MAC-Adressen-Lookup

Jede Netzwerkschnittstelle bringt eine 48-Bit-Hardwareadresse mit, und deren erste Hälfte ist ein Präfix, das ihr Hersteller bei der IEEE gekauft hat. Dieses Werkzeug schlägt dieses Präfix in allen vier IEEE-Registern nach (MA-L, MA-M, MA-S und der alten IAB-Liste), sodass eine vollständige Adresse wie BC:24:11:7A:92:3D zur Organisation führt, die den Block registriert hat, zu ihrem Land und zum genauen Bereich, den der Block abdeckt.

Es entschlüsselt auch, was die Adresse selbst aussagt: ob sie Unicast oder Multicast ist, herstellerseitig vergeben oder lokal verwaltet (das Erkennungszeichen randomisierter WLAN-MACs und virtueller NICs), ob sie eine reservierte Protokolladresse wie eine virtuelle VRRP-Router-MAC ist und wie sie sich zwischen Doppelpunkt-, Bindestrich-, Cisco-Punkt- und reiner Hex-Schreibweise umrechnet. Fügen Sie im Bulk-Modus eine Liste ein, um bis zu 50 Adressen auf einmal zu bestimmen.

Was ist eine MAC-Adresse?

Eine MAC-Adresse (Media Access Control) ist die Layer-2-Kennung, die eine Netzwerkschnittstelle auf Ethernet und WLAN verwendet. Sie ist 48 Bit lang, wird als zwölf Hexadezimalziffern geschrieben (BC:24:11:7A:92:3D) und muss nur innerhalb einer Broadcast-Domäne eindeutig sein, anders als eine IP-Adresse, die den Host über Netzgrenzen hinweg bezeichnet.

Die Adresse zerfällt in zwei Hälften. Die ersten 24 Bit sind die OUI (Organizationally Unique Identifier), von der IEEE Registration Authority einem bestimmten Hersteller zugeteilt; die übrigen 24 Bit wählt dieser Hersteller pro Gerät. Zwei Bits des ersten Oktetts tragen eine besondere Bedeutung:

• Das I/G-Bit (niederwertigstes Bit des ersten Oktetts): 0 bedeutet Unicast, an eine Schnittstelle gerichtet; 1 bedeutet Multicast, an eine Gruppe gerichtet. FF:FF:FF:FF:FF:FF, die Broadcast-Adresse, ist der Extremfall.
• Das U/L-Bit (zweitniederwertigstes Bit): 0 bedeutet universell verwaltet, unter einer Hersteller-OUI fest eingebrannt; 1 bedeutet lokal verwaltet, per Software vergeben. Ist die zweite Hex-Ziffer eine 2, 6, A oder E, ist die Adresse lokal und kein Herstellernachschlagen kann Erfolg haben.

MA-L, MA-M, MA-S und die IEEE-Register

Die IEEE verkauft Hardware-Adressraum in drei Blockgrößen. MA-L (die klassische OUI) ist ein 24-Bit-Präfix über 16,777,216 Adressen; MA-M ist ein 28-Bit-Präfix über 1,048,576; MA-S (früher OUI-36) ist ein 36-Bit-Präfix über 4,096 und richtet sich an Hersteller kleiner Stückzahlen. Eine vierte Liste, das IAB-Register, wurde geschlossen, als MA-S sie 2014 ablöste, doch ihre Zuteilungen gelten weiter und tauchen weiterhin auf echter Hardware auf, deshalb durchsucht dieses Werkzeug auch sie.

Kleinere Blöcke stecken in OUIs, die die IEEE Registration Authority selbst hält, und deshalb muss ein korrektes Nachschlagen zuerst auf das längste Präfix passen: 70:B3:D5 gehört der Registration Authority, aber 70:B3:D5:A, neun Ziffern tief aufgelöst, kann einem bestimmten Unternehmen gehören. Registranten können auch dafür zahlen, dass Name und Adresse vertraulich bleiben. Solche Blöcke erscheinen hier als private Registrierungen statt als unbekannter Hersteller.

Randomisierte MACs: warum ein Lookup leer bleibt

Der häufigste Grund, warum ein MAC-Lookup keinen Hersteller findet, ist, dass die Adresse nie einem Hersteller gehörte. iOS 14+, Android 10+ und Windows 10 1903+ aktivieren im WLAN standardmäßig die MAC-Randomisierung: Das Gerät erzeugt pro Netzwerk eine frische, lokal verwaltete Adresse (Apple nennt das eine "private WLAN-Adresse"), damit sich seine echte Hardwareadresse nicht über Netze hinweg verfolgen lässt. Randomisierte Adressen setzen das U/L-Bit, ihre zweite Hex-Ziffer ist also immer eine 2, 6, A oder E.

Virtualisierung tut dasselbe aus anderen Gründen. Hypervisoren und Container-Laufzeiten vergeben virtuellen NICs beim Anlegen MAC-Adressen, teils unter echten registrierten OUIs, teils im lokal verwalteten Raum. Wenn Sie Gastnetze, Captive Portals oder DHCP-Reservierungen auf MAC-Adressen betreiben, ist die Randomisierung der Grund, warum dasselbe Telefon immer wieder als neues Gerät auftaucht. Dieses Werkzeug kennzeichnet solche Adressen ausdrücklich, statt ein nichtssagendes "nicht gefunden" zu melden.

MAC-Adressen als Serveradministrator lesen

In einem Hosting-Netz sind MAC-Präfixe ein schnelles Erkennungsmerkmal. Proxmox VE 8.1+ gibt VM-NICs sein registriertes Präfix BC:24:11, VMware nutzt 00:50:56 und 00:0C:29, Hyper-V nutzt 00:15:5D, VirtualBox 08:00:27 und Xen 00:16:3E. KVM/QEMU mit libvirt verwendet üblicherweise 52:54:00, und Docker beginnt seine Bridge-Schnittstellen mit 02:42. Beide sind lokal verwaltet, kennzeichnen die Plattform also per Konvention statt per IEEE-Registrierung. Eine ARP-Tabelle oder Datei mit DHCP-Leases mit diesen Präfixen im Kopf durchzusehen zeigt sofort, welche Einträge virtuelle Maschinen sind und wessen.

Manche Adressen kennzeichnen ein Protokoll statt eines Geräts. 00:00:5E:00:01:XX ist eine virtuelle Router-MAC für VRRP (oder CARP), wobei XX die Router-ID ist; taucht sie in einer Switch-Tabelle auf, sitzt dort ein Failover-Paar und keine physische NIC. Die HSRP-Entsprechungen von Cisco liegen unter 00:00:0C, Spanning Tree und LLDP nutzen den reservierten Bereich 01:80:C2, und 01:00:5E bildet IPv4-Multicast-Gruppen nach RFC 1112 ab.

Das Werkzeug leitet außerdem den Modified-EUI-64-Interface-Identifier und die fe80::-Link-Local-Adresse ab, die ein Host aus einer gegebenen MAC autokonfigurieren würde (RFC 4291). Das hilft, wenn Sie einen Server über IPv6 erreichen müssen, bevor irgendeine Adressierung eingerichtet ist.