MAC-Adressierung und -Filterung

In dieser interaktiven Lerneinheit verstehst du den Aufbau von MAC-Adressen und lernst, wie Switches diese für die Kommunikation im Netzwerk nutzen. Du übst die praktische Konfiguration von MAC-Filterung auf Switches und erfährst, wie du damit unerwünschten Netzwerkzugriff verhinderst. Die erworbenen Kenntnisse wendest du direkt in realitätsnahen Szenarien zur Absicherung von Netzwerken an.

Einführung

Stell dir vor, du bist für das Netzwerk einer großen Firma verantwortlich. Eines Morgens meldet sich die Buchhaltung: Wichtige Daten sind plötzlich auf den falschen Rechnern gelandet. Gleichzeitig tauchen unbekannte Geräte im Netzwerk auf, und keiner weiß, woher sie kommen oder wohin die Daten verschwinden.

Chaos vs. Ordnung: Ohne MAC-Adressierung fliegen Frames kreuz und quer – mit Switch und MAC-Tabelle werden sie gezielt zugestellt. — Bildrechte: Ausbildung-in-der-IT.de (KI-unterstützt)

Wie findest du heraus, wer wirklich hinter welchem Anschluss steckt? Und wie sorgst du dafür, dass sensible Informationen nur die richtigen Empfänger erreichen?

Die Antwort liegt in der gezielten Steuerung des Datenverkehrs durch MAC-Adressen. In dieser Lerneinheit erfährst du, wie Switches mithilfe von MAC-Adressen für Ordnung, Effizienz und Sicherheit im Netzwerk sorgen – und wie du gezielt steuern kannst, wer was empfangen oder senden darf.

Lernziele

Nach dieser Lerneinheit kannst du:

• Den Aufbau und die Funktion von MAC-Adressen erklären

• Die Arbeitsweise von Switches bei der Weiterleitung von Frames beschreiben

• Unterschiedliche Weiterleitungsmethoden und deren Bedeutung für die Netzperformance bewerten

• Sicherheitsfunktionen wie Port-Security und MAC-ACLs zur Absicherung des Netzwerks anwenden

Überleitung

MAC-Adressen sind ein zentrales Fundament der Kommunikation in lokalen Netzwerken. In diesem Abschnitt lernst du, was MAC-Adressen sind, wie sie aufgebaut sind und warum sie für den Netzwerkbetrieb so wichtig sind.

Was ist eine MAC-Adresse?

Eine MAC-Adresse (Media Access Control Address) ist eine weltweit eindeutige Kennung, die jeder Netzwerkschnittstelle fest zugewiesen wird. Sie sorgt dafür, dass Geräte innerhalb eines lokalen Netzwerks eindeutig adressierbar sind.

• Schicht: MAC-Adressen arbeiten auf der Sicherungsschicht (Layer 2) des OSI-Modells.
• Zweck: Sie ermöglichen es Switches, Datenframes gezielt zum richtigen Empfänger zu leiten.

Aufbau der MAC-Adresse

• Länge: 48 Bits, häufig als zwölfstellige Hexadezimalzahl dargestellt.
• Schreibweisen:
  • Doppelpunkt: 00:1A:2B:3C:4D:5E
  • Bindestrich: 00-1A-2B-3C-4D-5E
  • Punkt (Cisco): 001A.2B3C.4D5E

Bestandteile

1. Organisationally Unique Identifier (OUI):
   • Die ersten 24 Bits.
   • Identifizieren den Hersteller der Netzwerkkarte.
   • Dieser Code wird zentral durch die IEEE vergeben.
2. Gerätespezifischer Teil:
   • Die letzten 24 Bits.
   • Werden vom Hersteller genutzt, um jedes Gerät eindeutig zu kennzeichnen.

Eigenschaften von MAC-Adressen

• Eindeutigkeit: Jede Netzwerkschnittstelle besitzt eine eigene, weltweit einmalige Adresse.
• Burned-In Address (BIA): Die Adresse ist normalerweise fest im Netzwerkadapter gespeichert und bleibt konstant.
• Lokal verwaltete MAC-Adressen: In manchen Fällen kann die MAC-Adresse per Software geändert werden (z. B. für Tests oder spezielle Netzwerk-Setups). Solche Adressen sind am gesetzten U/L-Bit im ersten Oktett zu erkennen.

MAC-Adressen in Ethernet-Netzwerken

In Ethernet-basierten Netzwerken nutzen Switches MAC-Adressen, um Frames gezielt weiterzuleiten. Dazu führt jeder Switch eine MAC-Adresstabelle (auch CAM-Tabelle genannt).

Wie arbeitet ein Switch mit MAC-Adressen?

