Wie ein Switch denkt: Frames und MAC-Tabelle

Worum es geht

Noemi steht im Technikraum des Hotels Alpenblick in Lenk. Vor ihr hängen drei alte, nicht verwaltbare Switches, kreuz und quer verkabelt. Gäste-WLAN, Rezeption, Kasse und Telefonie laufen alle durch dasselbe Netz. Die Hoteldirektorin fragt: «Können die Gäste eigentlich sehen, was unsere Kasse macht?»

Die ehrliche Antwort lautet: teilweise ja. Um das zu begründen und später sauber zu beheben, musst du verstehen, wie ein Switch entscheidet, wohin ein Datenpaket geht. Genau das ist der Kern dieses Moduls: Alles, was später kommt (VLANs, Trunks, Spanning Tree, Port-Security), baut auf dieser einen Logik auf.

In dieser Lektion lernst du den Ethernet-Frame kennen, liest und vergleichst MAC-Adressen in allen Schreibweisen und spielst Schritt für Schritt durch, wie ein Switch lernt, weiterleitet, flutet und filtert. Am Schluss baust du selbst einen kleinen Switch in Python.

Der Ethernet-Frame: der Briefumschlag auf Layer 2

Aus Modul 117 kennst du die MAC-Adresse als «Name an der Wohnungstür». Auf Layer 2 steckt jede Nachricht in einem Frame, einer Art Briefumschlag mit festem Aufbau:

Davor schickt die Netzwerkkarte noch eine Präambel zur Synchronisation, die zählt man bei der Framegrösse nicht mit. Ein voller Frame ist also 6 + 6 + 2 + 1500 + 4 = 1518 Byte gross.

Fällt dir die Reihenfolge auf? Die Ziel-MAC steht ganz vorne. Ein Switch kann so schon nach den ersten sechs Byte entscheiden, wohin der Frame geht. Merk dir auch den EtherType: In Lektion 4 schiebt sich genau an dieser Stelle der VLAN-Tag mit dem Wert 0x8100 hinein.

MAC-Adressen lesen

Eine MAC-Adresse hat 48 Bit, also 12 Hex-Ziffern. Jedes System schreibt sie anders:

Es ist immer dieselbe Adresse. Wenn du eine MAC aus ipconfig auf dem Switch suchst, musst du sie ins Cisco-Format umschreiben, sonst meldet der Switch einen Syntaxfehler.

Zwei Bits im ersten Byte verraten dir mehr über die Adresse:

• Das unterste Bit (I/G-Bit) unterscheidet Einzel- und Gruppenadressen. Ist das erste Byte ungerade, ist es eine Multicast-Adresse, z.B. 01:00:5e:... (IPv4-Multicast) oder 33:33:... (IPv6-Multicast). Die Adresse aus lauter Einsen, ff:ff:ff:ff:ff:ff, ist der Broadcast: an alle.
• Das zweitunterste Bit (U/L-Bit) zeigt, ob die Adresse vom Hersteller stammt oder lokal vergeben wurde. Smartphones und Laptops verwenden heute oft eine zufällige private WLAN-Adresse pro Netz. Du erkennst sie an der zweiten Hex-Ziffer 2, 6, A oder E, z.B. a6:12:9e:00:31:7c.

Bevor du weiterliest, bring einem Programm bei, MAC-Adressen in allen Schreibweisen zu verstehen. Diese Funktion brauchst du in späteren Laboren wieder.

Lernen, weiterleiten, fluten, filtern

Stell dir die Rezeption eines Hotels vor, die keine Gästeliste hat. Sie lernt nur durch Beobachtung: Bringt Frau Meier einen Brief aus Zimmer 12 vorbei, notiert die Rezeption «Meier wohnt in 12». Kommt später ein Brief für Frau Meier, geht er direkt in Zimmer 12. Kommt ein Brief für jemanden, den die Rezeption noch nie gesehen hat, wird er auf jeder Etage ausgerufen.

Genau so arbeitet ein Switch. Für jeden Frame macht er zwei Dinge:

1. Lernen (immer aus der Quell-MAC). Der Switch trägt die Quell-MAC zusammen mit dem Eingangsport (und dem VLAN) in seine MAC-Adresstabelle ein. Steht die Adresse schon drin, setzt er den Alterungs-Timer zurück. Hängt das Gerät plötzlich an einem anderen Port, wird der Eintrag überschrieben.

2. Entscheiden (anhand der Ziel-MAC).

Einträge, die eine Zeit lang nicht mehr aufgefrischt werden, löscht der Switch wieder. Bei Cisco beträgt diese Aging Time standardmässig 300 Sekunden. So bleibt die Tabelle aktuell, wenn Geräte umziehen oder ausgeschaltet werden.

Die MAC-Tabelle auf einem managed Switch ansehen

Auf einem verwalteten Cisco-Switch zeigt dir ein einziger Befehl die Tabelle:

SW-OG1#show mac address-table dynamic
          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    0050.56a1.1c0e    DYNAMIC     Gi1/0/3
   1    3c52.824a.1f0b    DYNAMIC     Gi1/0/7
   1    a4bb.6d12.0042    DYNAMIC     Gi1/0/48
   1    a4bb.6d12.0043    DYNAMIC     Gi1/0/48
Total Mac Addresses for this criterion: 4

So liest du die Ausgabe: Das Gerät 3c52.824a.1f0b hängt an Port Gi1/0/7 im VLAN 1. An Gi1/0/48 stehen mehrere Adressen. Das ist typisch für einen Uplink: Dahinter hängt ein weiterer Switch mit vielen Geräten. Willst du wissen, wo ein bestimmtes Gerät steckt, fragst du gezielt: show mac address-table address 3c52.824a.1f0b. Diese Suche wirst du bei der Fehlersuche ständig brauchen.

