MAC 주소 (MAC Address)

MAC(Media Access Control) 주소는 데이터 링크 계층(L2)에서 네트워크 인터페이스를 고유하게 식별하는 하드웨어 주소입니다. 이 문서에서는 IEEE 표준 EUI-48/EUI-64 비트 구조부터 이더넷 프레임에서의 역할, 리눅스 커널의 net_device 주소 관리, ARP를 통한 IP→MAC 해석, Bridge FDB 학습 메커니즘, 수신 필터링, 가상 디바이스(macvlan/macvtap) 할당, SR-IOV VF MAC 관리까지 MAC 주소의 전 영역을 커널 내부 관점에서 다룹니다.

개요

MAC 주소는 OSI 모델 2계층(데이터 링크)에서 동작하며, 동일 브로드캐스트 도메인 내의 장치를 식별하는 유일한 수단입니다. IP 주소가 논리적 주소라면, MAC 주소는 NIC(Network Interface Card)에 물리적으로 할당된 하드웨어 주소입니다.

MAC 주소의 핵심 역할

OSI 7계층에서 MAC 주소의 위치

MAC 주소 vs IP 주소 비교

라우터 통과 시 MAC 변화 과정

MAC 주소가 라우터(L3 장비)를 통과할 때 변경되는 과정을 이해하는 것이 중요합니다. 출발지/목적지 IP는 종단 간 유지되지만, MAC은 매 홉(hop)마다 갈아 끼워집니다.

[호스트 A] ──→ [라우터 R1] ──→ [라우터 R2] ──→ [호스트 B]

구간 1 (A → R1):
  SRC MAC: A의 MAC    DST MAC: R1의 MAC (기본 게이트웨이)
  SRC IP:  A의 IP     DST IP:  B의 IP

구간 2 (R1 → R2):
  SRC MAC: R1의 MAC   DST MAC: R2의 MAC (다음 홉)
  SRC IP:  A의 IP     DST IP:  B의 IP    ← IP 변경 없음!

구간 3 (R2 → B):
  SRC MAC: R2의 MAC   DST MAC: B의 MAC
  SRC IP:  A의 IP     DST IP:  B의 IP    ← IP 변경 없음!

EUI-48/EUI-64 비트 구조

EUI-48 (48비트 MAC 주소)

가장 널리 사용되는 MAC 주소 형식입니다. 총 48비트(6바이트)로 구성되며, 상위 24비트는 IEEE가 제조사에 할당하는 OUI(Organizationally Unique Identifier), 하위 24비트는 제조사가 자체 관리하는 NIC 고유 번호입니다.

EUI-64 (64비트 확장 주소)

IPv6의 인터페이스 식별자(Interface Identifier)와 IEEE 802.15.4(IoT/센서 네트워크)에서 사용됩니다. EUI-48에서 변환할 때는 OUI와 NIC 고유 번호 사이에 0xFFFE를 삽입하고, U/L 비트를 반전시킵니다.

EUI-48 → Modified EUI-64 변환 예시

원본 EUI-48:     00:1A:2B:3C:4D:5E
1) OUI 분리:     00:1A:2B | 3C:4D:5E
2) FFFE 삽입:    00:1A:2B:FF:FE:3C:4D:5E
3) U/L 비트 반전: 02:1A:2B:FF:FE:3C:4D:5E   (바이트0: 0x00 → 0x02, bit1 반전)
IPv6 Interface ID: 021a:2bff:fe3c:4d5e

주소 유형과 비트 플래그

MAC 주소의 첫 번째 바이트에 있는 두 개의 특수 비트가 주소의 성격을 완전히 결정합니다. 리눅스 커널은 이 비트들을 검사하여 패킷 수신 경로를 분기합니다.

I/G 비트 (bit 0) — 유니캐스트 vs 멀티캐스트

U/L 비트 (bit 1) — 글로벌 vs 로컬

특수 MAC 주소

IPv4 멀티캐스트 → MAC 매핑 규칙

IPv4 멀티캐스트 주소(224.0.0.0/4)는 특정 규칙에 따라 MAC 주소로 매핑됩니다. 이 매핑은 1:1이 아니라 32:1이므로, 서로 다른 32개의 멀티캐스트 그룹이 같은 MAC 주소로 매핑될 수 있습니다.

/* include/linux/etherdevice.h — 핵심 판별 함수 */
static inline bool is_multicast_ether_addr(const u8 *addr)
{
    return 0x01 & addr[0];  /* bit 0 = 1이면 멀티캐스트 */
}

static inline bool is_local_ether_addr(const u8 *addr)
{
    return 0x02 & addr[0];  /* bit 1 = 1이면 로컬 관리 주소 */
}

static inline bool is_broadcast_ether_addr(const u8 *addr)
{
    return (*(const u16 *)(addr + 0) &
            *(const u16 *)(addr + 2) &
            *(const u16 *)(addr + 4)) == 0xffff;
}

static inline bool is_valid_ether_addr(const u8 *addr)
{
    return !is_multicast_ether_addr(addr) && !is_zero_ether_addr(addr);
}

이더넷 프레임과 MAC 주소

이더넷 프레임(IEEE 802.3)에서 MAC 주소는 가장 앞에 위치합니다. NIC 하드웨어는 프레임의 처음 6바이트(목적지 MAC)를 먼저 읽어 자신의 주소와 비교하고, 일치하지 않으면 프레임을 버립니다.

