主页 / server / 问题 / 106653
Accepted
Evan Carroll
Asked: 2010-01-27 18:51:42 +0800 CST

接口上的 MAC 设置对传输帧的能力有何影响？

  • 772

有人告诉我，无论操作系统为接口的 MAC 设置了什么，接口都可以传输帧。我也觉得这就是虚拟机做主机桥接的方式。如果是这样，那么接口绑定的MAC地址有什么用呢？

具体来说，我问的是软件 MAC，而不是 70 年代烧入 ROM 的 MAC：

wlan0     Link encap:Ethernet  HWaddr 00:16:ce:01:

这是来自 的一行输出ifconfig，但我被告知接口 wlan0 可以在 /any/ MAC 地址下传输，而我看到的那个 MAC 什么都不做（除了可能为某些库提供默认值）。有人告诉我，使用虚拟机的主机桥接，它会利用它，并在任意数量的 IP 地址上传输 - 但它不会停在那里，AP 实际上会允许你为其中的每一个分配一个唯一的 IP VM，因为 AP 将在不同的 MAC 上接收请求。

  1. 您是否有任何特殊权限 (linux) 可以从“虚拟”MAC 地址制作数据包。
  2. 如果 MAC 地址是路由器跟踪哪个接口和主机具有任何 IP 的方式，那么如何阻止一台主机向虚拟接口请求所有 IP
  3. 如何阻止用户使用虚拟 MAC 地址
  4. 这是否需要内核中的特殊选项或内置在网络堆栈中的部分？
virtualization networking mac-address

1 个回答

  1. Best Answer

    MAC 地址由 IEEE 组织和标准化。连接到以太网的每个设备都有一个分配给它的唯一 MAC 地址，这样任何两个设备都可以在同一个网络上并且可以毫无问题地进行通信。这并不意味着操作系统无法选择要使用的 MAC 地址，例如用于监控或欺骗流量。有很多可以在这里阅读

    回答以下问题

    1. 使用 root 权限，您可以做任何您想做的事情（基本上）。使用自定义 MAC 发送数据包有两种方法：首先，使用 ifconfig 命令更改接口上的 MAC 地址，这将影响系统范围内的所有流量；其次，自己形成数据包并使用专门的代码将它们直接写入接口。例如，当您告诉 nmap 扫描具有不同源 MAC 地址的端口时，nmap 会使用此方法。
    2. （和 3）你没有。如果恶意主机在您的网络上并决定劫持 MAC 地址，您可能会遇到严重的问题。这就是保护 LAN 和严格的访问控制策略很重要的原因之一。在我的公司，我们的桌面 LAN 交换机配置为每个端口都可以学习连接到它的计算机的 MAC 地址，如果该地址更改，则端口将关闭，所有未使用的端口也将关闭。这项政策是在一名夜间安全人员试图插入他的笔记本电脑后实施的，该笔记本电脑配置了与我们的一台服务器相同的静态 IP，并导致了很多问题。通过将每个端口限制为一个 MAC 地址，我们现在能够（大部分）防止这种情况发生。只有当有人知道将他们的 MAC 更改为已经插入的计算机的地址时，他们才能进入我们的网络，这是极不可能的。此外，关于向所有 MAC 请求所有 IP，您的交换机会不断更新其 MAC 表，因此一旦有效主机发送新数据包，该表就会更新为正确的端口。如果恶意人员不断地使用格式错误的数据包毒害网络，那么您将无能为力。
    • 4

相关问题