1. Lernen: Beim Empfang eines Frames liest der Switch die Quell-MAC-Adresse und speichert sie zusammen mit dem Port in der CAM-Tabelle.
2. Weiterleitung: Ist die Ziel-MAC-Adresse bekannt, leitet der Switch den Frame gezielt an den zugehörigen Port weiter. Ist sie unbekannt, wird der Frame an alle Ports (außer dem Eingangsport) gesendet (Broadcast).

Beispiel:

Stell dir vor, Gerät A ist an Port 1 angeschlossen und sendet Daten. Der Switch merkt sich: MAC von A ist an Port 1 erreichbar. Kommt später ein Frame für A an, wird dieser direkt an Port 1 geschickt – kein unnötiger Datenverkehr im Netzwerk.

Adressauflösung mit ARP

Um ein anderes Gerät gezielt anzusprechen, muss die MAC-Adresse bekannt sein. Hier kommt das Address Resolution Protocol (ARP) ins Spiel: ARP sorgt dafür, dass ein Gerät die MAC-Adresse zu einer bekannten IP-Adresse im gleichen Netzwerk herausfindet. Das ist besonders in Broadcast-Domains wichtig, wo jeder Teilnehmer direkt adressiert werden kann.

ARP vs. CAM

ARP-Tabelle (Host/L3-Interface): ordnet IP ↔ MAC zu, damit der Sender die Ziel-MAC zur IP findet. CAM-/MAC-Tabelle (Switch): ordnet MAC ↔ Port zu, damit der Switch Frames an den richtigen Port leitet. Unterschiedliche Orte, unterschiedliche Zwecke: ARP läuft auf Endgeräten/L3-Interfaces, CAM liegt im Switch.

Die MAC-Adresstabelle (CAM-Tabelle)

Jeder Switch merkt sich, an welchem Port welche MAC-Adresse erreichbar ist. Diese Zuordnung wird in der Content Addressable Memory (CAM)-Tabelle gespeichert. Sie sorgt für eine schnelle und effiziente Weiterleitung von Frames.

Aging – Das Aktualisieren der Tabelle

Da Geräte entfernt oder umgesteckt werden können, müssen Einträge in der Tabelle aktuell bleiben:

• Aging-Time: Gibt an, wie lange eine MAC-Adresse gespeichert bleibt, ohne dass von ihr ein Frame empfangen wurde (meist 300 Sekunden).
• Entfernung: Wird in dieser Zeit kein weiterer Frame empfangen, entfernt der Switch den Eintrag automatisch. Beim nächsten Kontakt wird die Adresse neu eingelernt.

Beispiel für das Aging

Gerät A ist längere Zeit vom Netz getrennt oder umgesteckt – der Switch löscht den Eintrag. Meldet sich Gerät A später wieder (ggf. an anderem Port), wird der neue Port übernommen.

⏳ Lädt Dataview-Inhalt...

Überleitung

Die gezielte Weiterleitung und Filterung von Datenframes ist ein zentrales Merkmal moderner Ethernet-Netzwerke. In diesem Abschnitt lernst du, wie Switches mithilfe von MAC-Adressen Frames im Netzwerk weiterleiten und wie Sicherheitsmechanismen auf Basis dieser Adressen funktionieren.

Weiterleitung anhand der Ziel-MAC-Adresse

Jeder Switch nutzt eine MAC-Adresstabelle (CAM-Tabelle), um zu speichern, an welchem Port welche MAC-Adresse erreichbar ist. Damit kann der Switch Frames gezielt zustellen und unnötigen Netzwerkverkehr vermeiden.

Wie funktioniert das Forwarding?

1. Empfang: Der Switch nimmt ein Datenframe an einem Port entgegen.
2. Lernen: Die Quell-MAC-Adresse wird zusammen mit dem Empfangsport in der CAM-Tabelle gespeichert, sofern sie dort noch nicht existiert.
3. Prüfen: Der Switch sucht die Ziel-MAC-Adresse in der CAM-Tabelle.
   • Adresse gefunden: Der Frame wird gezielt an den zugehörigen Port weitergeleitet.
   • Adresse nicht gefunden: Das Frame wird an alle Ports (außer dem Eingangsport) gesendet. Dieses Verhalten nennt man Unknown Unicast Flooding.

     • Flooding ist VLAN-/Broadcast-Domain-begrenzt.

Aktualisierung der CAM-Tabelle: Aging

Damit die Tabelle aktuell bleibt, setzt der Switch auf einen Aging-Mechanismus. Einträge, von denen innerhalb eines bestimmten Zeitraums (meist 300 Sekunden) kein weiterer Frame empfangen wird, entfernt der Switch automatisch. Dadurch werden veraltete Zuordnungen beseitigt, wenn Geräte entfernt oder umgesteckt werden.

