Switch-Mac-Adresse: Was ist das und wie funktioniert es?

Switch-Mac-Adresse: Was ist das und wie funktioniert es?

Sie haben vielleicht bemerkt, dass jedes Hardwareteil im lokalen Netzwerk neben der IP-Adresse auch eine MAC-Adresse besitzt. Mit Ausnahme von Switches, die eine Switch-MAC-Adresse haben, besitzen alle Geräte, die mit dem Internet verbunden sind, eine MAC-Adresse als eindeutige Identifikationsnummer – von Desktop-Computern, Laptops, Mobiltelefonen, Tablets bis hin zu drahtlosen Sicherheitskameras oder sogar Smart-Kühlschränken. Warum benötigen Ihre Netzwerkgeräte also zwei Adressen, um sich mit einem Netzwerk zu verbinden? Ist eine IP-Adresse nicht ausreichend? Wofür genau ist diese MAC-Adresse gedacht?

Um die Funktion von MAC-Adressen (Media Access Control) auf den Punkt zu bringen, können Sie sich die MAC-Adresse als einen einzigartigen digitalen Fingerabdruck vorstellen. Eine MAC-Adresse wird vom Hersteller angegeben und ist in den Chip eingebettet, der es Ihrem Gerät ermöglicht, sich mit einem Netzwerk zu verbinden. Bei einem Netzwerk-Switch ist es wahrscheinlich, dass er viele MAC-Adressen hat, da jeder Schnittstelle am Switch eine MAC-Adresse zugeordnet ist.

Eine Übersicht zu Mac-Adressen

Eine MAC-Adresse, auch bekannt als "Hardware-Adresse" oder "physikalische Adresse", ist eine Binärzahl, die zur eindeutigen Identifizierung von Computer-Netzwerkadaptern verwendet wird. Pakete, die über Ethernet gesendet werden, kommen immer von einer MAC-Adresse und werden an eine MAC-Adresse gesendet. Wenn ein Netzwerkadapter ein Paket empfängt, vergleicht er die Ziel-MAC-Adresse des Pakets mit der eigenen MAC-Adresse des Adapters. Wenn die Adressen übereinstimmen, wird das Paket verarbeitet, andernfalls wird es verworfen. Traditionelle MAC-Adressen sind 12-stellige Hexadezimalzahlen. Die letzten sechs hexadezimalen Ziffern der Adresse entsprechen der eindeutigen Kennung eines Herstellers, während die letzten sechs Ziffern der Seriennummer der Netzwerkschnittstellenkarte (NIC/Network Interface Card) entsprechen.

Beziehung zwischen MAC- und IP-Adressen

Zunächst mag es den Anschein haben, dass IP-Adressen und MAC-Adressen doppelt vorhanden sind, weil beide eindeutige Identifikatoren von vernetzten Geräten sind, aber sie dienen tatsächlich unterschiedlichen Zwecken und sind auf sehr unterschiedliche Weise sichtbar. MAC arbeitet auf Layer 2 des OSI-Modells, während IP auf Layer 3 arbeitet.

MAC-Adressen werden typischerweise nur verwendet, um Pakete von einem Gerät zum nächsten Gerät zu leiten, während Daten in einem Netzwerk übertragen werden. Das bedeutet, dass die MAC-Adresse des Netzwerkadapters eines Computers das Netzwerk nur bis zum nächsten Gerät auf dem Weg durchläuft. Ist ein Router involviert, geht die MAC-Adresse eines Computers darüber hinaus nicht weiter. Wenn Ihr Computer ein Paket an eine IP-Adresse x.x.x.x. senden möchte, dann ist die erste Prüfung, ob sich die Zieladresse im gleichen IP-Netzwerk wie der Computer selbst befindet. Wenn sich x.x.x.x. im gleichen Netzwerk befindet, kann die Ziel-IP direkt erreicht werden – andernfalls muss das Paket an den konfigurierten Router gesendet werden. Die MAC-Adresse sendet das Datenpaket also einfach an das nächste Gerät, aber die IP-Adresse ist dafür verantwortlich, es an ein ultimatives Ziel zu bringen.

Wofür verwenden Switches die Mac-Adresse?

