Fabricante MAC

U/L e I/G, os dois bits que mudam a leitura do endereço

Um endereço MAC tem 48 bits, mas dois deles, os de menor ordem do primeiro octeto, decidem como o resto deve ser interpretado. O bit I/G (bit 0) separa endereço individual de endereço de grupo: em 0, o quadro é para uma única interface; em 1, é multicast ou broadcast. O bit U/L (bit 1) separa endereço universal, atribuído pelo fabricante a partir de um bloco registrado no IEEE, de endereço administrado localmente.

Na prática isso resolve a maior parte das dúvidas de leitura. Se o bit I/G está ligado, procurar fabricante é perda de tempo, porque o endereço representa um grupo e não um equipamento. Se o bit U/L está ligado, o prefixo não foi alocado pelo IEEE, então qualquer nome de fabricante encontrado ali é coincidência ou herança de um bloco antigo.

• Primeiro octeto par e sem o bit 1: endereço unicast universal, é o caso em que o OUI vale.
• Primeiro octeto ímpar: multicast ou broadcast.
• Primeiro octeto terminando em 2, 6, A ou E: endereço administrado localmente.

Do MAC ao EUI-64 e ao endereço link-local

Antes dos identificadores de interface estáveis e aleatórios se tornarem o padrão, o endereço IPv6 link-local de uma interface Ethernet era derivado diretamente do MAC. O procedimento, descrito no apêndice A da RFC 4291, tem dois passos: inserir FF:FE no meio dos 48 bits, formando 64 bits, e inverter o bit U/L do primeiro octeto.

A inversão é o passo que mais gera erro quando a conta é feita à mão, porque ela é contraintuitiva: um endereço universal (bit 0) vira identificador com o bit em 1. O exemplo da própria RFC deixa isso claro, 34-56-78-9A-BC-DE vira 36-56-78-FF-FE-9A-BC-DE, e o link-local correspondente é fe80::3656:78ff:fe9a:bcde. A partir do mesmo endereço também sai o multicast solicited-node (ff02::1:ff mais os últimos 24 bits), usado pela descoberta de vizinhança, e o MAC 33:33:FF que o carrega no nível Ethernet.

Randomização, virtualização e o fabricante que não existe

Celulares e notebooks atuais geram um endereço aleatório por rede sem fio, justamente para impedir que o MAC funcione como identificador persistente. Esses endereços têm o bit U/L ligado e não pertencem a bloco registrado nenhum, então a resposta correta para eles não é fabricante desconhecido, e sim endereço randomizado. Tratar um caso como o outro leva a conclusões erradas em inventário e em investigação de rede.

Ambientes virtualizados criam a distorção oposta. O bloco 08:00:27 do VirtualBox aparece no registro IEEE com o nome da alocação original, e não como VirtualBox; o prefixo 52:54:00 do QEMU/KVM é administrado localmente e simplesmente não existe no registro. Nos dois casos o dado bruto do IEEE responde mal, e o que identifica de verdade é a faixa conhecida por convenção de cada hipervisor.

• 00:50:56 e 00:0C:29: VMware.
• 08:00:27: VirtualBox (registro IEEE mostra a alocação original).
• 00:15:5D: Hyper-V.
• 00:16:3E: Xen.
• 52:54:00: QEMU/KVM, sem registro por ser administrado localmente.