Ethernet : trame, adresse MAC et switch

Ethernet est la technologie de couche 2 des réseaux locaux filaires : elle découpe les données en trames, identifie chaque carte réseau par une adresse MAC de 48 bits et fait circuler les trames à travers des switchs. Ce chapitre détaille la structure d'une trame Ethernet, le MTU, l'adresse MAC, le fonctionnement d'un switch, les domaines de collision et de diffusion, et donne une première idée des VLAN.

Ethernet en quelques dates

Ethernet a été inventé au début des années 1970 et normalisé par l'IEEE sous le numéro 802.3. Ses débits ont été multipliés par dix à chaque génération : 10 Mbit/s, puis 100 Mbit/s (Fast Ethernet), 1 Gbit/s (Gigabit Ethernet), 10 Gbit/s, et jusqu'à 800 Gbit/s dans les datacenters. Le format de la trame, lui, n'a presque pas changé : un PC de 2026 et un switch de 2005 se comprennent encore.

À l'origine, toutes les machines partageaient le même câble et devaient éviter de parler en même temps. Elles écoutaient le support avant d'émettre et détectaient les collisions : c'est la méthode CSMA/CD. Avec des switchs et des liens full-duplex, il n'y a plus de collision et CSMA/CD ne sert plus. Le Wi-Fi, où l'air reste un support partagé, utilise une variante qui cherche à éviter les collisions : CSMA/CA.

La structure d'une trame Ethernet

Le format utilisé partout est la trame Ethernet II.

La trame mesure donc entre 64 octets (6 + 6 + 2 + 46 + 4) et 1 518 octets (6 + 6 + 2 + 1 500 + 4), ou 1 522 avec une étiquette VLAN.

Ethernet détecte les erreurs mais ne les corrige pas et ne redemande rien : une trame abîmée est simplement jetée. C'est TCP, quatre couches plus haut, qui s'apercevra qu'il manque des données et les renverra.

Le MTU

Le MTU (Maximum Transmission Unit) est la taille maximale des données qu'une trame peut transporter : 1 500 octets pour Ethernet. C'est donc la taille maximale d'un paquet IP sur ce lien.

Le MTU baisse dès qu'on ajoute une couche d'encapsulation : une connexion PPPoE (certains accès Internet par la fibre) laisse 1 492 octets, un tunnel VPN en laisse moins encore, selon le protocole. Dans l'autre sens, les réseaux de stockage et de virtualisation utilisent des trames jumbo (jumbo frames) avec un MTU de 9 000 octets, à condition que tous les équipements du chemin les acceptent.

Quand un paquet est plus gros que le MTU du lien suivant, IPv4 peut le fragmenter en morceaux, ou le refuser s'il porte le drapeau « ne pas fragmenter » et prévenir l'émetteur par un message ICMP. IPv6 ne fragmente jamais en route : c'est l'émetteur qui doit s'adapter (chapitre 12).

L'adresse MAC

L'adresse MAC (Media Access Control) identifie une carte réseau sur un réseau local. Elle mesure 48 bits, soit 6 octets, écrits en hexadécimal. La même adresse s'écrit de plusieurs façons selon le système :

Chaque chiffre hexadécimal vaut 4 bits, chaque octet deux chiffres. Si la conversion entre hexadécimal et binaire est floue pour toi, révise le passage binaire et hexadécimal par paquets de 4 bits du cours d'arithmétique.

La structure. Les 3 premiers octets forment l'OUI (Organizationally Unique Identifier), attribué par l'IEEE à chaque fabricant. Les 3 derniers sont numérotés par le fabricant. Retrouver le fabricant d'après l'OUI aide à identifier un appareil inconnu sur le réseau ; Wireshark et les outils de scan le font automatiquement.

Deux bits spéciaux, dans le premier octet :

• le bit de poids le plus faible (bit I/G) vaut 0 pour une adresse individuelle (unicast) et 1 pour une adresse de groupe (multicast ou broadcast) ;
• le bit suivant (bit U/L) vaut 0 pour une adresse universelle, attribuée par le fabricant, et 1 pour une adresse administrée localement, choisie par un logiciel.

Quelques adresses à reconnaître :

Pour afficher les adresses MAC :

Windows   ipconfig /all          (ligne « Adresse physique »)
          getmac /v
Linux     ip link                (ligne « link/ether »)

Comment fonctionne un switch

Un switch prend toutes ses décisions avec une seule table, la table d'adresses MAC (appelée aussi table CAM chez Cisco), qui associe des adresses MAC à des ports. Il la remplit tout seul.

