Zákaz náhodné MAC adresy

[Josef Jindra]

Zdravím, už jsem to psal pod zprávičku ale spíše ten dotaz patří asi sem :

Netušíte zda a potenciálně jak se dá zakázat změna MAC pro MT ze strany sítě (teda nastavením routeru/firewa­llu/DHCP serveru) ?

Díky

[Reklama]

[FKoudelka]

obecně nevím, ale třeba Cisco AP se dá nastavit, aby je odmítalo připojit

[Wasper]

Obecně je to ekvivalentní s otázkou: Jak se dá jednomu zařízení zabránit, aby se vypnulo ve stejné chvíli, kdy se zapne jiné?

Pokud máte na domácí WiFině whitelist MACovek, tak se to logicky tomu zabrání jako vedlější efekt, ale předpokládám na tohle se neptáte. To samé, pokud se podle MAC zařízení hází do různých classů a podle toho jsou omezena (rychlost, prostupy etc.) - opět to spíš funguje jako scream test ;-)

Jako můžete se kouknout do nastavení profilů na Vaše zařízení, tuším že do vovcofounu to vnutit nějak šlo přes  DisableAssociationMACRandomization v configu.

Edit: No na enterprise Wifi opřené o Radius Vás to patrně nemusí tolik trápit, ale doma kde máte patrně něco jako WPA2/PSK ano.

[František Ryšánek]

statický ARP záznam ?

[FKoudelka]

obecně nevím, ale třeba Cisco AP se dá nastavit, aby je odmítalo připojit

ale nastavit se to nesmí, říďa by se zlobil, že se nepřipojí :-)

[Reklama]

[FKoudelka]

Obecně je to ekvivalentní s otázkou: Jak se dá jednomu zařízení zabránit, aby se vypnulo ve stejné chvíli, kdy se zapne jiné?

Pokud máte na domácí WiFině whitelist MACovek, tak se to logicky tomu zabrání jako vedlější efekt, ale předpokládám na tohle se neptáte. To samé, pokud se podle MAC zařízení hází do různých classů a podle toho jsou omezena (rychlost, prostupy etc.) - opět to spíš funguje jako scream test ;-)

Jako můžete se kouknout do nastavení profilů na Vaše zařízení, tuším že do vovcofounu to vnutit nějak šlo přes  DisableAssociationMACRandomization v configu.

Edit: No na enterprise Wifi opřené o Radius Vás to patrně nemusí tolik trápit, ale doma kde máte patrně něco jako WPA2/PSK ano.

jestli se nepletu, náhodné adresy mají definovaný prefix, ev. pattern, ale pochybuji, že se dá blacklistovat pouhý prefix, nebo dá ?

tady je pekny popis , mimo jiné
https://datatracker.ietf.org/doc/draft-ietf-madinas-mac-address-randomization/
Zuniga, et al.             Expires 7 May 2024                   [Page 3]
Internet-Draft  Randomized and Changing MAC Address stat   November 2023

           +--------+--------+---------+--------+--------+---------+
           |  Organizationally Unique  |     Network Interface     |
           |     Identifier (OUI)      | Controller (NIC) Specific |
           +--------+--------+---------+--------+--------+---------+
          /          \
         /            \
        /              \          b0 (I/G bit):
       /                \             0: unicast
      /                  \            1: multicast
     /                    \
    /                      \      b1 (U/L bit):
   +--+--+--+--+--+--+--+--+          0: globally unique (OUI enforced)
   |b7|b6|b5|b4|b3|b2|b1|b0|          1: locally administered
   +--+--+--+--+--+--+--+--+

[_Jenda]

jestli se nepletu, náhodné adresy mají definovaný prefix, ev. pattern, ale pochybuji, že se dá blacklistovat pouhý prefix, nebo dá ?

No jsou locally administered (pokud si člověk nenastavil že to má fejkovat fyzické síťovky, což je proti specifikaci, ale SW to často umí), ale stejně tak jsou locally administered třeba síťovky virtuálních strojů, takže když to zakážeš, tak ti pak nebude fungovat různé Qemu a VMWare.

[metabug]

jestli se nepletu, náhodné adresy mají definovaný prefix, ev. pattern, ale pochybuji, že se dá blacklistovat pouhý prefix, nebo dá ?

tady je pekny popis , mimo jiné
https://datatracker.ietf.org/doc/draft-ietf-madinas-mac-address-randomization/
Zuniga, et al.             Expires 7 May 2024                   [Page 3]
Internet-Draft  Randomized and Changing MAC Address stat   November 2023

           +--------+--------+---------+--------+--------+---------+
           |  Organizationally Unique  |     Network Interface     |
           |     Identifier (OUI)      | Controller (NIC) Specific |
           +--------+--------+---------+--------+--------+---------+
          /          \
         /            \
        /              \          b0 (I/G bit):
       /                \             0: unicast
      /                  \            1: multicast
     /                    \
    /                      \      b1 (U/L bit):
   +--+--+--+--+--+--+--+--+          0: globally unique (OUI enforced)
   |b7|b6|b5|b4|b3|b2|b1|b0|          1: locally administered
   +--+--+--+--+--+--+--+--+

How to Identify a Randomized MAC Address?
Fortunately it is easy to identify randomized MAC addresses. There is a bit which gets set in the OUI portion of a MAC address to signify a randomized / locally administered address. The quick synopsis is look at the second character in a MAC address, if it is a 2, 6, A, or E it is a randomized address.

