplit.
Lorsqu'un hôte envoie ensuite une trame à un voisin dont l'entrée a disparu, le commutateur la diffuse sur tous les ports du VLAN, y compris celui de l'attaquant. Le trafic destiné à un seul hôte est copié vers tous les autres.
L'impact
Des trames destinées à d'autres hôtes atteignent le port de l'attaquant. Chaque hôte du VLAN est exposé tant que la table reste pleine.
Et les entrées apprises n'expirent qu'au bout de 300 secondes par défaut, chez les quatre constructeurs.
Comment fermer la porte
Activez la port security sur les ports d'accès, et plafonnez le nombre d'adresses par port : chez Cisco, Huawei et Aruba, la valeur par défaut est d'une seule adresse une fois la fonction activée.
Attention à la réaction en cas de violation, car elle diffère : Cisco coupe le port par défaut, Huawei rejette et alerte, et Aruba se contente de notifier.
Chez Juniper, définissez une limite MAC par interface. Le storm control ajoute une seconde ligne de défense, et il est activé par défaut sur les Juniper EX, à 80 pour cent.
Ce que NacTrack montre
NacTrack vérifie la présence de la port security ou d'une limite MAC sur les commutateurs d'accès Cisco et Huawei.
Sources
Sources : guides Cisco Catalyst 9300, guides port security Huawei, Aruba AOS-CX 10.14, Juniper EX (limitation MAC et storm control).
Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.
Savoir où votre réseau est exposé
NacTrack relève les versions et les configurations sur vos équipements, et les confronte aux avis publiés.