Kollisionsdomäne, Broadcastdomäne und Switch-Typen

Jeder Switch-Port ist eine eigene Kollisionsdomäne: Weil jedes Gerät eine eigene Leitung im Vollduplex hat, gibt es praktisch keine Kollisionen mehr. Alle Ports eines Switches (und aller daran angeschlossenen Switches) bilden aber zusammen eine Broadcastdomäne. Jeder ARP-Request («Wer hat 10.0.0.21?») und jedes DHCP-Discover erreicht jedes Gerät.

Im heutigen Hotelnetz heisst das: Die Laptops der Gäste hören jeden Broadcast der Kasse, und jeder geflutete Frame landet auch bei ihnen. Schlimmer noch: Ein Gast mit böser Absicht kann sich per ARP-Täuschung zwischen Kasse und Router schalten. Die Lösung sind getrennte Broadcastdomänen, also VLANs (Lektion 3).

Ein Layer-3-Switch ist also ein Switch, der zusätzlich wie ein Router IP-Pakete zwischen Netzen weiterleiten kann, und das in Hardware, also sehr schnell. Im Hotel wird SW-CORE ein solcher Switch, die drei Etagenswitches SW-OG1 bis SW-OG3 sind managed Layer-2-Switches.

Schritt für Schritt: Die MAC-Tabelle im Hotel beobachten

Noemi baut die Situation in Cisco Packet Tracer nach: Ein Switch SW-OG1, daran vier Geräte. Sie leert die Tabelle mit clear mac address-table dynamic und beobachtet, was passiert.

Schritt 1: Ausgangslage. Die Tabelle ist leer.

Schritt 2: Die Rezeption will drucken. Sie kennt die MAC des Druckers noch nicht und schickt einen ARP-Request an ffff.ffff.ffff. Der Switch lernt ...4401 an Gi1/0/1 und flutet den Broadcast an Gi1/0/2, 3 und 4. Auch die Kasse und der Gast-Laptop bekommen ihn. Tabelle: 1 Eintrag.

Schritt 3: Der Drucker antwortet mit einem Unicast an ...4401. Der Switch lernt ...4402 an Gi1/0/2. Das Ziel ist bekannt, also geht der Frame nur an Gi1/0/1. Tabelle: 2 Einträge.

Schritt 4: Der Druckauftrag läuft von ...4401 an ...4402. Beide sind bekannt, der Switch leitet gezielt an Gi1/0/2 weiter und frischt nur die Timer auf.

Schritt 5: Der Gast-Laptop schickt einen Frame an die Kasse ...4403, die bisher still war. Der Switch lernt ...4404 an Gi1/0/4. Das Ziel ist unbekannt, also flutet er an Gi1/0/1, 2 und 3. Rezeption und Drucker verwerfen den Frame in ihrer Netzwerkkarte, aber er ist bei ihnen angekommen. Tabelle: 3 Einträge.

Schritt 6: Die Kasse antwortet. Der Switch lernt ...4403 an Gi1/0/3 und leitet direkt an Gi1/0/4 weiter. Tabelle: 4 Einträge.

Schritt 7: Fünf Minuten Ruhe beim Drucker. Nach 300 Sekunden ohne Frame vom Drucker löscht der Switch dessen Eintrag. Der nächste Frame an den Drucker wird wieder geflutet, bis der Drucker antwortet.

Ergebnis für die Direktorin: «Den eigentlichen Zahlungsverkehr sieht ein Gast nicht, weil der Switch ihn gezielt zustellt. Aber jeder Rundruf und jeder Frame an ein noch unbekanntes Gerät erreicht auch die Gäste, und ein Angreifer im gleichen Netz hat viele Möglichkeiten. Deshalb trennen wir die Netze.»

Jetzt bist du dran: Programmiere genau diese Entscheidungslogik.

Typische Fehler

• «Der Switch lernt die Ziel-MAC.» Nein. Er lernt nur, wer gesendet hat. Ein Gerät, das nie sendet, taucht nie in der Tabelle auf, und Frames an dieses Gerät werden immer geflutet.
• «Unbekannte Ziele werden verworfen.» Nein, sie werden geflutet. Genau deshalb landen fremde Frames bei unbeteiligten Geräten.
• Mehrere MACs an einem Port gleich als Fehler werten. Hinter einem Port können ein IP-Telefon mit angeschlossenem PC, ein Tischswitch oder ein Server mit virtuellen Maschinen hängen. Auffällig wird es erst, wenn an einer Zimmerdose plötzlich zehn Adressen stehen.
• MAC in falscher Schreibweise suchen. show mac address-table address 3C-52-82-4A-1F-0B versteht IOS nicht. Schreib die Adresse im Format 3c52.824a.1f0b.

Zusammenfassung

• Ein Ethernet-Frame beginnt mit Ziel-MAC, Quell-MAC und EtherType, ein voller Frame hat 1518 Byte.
• MAC-Adressen gibt es in drei Schreibweisen. Auf Cisco-Switches suchst du im Format aaaa.bbbb.cccc.
• Ungerades erstes Byte bedeutet Multicast, ffff.ffff.ffff ist Broadcast. Private WLAN-Adressen sind zufällig und lokal vergeben.
• Ein Switch lernt aus der Quell-MAC, leitet bekannte Ziele gezielt weiter, flutet Broadcasts und unbekannte Ziele und filtert, wenn Quelle und Ziel am selben Port hängen.
• Einträge altern nach 300 Sekunden (Cisco-Standard) aus.
• Alle Ports bilden ohne VLANs eine Broadcastdomäne. Das ist der Grund, warum Gäste und Kasse getrennt werden müssen.
• show mac address-table zeigt dir, an welchem Port ein Gerät hängt.