MAC-adres opzoeken

Elke netwerkinterface komt met een hardwareadres van 48 bits, en de eerste helft daarvan is een prefix die de fabrikant bij de IEEE heeft gekocht. Deze tool zoekt die prefix op in alle vier de IEEE-registers (MA-L, MA-M, MA-S en de oude IAB-lijst), zodat een volledig adres als BC:24:11:7A:92:3D uitkomt bij de organisatie die het blok registreerde, het land en het exacte bereik dat het blok beslaat.

Hij ontleedt ook wat het adres zelf vertelt: of het unicast of multicast is, door een fabrikant toegekend of lokaal beheerd (het kenmerk van gerandomiseerde wifi-MAC's en virtuele NIC's), of het een gereserveerd protocoladres is zoals een virtueel VRRP-routeradres, en hoe het zich laat omzetten tussen dubbelepunt-, streepje-, Cisco-punt- en kale-hexnotatie. Plak een lijst in de bulkmodus om tot 50 adressen tegelijk te identificeren.

Wat is een MAC-adres?

Een MAC-adres (Media Access Control) is de laag-2-identificatie die een netwerkinterface gebruikt op ethernet en wifi. Het is 48 bits lang, geschreven als twaalf hexadecimale tekens (BC:24:11:7A:92:3D), en het hoeft alleen uniek te zijn binnen een broadcastdomein, anders dan een IP-adres, dat de host over netwerken heen aanduidt.

Het adres valt in twee helften uiteen. De eerste 24 bits zijn de OUI (Organizationally Unique Identifier), door de IEEE Registration Authority aan een specifieke fabrikant toegekend; de overige 24 bits kiest die fabrikant per apparaat. Twee bits van het eerste octet hebben een bijzondere betekenis:

• De I/G-bit (minst significante bit van het eerste octet): 0 betekent unicast, gericht aan één interface; 1 betekent multicast, gericht aan een groep. FF:FF:FF:FF:FF:FF, het broadcastadres, is het uiterste geval.
• De U/L-bit (op één na minst significante bit): 0 betekent universeel beheerd, ingebrand onder een fabrikants-OUI; 1 betekent lokaal beheerd, door software toegekend. Is het tweede hexteken een 2, 6, A of E, dan is het adres lokaal en kan geen enkele fabrikantzoektocht slagen.

MA-L, MA-M, MA-S en de IEEE-registers

De IEEE verkoopt hardware-adresruimte in drie blokmaten. MA-L (de klassieke OUI) is een prefix van 24 bits, goed voor 16,777,216 adressen; MA-M is een prefix van 28 bits, goed voor 1,048,576; MA-S (vroeger OUI-36) is een prefix van 36 bits, goed voor 4,096, bedoeld voor fabrikanten met kleine volumes. Een vierde lijst, het IAB-register, werd gesloten toen MA-S het in 2014 verving, maar de toekenningen daaruit blijven geldig en duiken nog steeds op in echte hardware, dus deze tool doorzoekt ook die.

Kleinere blokken nestelen binnen OUI's die de IEEE Registration Authority zelf aanhoudt, en daarom moet een correcte zoekactie eerst op de langste prefix matchen: 70:B3:D5 is van de Registration Authority, maar 70:B3:D5:A, negen tekens diep opgezocht, kan van een specifiek bedrijf zijn. Registranten kunnen er ook voor betalen om hun naam en adres vertrouwelijk te houden. Die blokken verschijnen hier als private registraties in plaats van als een onbekende fabrikant.

Gerandomiseerde MAC's: waarom een zoekactie leeg terugkomt

De meest voorkomende reden dat een MAC-zoekactie geen fabrikant vindt, is dat het adres nooit van een fabrikant was. iOS 14+, Android 10+ en Windows 10 1903+ zetten standaard MAC-randomisatie aan op wifi: het apparaat genereert per netwerk een vers, lokaal beheerd adres (Apple noemt het een "privé-wifiadres") zodat het echte hardwareadres niet over netwerken heen te volgen is. Gerandomiseerde adressen zetten de U/L-bit, dus hun tweede hexteken is altijd een 2, 6, A of E.

Virtualisatie doet hetzelfde om andere redenen. Hypervisors en containerruntimes maken bij het aanmaken MAC-adressen voor virtuele NIC's, sommige onder echt geregistreerde OUI's en andere in lokaal beheerde ruimte. Draai je gastnetwerken, captive portals of DHCP-reserveringen op MAC-adres, dan is randomisatie de reden dat dezelfde telefoon steeds als een nieuw apparaat opduikt. Deze tool markeert zulke adressen expliciet in plaats van een betekenisloos "niet gevonden" te melden.

MAC-adressen lezen als serverbeheerder

Op een hostingnetwerk zijn MAC-prefixen een snelle manier om apparatuur te herkennen. Proxmox VE 8.1+ geeft VM-NIC's zijn geregistreerde prefix BC:24:11, VMware gebruikt 00:50:56 en 00:0C:29, Hyper-V gebruikt 00:15:5D, VirtualBox 08:00:27 en Xen 00:16:3E. KVM/QEMU met libvirt gebruikt conventioneel 52:54:00 en Docker begint zijn bridge-interfaces met 02:42. Die twee zijn lokaal beheerd, dus ze duiden het platform aan op conventie in plaats van op IEEE-registratie. Een ARP-tabel of DHCP-leasebestand doorlopen met deze prefixen in gedachten vertelt je meteen welke regels virtuele machines zijn en van wie.

Sommige adressen duiden een protocol aan in plaats van een apparaat. 00:00:5E:00:01:XX is een virtueel routeradres voor VRRP (of CARP), waarbij XX de router-ID is; zie je dat in een switchtabel, dan zit daar een failoverpaar en geen fysieke NIC. De HSRP-tegenhangers van Cisco zitten onder 00:00:0C, spanning tree en LLDP gebruiken het gereserveerde bereik 01:80:C2, en 01:00:5E beeldt IPv4-multicastgroepen af volgens RFC 1112.

De tool leidt ook de Modified EUI-64-interface-identificatie en het fe80::-link-local-adres af die een host uit een gegeven MAC zou autoconfigureren (RFC 4291), handig wanneer je een server over IPv6 moet bereiken voordat er adressering is ingesteld.