1. Apprentissage. À chaque trame reçue, le switch lit l'adresse MAC source et note qu'elle se trouve derrière le port d'arrivée.
2. Acheminement. Il cherche l'adresse MAC de destination dans sa table. Si elle y est, il envoie la trame sur ce seul port.
3. Inondation. Si la destination est inconnue, ou si c'est un broadcast, il envoie la trame sur tous les ports sauf celui d'arrivée (flooding).
4. Filtrage. Si la destination se trouve derrière le port d'arrivée, il jette la trame : elle est déjà arrivée.
5. Vieillissement. Une entrée qui ne sert plus est effacée au bout d'un délai, 300 secondes par défaut sur la plupart des switchs. Un poste déplacé sur un autre port est ainsi réappris.

Sur un switch Cisco, la table s'affiche avec show mac address-table :

          Mac Address Table
-------------------------------------------
Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
  10    3c52.824a.107e    DYNAMIC     Gi0/1
  10    a4bb.6d12.88c0    DYNAMIC     Gi0/3
  10    0050.56a1.2b3c    DYNAMIC     Gi0/24

Plusieurs adresses derrière un même port (ici, par exemple, tout ce qui est derrière le port 24) signifient qu'un autre switch, une borne Wi-Fi ou un hyperviseur avec ses machines virtuelles est branché sur ce port.

Domaines de collision et domaines de diffusion

Deux notions reviennent dans les sujets et les QCM.

Un domaine de collision est l'ensemble des machines dont les émissions peuvent entrer en collision. Tous les ports d'un hub partagent un seul domaine de collision ; chaque port d'un switch, d'un routeur ou d'un pare-feu forme son propre domaine. Avec des switchs en full-duplex, la notion n'a plus d'effet pratique, mais on te demandera encore de les compter.

Un domaine de diffusion (broadcast domain) est l'ensemble des machines qu'atteint un broadcast. Les hubs et les switchs le prolongent ; seuls les routeurs (et les VLAN, voir plus bas) le coupent. Un domaine de diffusion correspond en pratique à un réseau IP.

Les boucles et le Spanning Tree

Si deux switchs sont reliés par deux câbles, un broadcast part par le premier, revient par le second, repart par le premier… sans fin, puisque la trame Ethernet n'a pas de durée de vie. En quelques secondes, cette tempête de diffusion sature le réseau et les tables MAC changent sans arrêt. C'est une panne classique quand quelqu'un branche un câble « en trop ».

Pourtant, on veut des liens doublés pour tolérer les pannes. Le protocole STP (Spanning Tree Protocol, IEEE 802.1D), et sa version rapide RSTP (802.1w), désactivent automatiquement les liens en surnombre et les réactivent si le lien principal tombe. Le cours Routage et commutation explique son fonctionnement.

Les VLAN : plusieurs réseaux sur un même switch

Un VLAN (Virtual LAN) découpe un switch administrable en plusieurs réseaux locaux séparés. Les ports du VLAN 10 ne voient que les trames du VLAN 10 ; un broadcast du VLAN 10 n'atteint pas le VLAN 20. Chaque VLAN est un domaine de diffusion à part, et il reçoit en général son propre réseau IP.

• Un port d'accès appartient à un seul VLAN. On y branche un poste, une imprimante, qui n'ont pas besoin de savoir qu'un VLAN existe.
• Un port trunk transporte plusieurs VLAN, par exemple entre deux switchs ou vers une borne Wi-Fi qui diffuse plusieurs réseaux. Chaque trame y porte une étiquette 802.1Q de 4 octets, insérée après l'adresse MAC source, qui contient le numéro de VLAN sur 12 bits (de 1 à 4094).

Pour passer d'un VLAN à l'autre, il faut router : un routeur, un pare-feu ou un switch de niveau 3. C'est voulu : on peut alors filtrer ce qui passe. Chez Sorbier, séparer les postes, les serveurs, les visiteurs et les caméras dans des VLAN différents est la première mesure de sécurité du réseau ; le chapitre 8 leur donne des adresses. La configuration des VLAN est détaillée dans le cours Routage et commutation.

Les attaques de couche 2

Ethernet a été conçu pour un réseau de confiance : rien n'y est authentifié. Deux attaques reviennent dans les sujets d'E7 SISR.

• L'inondation de la table MAC (MAC flooding). Un attaquant envoie des milliers de trames avec des adresses MAC source inventées (l'outil macof le fait). La table du switch se remplit ; il ne peut plus apprendre et inonde alors toutes les trames sur tous les ports, comme un hub. L'attaquant peut écouter le trafic du VLAN. Parade : la sécurité des ports (port security), qui limite le nombre d'adresses MAC par port.
• L'usurpation ARP (ARP spoofing), qui fait croire à une machine que l'attaquant est sa passerelle (chapitre 9).

La protection la plus complète est l'authentification 802.1X : un port du switch ne laisse passer le trafic qu'après authentification de la machine ou de l'utilisateur auprès d'un serveur RADIUS. Les autres parades (DHCP snooping, inspection ARP, BPDU Guard) sont dans le chapitre Sécurité des switchs, et le fonctionnement de 802.1X dans le chapitre 802.1X, RADIUS et portail captif.

Exercices