S tím blacklistováním je to jak kde. V dnsmasq třeba

Kód: [Vybrat]

dhcp-host=*2:*:*:*:*:*,ignore
dhcp-host=*6:*:*:*:*:*,ignore
dhcp-host=*a:*:*:*:*:*,ignore
dhcp-host=*e:*:*:*:*:*,ignore


[FKoudelka]

jestli se nepletu, náhodné adresy mají definovaný prefix, ev. pattern, ale pochybuji, že se dá blacklistovat pouhý prefix, nebo dá ?

No jsou locally administered (pokud si člověk nenastavil že to má fejkovat fyzické síťovky, což je proti specifikaci, ale SW to často umí), ale stejně tak jsou locally administered třeba síťovky virtuálních strojů, takže když to zakážeš, tak ti pak nebude fungovat různé Qemu a VMWare.

No můj use case by byl nepustit do wifi BYOD věci s random adresami. Ale chápu, že na to je RADIUS. Jen by mne zajímalo, jestli a jak se ty “locally administered” adresy dají administrovat.
Jediné , co šlo, tak v DHCP na Win šlo zakázat  přes vendor option Androidy.

[Josef Jindra]

Omlouvám se, měl jsem lépe popsat problém. Jde o to, že v síti se nachází velké množství MT které si různě přehazují MAC adresy a následně dosti často nedostanou IP přes DHCP. Takže dotaz je spíše zda je lze ze strany sítě donutit používat stále stejnou MAC.

[Marek Staněk]

jestli se nepletu, náhodné adresy mají definovaný prefix, ev. pattern, ale pochybuji, že se dá blacklistovat pouhý prefix, nebo dá ?

No jsou locally administered (pokud si člověk nenastavil že to má fejkovat fyzické síťovky, což je proti specifikaci, ale SW to často umí), ale stejně tak jsou locally administered třeba síťovky virtuálních strojů, takže když to zakážeš, tak ti pak nebude fungovat různé Qemu a VMWare.

to by na wifi asi nemuselo úplně vadit...

[Marek Staněk]

Omlouvám se, měl jsem lépe popsat problém. Jde o to, že v síti se nachází velké množství MT které si různě přehazují MAC adresy a následně dosti často nedostanou IP přes DHCP. Takže dotaz je spíše zda je lze ze strany sítě donutit používat stále stejnou MAC.

to by pak asi celý poněkud ztrácelo smysl, že?

[František Ryšánek]

No v isc-dhcpd se dá chytat kde čeho. Tuším standardně mapuje/drží adresy radši podle "Client ID" (což je za určitých okolností duplicitní klíč) než podle MAC adresy apod. V tcpdumpu v DHCP dotazech vidím běžně opšny Client ID, Hostname a FQDN. Třeba v dotazech od PXE stacků se dá rozlišovat legacy/UEFI podle opšny "Architecture Type", hledané řetězce lze zadávat jako ASCII nebo hexa atd. Myslím, že ledacos by uměl třeba i dnsmasq (použitý v OpenWRT). Pokud by Vám něco z toho bylo užitečné...

[Ondřej Caletka]

Omlouvám se, měl jsem lépe popsat problém. Jde o to, že v síti se nachází velké množství MT které si různě přehazují MAC adresy a následně dosti často nedostanou IP přes DHCP. Takže dotaz je spíše zda je lze ze strany sítě donutit používat stále stejnou MAC.

Takovou věc ale mobilní telefony nedělají. Jeden telefon má vždy v dané síti s daným SSID jen jednu MAC adresu a ta se v čase nemění. Android má nějkou podporu pro neperzistentní náhodné MAC adresy, ta je ale vypnutá a není snadné ji zapnout: https://source.android.com/docs/core/connect/wifi-mac-randomization-behavior#types

[FKoudelka]

Omlouvám se, měl jsem lépe popsat problém. Jde o to, že v síti se nachází velké množství MT které si různě přehazují MAC adresy a následně dosti často nedostanou IP přes DHCP. Takže dotaz je spíše zda je lze ze strany sítě donutit používat stále stejnou MAC.

Připadá mi,  že to vlastně chce poštelovat DHCP server, zkrátit dobu lease , zvětšit pool a tak ...