Switches sind anders als Hubs oder Repeater. Ein Hub sendet einfach jedes Signal auf jedem Port an jeden anderen Port zurück, was (obwohl ineffizient und langsam) einfach umzusetzen ist. Ein Switch hingegen leitet den Datenverkehr zwischen Systemen intelligent weiter, indem er Pakete nur zu ihrem eigentlichen Ziel leitet. Dazu verfolgt es die MAC-Adressen der an jeden Port angeschlossenen NICs. MAC-Adressen müssen eindeutig sein oder zumindest höchst unwahrscheinlich wiederholt werden, damit Switches verschiedene Ports und Geräte identifizieren können. Aus diesem Grund kann die manuelle Einstellung einer MAC-Adresse in einem Switch-Netzwerk unerwartete Folgen haben. Switches haben in der Regel eine Reihe von MAC-Adressen, die in ihrer MAC-Adresstabelle hinterlegt sind. Beim Weiterleiten eines Frames sucht der Switch zunächst in der MAC-Adresstabelle nach der Ziel-MAC-Adresse des Frames für den ausgehenden Port. Wenn der ausgehende Port gefunden wird, wird der Frame weitergeleitet und nicht geroutet, sodass die Sendungen reduziert werden.

Wie lernen Switches Mac-Adressen?

Da ein Switch über eine gewisse Intelligenz verfügt, kann er die MAC-Adresstabelle automatisch erstellen. Der folgende Teil veranschaulicht, wie ein Switch MAC-Adressen lernt.

Es gibt einen Schalter in der Mitte und wir haben drei Computer im Einsatz. Alle Computer haben eine MAC-Adresse, aber sie sind vereinfacht als AAA, BBB und CCC dargestellt. Der Switch hat eine MAC-Adresstabelle und er lernt, wo sich alle MAC-Adressen im Netzwerk befinden. Angenommen, Computer A sendet etwas an Computer B:

Computer A wird einige Daten senden, die für Computer B bestimmt sind. Auf diese Weise wird er einen Ethernet-Frame erstellen, der eine Quell-MAC-Adresse (AAA) und eine Ziel-MAC-Adresse (BBB) beinhaltet. Der Switch hat eine MAC-Adresstabelle und Folgendes wird passieren:

Der Switch erstellt eine MAC-Adresstabelle und lernt nur von den MAC-Quelladressen. In diesem Moment hat es gerade gelernt, dass die MAC-Adresse von Computer A auf der Schnittstelle 1 steht. Es fügt nun diese Informationen in seine MAC-Adresstabelle ein. Aber der Switch hat derzeit keine Informationen darüber, wo sich Computer B befindet. Es gibt nur noch die Option, diesen Frame in alle seine Schnittstellen zu fluten. Computer B und Computer C werden diesen Ethernet-Frame beide empfangen.

Da Computer B seine MAC-Adresse als Ziel dieses Ethernet-Frames erkennt, wird Computer C ihn verwerfen. Computer B wird auf Computer A reagieren, einen Ethernet-Frame erstellen und ihn an den Switch senden. In diesem Moment lernt der Switch die MAC-Adresse von Computer B. Jetzt kennt der Switch beide MAC-Adressen und kann beim nächsten Mal anstelle des Flutens von Ethernet-Frames einfach "switchen". Computer C wird niemals Frames zwischen Computer A und B sehen, außer dem ersten, der geflutet wurde. Sie können den dynamischen Befehl show mac address-table dynamic verwenden, um alle MAC-Adressen anzuzeigen, die der Switch gelernt hat.

Ein weiterer Punkt, der hier hervorgehoben werden sollte, ist, dass die MAC-Adresstabelle auf dem Switch einen Alterungsmechanismus für dynamische Einträge verwendet. Wenn die MAC-Adresse von Computer A und B nicht innerhalb ihrer Alterungszeit aktualisiert wird, werden sie gelöscht, um Platz für neue Einträge zu schaffen. Das bedeutet, dass die Frames zwischen Computer A und B wieder auf Computer C geflutet werden, wenn A Informationen an B übertragen möchte.

Wie wird die Switch-Mac-Adresstabelle konfiguriert?