커널의 이더넷 헤더 구조체

/* include/uapi/linux/if_ether.h */
#define ETH_ALEN    6       /* 이더넷 주소(MAC) 길이 */
#define ETH_HLEN    14      /* 이더넷 헤더 전체 길이 */
#define ETH_DATA_LEN 1500   /* 최대 페이로드 길이 */

struct ethhdr {
    unsigned char   h_dest[ETH_ALEN];    /* 목적지 MAC (6바이트) */
    unsigned char   h_source[ETH_ALEN];  /* 출발지 MAC (6바이트) */
    __be16          h_proto;             /* EtherType (2바이트) */
} __attribute__((packed));

/* sk_buff에서 이더넷 헤더 접근 */
struct ethhdr *eth = eth_hdr(skb);
/* eth->h_dest: 목적지 MAC
   eth->h_source: 출발지 MAC
   eth->h_proto: EtherType (ntohs()로 호스트 바이트 오더 변환) */

커널 자료구조와 MAC 주소 저장

리눅스 커널에서 네트워크 인터페이스의 MAC 주소는 struct net_device의 여러 필드에 저장됩니다. 각 필드는 서로 다른 용도와 생명주기를 가집니다.

/* net/core/dev_addr_lists.c — 유니캐스트/멀티캐스트 리스트 관리 */
int dev_uc_add(struct net_device *dev, const unsigned char *addr)
{
    /* dev->uc 리스트에 유니캐스트 MAC 추가 */
    int err;
    netif_addr_lock_bh(dev);
    err = __hw_addr_add(&dev->uc, addr, dev->addr_len,
                        NETDEV_HW_ADDR_T_UNICAST);
    if (!err)
        __dev_set_rx_mode(dev);  /* NIC에 필터 업데이트 요청 */
    netif_addr_unlock_bh(dev);
    return err;
}

int dev_mc_add(struct net_device *dev, const unsigned char *addr)
{
    /* dev->mc 리스트에 멀티캐스트 MAC 추가 */
    int err;
    netif_addr_lock_bh(dev);
    err = __hw_addr_add(&dev->mc, addr, dev->addr_len,
                        NETDEV_HW_ADDR_T_MULTICAST);
    if (!err)
        __dev_set_rx_mode(dev);
    netif_addr_unlock_bh(dev);
    return err;
}

드라이버의 EEPROM MAC 읽기 과정

NIC 드라이버는 probe() 함수에서 EEPROM/Flash를 읽어 MAC 주소를 가져옵니다. EEPROM이 없거나 유효하지 않은 경우 랜덤 MAC을 생성합니다.

/* 드라이버 probe() 내부 — MAC 초기화 패턴 (e1000e 기반 예시) */
static int e1000_probe(struct pci_dev *pdev, ...)
{
    struct net_device *netdev;
    struct e1000_adapter *adapter;
    /* ... PCI/DMA 설정 ... */

    /* 1) NIC EEPROM에서 MAC 읽기 */
    if (e1000e_read_mac_addr(&adapter->hw))
        dev_err(&pdev->dev, "NIC EEPROM read error\n");

    /* 2) 유효성 검사 */
    if (!is_valid_ether_addr(adapter->hw.mac.addr)) {
        /* EEPROM MAC이 유효하지 않으면 랜덤 생성 */
        dev_warn(&pdev->dev, "Invalid MAC, using random\n");
        eth_hw_addr_random(netdev);
    } else {
        /* 3) 정상: dev_addr과 perm_addr 모두 설정 */
        eth_hw_addr_set(netdev, adapter->hw.mac.addr);
        memcpy(netdev->perm_addr, adapter->hw.mac.addr, ETH_ALEN);
    }
    /* 4) HW RAR 슬롯 0에 MAC 기록 */
    e1000e_rar_set(hw, adapter->hw.mac.addr, 0);
    /* ... */
}

MAC 주소 변경 경로

사용자가 ip link set dev eth0 address XX:XX:XX:XX:XX:XX 명령으로 MAC 주소를 변경하면, 커널 내부에서 다음과 같은 호출 체인이 실행됩니다.

