Поведение сетевого адаптера в режиме мостового адаптера

Question

У меня всегда было впечатление, что карта NIC имеет уникальный MAC-адрес, и если входящий пакет соответствует этому MAC, он поднимает пакет и отправляет его в ядро. Недавно, когда я установил VMbox (хост - Ubuntu, гостевая ОС - Ubuntu) и настроил сетевую опцию с режимом «адаптер моста» (MAC выбирается случайным образом), Vmbox действует как независимая машина. Я имею в виду, что операционная система VM имеет собственный MAC-адрес и публичный IP-адрес. Я заметил, что пакеты, отправляемые по проводам из виртуальной машины, имеют виртуальный MAC & для входящих пакетов.

1) Разрешают ли сетевые карты отправлять сетевой пакет с идентификатором MAC, отличным от физического MAC-идентификатора? и так же для входящих пакетов, нормально ли поднимать пакеты, в которых MAC не соответствует физическому MAC-идентификатору? (Насколько я понимаю, это возможно только в беспорядочном режиме)

2) Разве это не нарушение безопасности? как насчет затопления интернета, выделяя больше MAC, создавая несколько экземпляров виртуальной машины на многих машинах?

3) Если MAC-идентификатор выбран случайным образом, возможно, что идентификатор MAC будет совпадать с другим сетевым устройством, как это решить?

Thank you,

Гопинат.

Answer 1

1) Регулярные сетевые адаптеры работают на уровне 1, это означает, что ОС (и соответствующие ядерные пространства или драйверы пользовательского пространства) обеспечивают действительный Ethernet-кадр, используя (при необходимости) MAC-адрес поставщика, сохраненный (для справки) в сети памяти карты. Независимо от того, идет ли кадр из ОС хоста или из гостевой ОС (через виртуальный переключатель в гипервизоре), это не имеет значения. Ситуация немного отличается в случае NFV и смарт-сетевых адаптеров, но не так много.

Весь смысл виртуализации заключается в том, что вам не следует отличать работу ОС на виртуальном сервере или автономном компьютере, стоящем рядом с вашим хостом (глядя либо изнутри вашей системы, либо извне).

2) Нет, безопасность не ухудшается. Как уже упоминалось в предыдущем пункте, ситуация была бы аналогичной, если бы вы поставили физический хост рядом с другим. И с точки зрения безопасности проще наводнить локальную сеть пакетами с кованым исходным MAC-адресом, чем создавать экземпляр одного и того же количества виртуальных машин.

3) Столкновения затрагивают локальную сеть так же, как и с обычным хостом. Возможность всегда есть, но вероятность крайне низкая, с 6 * 8-1 битами, чтобы выбрать случайный адрес. Я видел только одно такое столкновение, и только потому, что MAC были установлены вручную, а не выбраны случайным образом.