Für die Frame-Weiterleitung wird eine MAC-Adresstabelle gepflegt, die dynamisch gelernt oder manuell konfiguriert werden kann. Ersteres wurde im vorherigen Text vorgestellt und der nächste Teil konzentriert sich auf die manuelle Konfiguration der MAC-Adressen, um sie an Netzwerkänderungen anzupassen und die Netzwerksicherheit zu verbessern.

Konfigurieren von statischen, dynamischen und Blackhole MAC-Adresstabelleneinträgen

Um die Port-Sicherheit zu verbessern, können Sie manuell MAC-Adresseinträge zur MAC-Adresstabelle hinzufügen, um Ports mit MAC-Adressen zu verbinden und so MAC-Adress-Spoofing-Angriffe abzuwehren. Darüber hinaus können Sie Blackhole-MAC-Adresseingaben konfigurieren, um Pakete mit bestimmten Quell- oder Ziel-MAC-Adressen herauszufiltern.

Ändern oder hinzuzufügen eines statischen, dynamischen oder Blackhole MAC-Adresstabelleneintrages:

Konfigurieren eines Unicast MAC-Adresstabelleneintrags mit mehreren Anschlüssen

Sie können einen Eintrag in der Unicast MAC-Adresstabelle mit mehreren Ports konfigurieren, um eine Unicast MAC-Adresse mehreren Ports zuzuordnen, sodass Pakete, die mit dem Eintrag übereinstimmen, an mehrere Ziel-Ports gesendet werden.

Konfigurieren eines MAC-Adresstabelleneintrags mit mehreren Ports für Unicasts:

Konfigurieren des Alterungs-Timers für dynamische MAC-Adresseingaben

Die MAC-Adresstabelle auf Ihrem Switch verwendet einen Alterungsmechanismus für dynamische Einträge, sodass dynamische MAC-Adresseinträge, die nicht innerhalb ihrer Alterungszeit aktualisiert werden, gelöscht werden, um Platz für neue Einträge zu schaffen, und die MAC-Adresstabelle wird umgehend aktualisiert, um die neuesten Netzwerkänderungen anzupassen.

Zur Konfiguration des Alterungstimers für dynamische MAC-Adresseingaben:

Schritt	Befehl	Bemerkungen
1. Rufen Sie die Systemansicht auf.	Systemansicht	N/A
2. Configure the aging timer for dynamic MAC address entries.	mac-address timer { agingseconds | no-aging }	Wahlweise. Der Wertebereich des Alterungszeitgebers beträgt 10 bis 3600 Sekunden und der Standardwert 300 Sekunden.

Konfigurieren der MAC-Lerngrenze auf Ports

Um zu verhindern, dass die MAC-Adresstabelle so groß wird, dass die Weiterleitungsleistung des Switches nachlässt, können Sie die Anzahl der MAC-Adressen begrenzen, die an einem Port gelernt werden können.

So konfigurieren Sie die MAC-Lerngrenze für Ports:

Verwenden Sie einen beliebigen Command.

Einstellungen in der Ethernet-Schnittstellenansicht oder im Layer-2-Aggregat der Schnittstellenansicht wirken sich nur auf den aktuellen Port aus. Die Einstellungen in der Portgruppenansicht wirken sich auf alle Mitgliedsports der Portgruppe aus.

To configure the MAC learning limit on a VLAN:

Anzeigen und Pflegen der MAC-Adresstabelle

Zusammenfassung

Da MAC-Adressen auf der Netzwerkkarte eindeutig sind und nicht wiederverwendet werden, sind sie für Anwendungen sehr nützlich und wichtig. Netzwerk-Switches speichern eine Liste von MAC-Adressen, die an jedem Port sichtbar sind, und leiten nur Pakete an die Ports weiter, die das Paket sehen müssen. Drahtlose Zugangspunkte verwenden oft MAC-Adressen für die Zugangskontrolle. Sie erlauben den Zugriff nur für bekannte Geräte. Außerdem verwenden DHCP-Server (Dynamic Host Configuration Protocol) die MAC-Adresse, um Geräte zu identifizieren und einigen Geräten feste IP-Adressen zu geben.