Verschiedene Weiterleitungsmethoden

Switches nutzen unterschiedliche Methoden, um Frames weiterzuleiten:

• Store-and-Forward: Der Switch empfängt das gesamte Frame, prüft es auf Fehler und leitet es dann weiter. Diese Methode ist gründlich, aber etwas langsamer.
• Cut-Through: Hier beginnt der Switch bereits mit der Weiterleitung, sobald er die Ziel-MAC-Adresse gelesen hat, auch wenn das Frame noch nicht vollständig empfangen wurde. Das sorgt für schnellere Weiterleitung, prüft jedoch keine Fehler im Frame.

Filterung von Frames nach Quell-MAC-Adresse

Neben der Weiterleitung können Switches Frames auch filtern – oft, um Netzwerksicherheit zu erhöhen. Die Filterung erfolgt in der Regel auf Basis der Quell-MAC-Adresse.

Port-Security

Mit Port-Security kannst du festlegen, welche MAC-Adressen an einem bestimmten Switch-Port zugelassen sind. Erkennt der Switch an einem Port eine nicht autorisierte MAC-Adresse, kann er den Port sperren oder den Frame verwerfen. So wird verhindert, dass unberechtigte Geräte Zugang zum Netzwerk erhalten.

Filterung von Frames nach Quell-MAC-Adresse

MAC-basierte Access Control Lists (MAC-ACLs)

MAC-ACLs erlauben es, gezielt zu steuern, welche MAC-Adressen auf welchen Ports kommunizieren dürfen. Für jede Adresse und jeden Port können Regeln erstellt werden, die Kommunikation erlauben oder blockieren. Das ist besonders in sensiblen Netzwerkbereichen nützlich, um Zugriffsrechte granular zu steuern.

Port-Security vs. MAC-ACL

• Port-Security (portlokal): begrenzt/erlaubt Quell-MACs pro Port (z. B. max N, Sticky-MAC) und reagiert bei Verstößen mit protect/restrict/shutdown.
• MAC-ACLs (L2-Filter): filtern Frames nach Quell-/Ziel-MAC (ggf. EtherType) — permit/deny ohne Port-Shutdown und ohne Lern-/Zählgrenzen.

Port-Security = Wer darf an diesem Port existieren? · MAC-ACL = Welche L2-Frames dürfen passieren?

Schutz vor MAC-Spoofing

Beim MAC-Spoofing versucht ein Angreifer, eine andere (oft erlaubte) MAC-Adresse zu verwenden, um sich unerlaubten Zugriff auf das Netzwerk zu verschaffen. Mit Mechanismen wie Port-Security und MAC-ACLs kannst du dein Netzwerk wirksam vor solchen Angriffen schützen.

⏳ Lädt Dataview-Inhalt...

Zusammenfassung und Ausblick

Zusammenfassung:

In dieser Lerneinheit hast du die Grundlagen und den praktischen Einsatz von MAC-Adressen im Ethernet-Netzwerk kennengelernt.

Zentrale Inhalte im Überblick

• MAC-Adressen sind eindeutige Kennungen für jede Netzwerkschnittstelle und arbeiten auf Layer 2 des OSI-Modells. Sie bestehen aus einem Herstelleranteil (OUI) und einem gerätespezifischen Teil.
• Switches nutzen MAC-Adressen, um Daten gezielt weiterzuleiten. Dazu führen sie eine sogenannte MAC-Adresstabelle (CAM-Tabelle), in der sie speichern, an welchem Port welche MAC-Adresse erreichbar ist.
• Das Forwarding von Frames erfolgt anhand der Ziel-MAC-Adresse: Ist die Adresse bekannt, wird der Frame gezielt weitergeleitet, sonst erfolgt ein Broadcast an alle Ports (Unknown Unicast Flooding).
• Aging-Mechanismus: Damit die CAM-Tabelle aktuell bleibt, entfernt der Switch Einträge nach einer gewissen Zeit, wenn keine neuen Frames empfangen wurden.
• Verschiedene Weiterleitungsmethoden wie Store-and-Forward und Cut-Through beeinflussen Geschwindigkeit und Fehlerprüfung beim Switch.
• Sicherheitsmechanismen: Durch Funktionen wie Port-Security und MAC-basierte Access Control Lists (ACLs) kann ein Switch gezielt steuern, welche Geräte Zugang erhalten. Damit wird das Netzwerk besser vor Angriffen wie MAC-Spoofing geschützt.

Diese Mechanismen sorgen zusammen für eine effiziente, gezielte und sichere Kommunikation im lokalen Netzwerk.

Ausblick

Im nächsten Abschnitt lernst du, wie Netzwerke weiter segmentiert und sicherer gemacht werden können – unabhängig von der physischen Verkabelung. Virtuelle LANs (VLANs) erlauben es dir, logische Netzwerke zu bilden, die unabhängig von den tatsächlichen Standorten der Geräte sind. Damit kannst du gezielt Arbeitsgruppen, Abteilungen oder Sicherheitsbereiche trennen und das Netzwerk noch flexibler und sicherer gestalten.

---