Búsqueda de direcciones MAC

Cada interfaz de red viene con una dirección de hardware de 48 bits, y la primera mitad es un prefijo que su fabricante compró al IEEE. Esta herramienta busca ese prefijo en los cuatro registros del IEEE (MA-L, MA-M, MA-S y la antigua lista IAB), de forma que una dirección completa como BC:24:11:7A:92:3D lleva a la organización que registró el bloque, a su país y al rango exacto que el bloque cubre.

También descifra lo que dice la propia dirección: si es unicast o multicast, asignada por un fabricante o administrada localmente (la señal de las MAC de Wi-Fi aleatorias y de las tarjetas de red virtuales), si es una dirección de protocolo reservada como la MAC de un router virtual VRRP, y cómo se convierte entre notación con dos puntos, con guiones, de puntos al estilo Cisco y hexadecimal sin separadores. Pega una lista en modo masivo para identificar hasta 50 direcciones de una vez.

¿Qué es una dirección MAC?

Una dirección MAC (Media Access Control) es el identificador de capa 2 que usa una interfaz de red en Ethernet y Wi-Fi. Tiene 48 bits, se escribe como doce dígitos hexadecimales (BC:24:11:7A:92:3D) y solo necesita ser única dentro de un dominio de broadcast, a diferencia de una dirección IP, que identifica al host entre redes.

La dirección se parte en dos mitades. Los primeros 24 bits son el OUI (Organizationally Unique Identifier), que la IEEE Registration Authority asigna a un fabricante concreto; los 24 bits restantes los elige ese fabricante para cada dispositivo. Dos bits del primer octeto tienen un significado especial:

• El bit I/G (bit menos significativo del primer octeto): 0 significa unicast, dirigido a una sola interfaz; 1 significa multicast, dirigido a un grupo. FF:FF:FF:FF:FF:FF, la dirección de broadcast, es el caso extremo.
• El bit U/L (segundo bit menos significativo): 0 significa administrado universalmente, grabado bajo el OUI de un fabricante; 1 significa administrado localmente, asignado por software. Si el segundo dígito hexadecimal es 2, 6, A o E, la dirección es local y ninguna búsqueda de fabricante puede acertar.

MA-L, MA-M, MA-S y los registros del IEEE

El IEEE vende espacio de direcciones de hardware en tres tamaños de bloque. MA-L (el OUI clásico) es un prefijo de 24 bits que cubre 16,777,216 direcciones; MA-M es un prefijo de 28 bits que cubre 1,048,576; MA-S (antes OUI-36) es un prefijo de 36 bits que cubre 4,096, pensado para fabricantes de series cortas. Una cuarta lista, el registro IAB, se cerró cuando MA-S la sustituyó en 2014, pero sus asignaciones siguen siendo válidas y todavía aparecen en hardware real, así que esta herramienta también la consulta.

Los bloques más pequeños se anidan dentro de OUI que posee la propia IEEE Registration Authority, y por eso una búsqueda correcta debe casar primero el prefijo más largo: 70:B3:D5 pertenece a la Registration Authority, pero 70:B3:D5:A, resuelto a nueve dígitos, puede pertenecer a una empresa concreta. Los titulares también pueden pagar por mantener su nombre y dirección en privado. Esos bloques aparecen aquí como registros privados y no como fabricante desconocido.

MAC aleatorias: por qué la búsqueda vuelve vacía

El motivo más habitual de que una búsqueda de MAC no encuentre fabricante es que la dirección nunca fue de ningún fabricante. iOS 14+, Android 10+ y Windows 10 1903+ activan por defecto la aleatorización de MAC en Wi-Fi: el dispositivo genera una dirección nueva y administrada localmente para cada red (Apple la llama "dirección Wi-Fi privada") para que su dirección de hardware real no pueda seguirse de una red a otra. Las direcciones aleatorias activan el bit U/L, así que su segundo dígito hexadecimal siempre es 2, 6, A o E.

La virtualización hace lo mismo por otros motivos. Los hipervisores y los entornos de contenedores acuñan direcciones MAC para las tarjetas de red virtuales en el momento de crearlas, unas bajo OUI realmente registrados y otras en espacio administrado localmente. Si gestionas redes de invitados, portales cautivos o reservas de DHCP indexadas por MAC, la aleatorización explica por qué el mismo teléfono aparece una y otra vez como un dispositivo nuevo. Esta herramienta marca esas direcciones de forma explícita en lugar de devolver un "no encontrado" sin sentido.

Leer direcciones MAC como administrador de servidores

En una red de hosting, los prefijos MAC son una forma rápida de reconocer lo que ves. Proxmox VE 8.1+ da a las tarjetas de las VM su prefijo registrado BC:24:11, VMware usa 00:50:56 y 00:0C:29, Hyper-V usa 00:15:5D, VirtualBox 08:00:27 y Xen 00:16:3E. KVM/QEMU con libvirt usa por convención 52:54:00, y Docker empieza sus interfaces de puente por 02:42. Esos dos están administrados localmente, así que identifican la plataforma por convención y no por registro del IEEE. Revisar una tabla ARP o un fichero de concesiones DHCP con estos prefijos en mente te dice al instante qué entradas son máquinas virtuales y de quién.

Algunas direcciones identifican un protocolo y no un dispositivo. 00:00:5E:00:01:XX es la MAC de un router virtual VRRP (o CARP) donde XX es el identificador del router; verla en una tabla de conmutación significa que allí hay un par en conmutación por error, no una tarjeta física. Los equivalentes HSRP de Cisco están bajo 00:00:0C, el spanning tree y LLDP usan el rango reservado 01:80:C2, y 01:00:5E mapea los grupos multicast de IPv4 según la RFC 1112.

La herramienta también deriva el identificador de interfaz Modified EUI-64 y la dirección de enlace local fe80:: que un host autoconfiguraría a partir de una MAC dada (RFC 4291), algo útil cuando necesitas llegar a un servidor por IPv6 antes de que haya direccionamiento configurado.