/* net/core/dev.c — dev_set_mac_address() 핵심 경로 */
int dev_set_mac_address(struct net_device *dev, struct sockaddr *sa,
                        struct netlink_ext_ack *extack)
{
    const struct net_device_ops *ops = dev->netdev_ops;
    int err;

    if (!ops->ndo_set_mac_address)
        return -EOPNOTSUPP;

    if (dev->flags & IFF_UP)    /* 인터페이스 활성 상태에서도 변경 허용 */
        ;                         /* (드라이버가 거부할 수 있음) */

    /* 변경 전 노티파이어 — FDB/ARP 테이블 갱신 준비 */
    err = call_netdevice_notifiers(NETDEV_PRE_CHANGEADDR, dev);
    err = notifier_to_errno(err);
    if (err)
        return err;

    /* 드라이버에게 실제 변경 위임 */
    err = ops->ndo_set_mac_address(dev, sa);
    if (err)
        return err;

    /* 변경 완료 알림 — Bridge FDB, ARP 캐시 등 갱신 트리거 */
    call_netdevice_notifiers(NETDEV_CHANGEADDR, dev);
    add_device_randomness(dev->dev_addr, dev->addr_len);
    return 0;
}

MAC 주소 수신 필터링

NIC는 기본적으로 자신의 MAC 주소와 일치하는 프레임만 수신합니다. 커널은 ndo_set_rx_mode 콜백을 통해 NIC의 수신 필터를 동적으로 제어합니다.

수신 모드 비교

수신 필터 업데이트 경로

/* net/core/dev.c — __dev_set_rx_mode() */
void __dev_set_rx_mode(struct net_device *dev)
{
    const struct net_device_ops *ops = dev->netdev_ops;

    if (!(dev->flags & IFF_UP))
        return;

    if (!netif_device_present(dev))
        return;

    /* 드라이버에게 현재 유니캐스트/멀티캐스트 리스트와 플래그 전달 */
    if (ops->ndo_set_rx_mode)
        ops->ndo_set_rx_mode(dev);
}

/* 드라이버 구현 예시 (ixgbe) — 유니캐스트/멀티캐스트 필터 프로그래밍 */
/* 1. dev->uc 리스트의 MAC들을 RAR(Receive Address Register)에 기록
   2. dev->mc 리스트의 MAC들을 MTA(Multicast Table Array) 해시에 기록
   3. 리스트가 HW 용량 초과 시 IFF_PROMISC 또는 IFF_ALLMULTI로 폴백 */

ARP와 Neighbor 서브시스템

IP 패킷을 전송하려면 먼저 다음 홉(next-hop)의 MAC 주소를 알아야 합니다. IPv4에서는 ARP(Address Resolution Protocol), IPv6에서는 NDP(Neighbor Discovery Protocol)가 이 역할을 수행합니다. 커널은 이를 Neighbor 서브시스템으로 통합 추상화합니다.

Neighbor 서브시스템 주요 구조체

/* include/net/neighbour.h — struct neighbour */
struct neighbour {
    struct neighbour __rcu *next;  /* 해시 체인 */
    struct neigh_table    *tbl;    /* arp_tbl 또는 nd_tbl */
    struct net_device     *dev;    /* 연결된 인터페이스 */
    unsigned long          updated;/* 마지막 갱신 시각 */
    u8                     nud_state; /* NUD_REACHABLE, NUD_STALE 등 */
    u8                     ha[ALIGN(MAX_ADDR_LEN, sizeof(unsigned long))];
                                   /* ↑ 해석된 하드웨어(MAC) 주소 */
    struct sk_buff_head    arp_queue; /* 해석 대기 중인 패킷 큐 */
    const struct neigh_ops *ops;   /* arp_generic_ops 등 */
    /* ... */
};

/* ARP 테이블 전역 인스턴스 */
struct neigh_table arp_tbl = {
    .family     = AF_INET,
    .key_len    = 4,           /* IPv4: 4바이트 키 */
    .hash       = arp_hash,
    .id         = "arp_cache",
    .gc_interval = 30 * HZ,   /* 가비지 컬렉션 주기: 30초 */
    /* ... */
};

ARP 관련 sysctl 튜닝 파라미터

Neighbor 상태 머신 (NUD States)

커널의 Neighbor 서브시스템은 각 이웃 항목을 유한 상태 머신으로 관리합니다. 상태 전이에 따라 ARP 재확인, 에이징, 가비지 컬렉션이 자동으로 수행됩니다.

Gratuitous ARP와 Proxy ARP

ARP에는 일반적인 해석 외에 두 가지 특수 동작이 있습니다.

# Gratuitous ARP 전송 (MAC 변경 후 네트워크에 알림)
arping -U -I eth0 192.168.1.10   # ARP Request 형태
arping -A -I eth0 192.168.1.10   # ARP Reply 형태

# Proxy ARP 활성화 (특정 인터페이스)
sysctl -w net.ipv4.conf.eth0.proxy_arp=1

# Gratuitous ARP 수락 정책
sysctl -w net.ipv4.conf.all.arp_accept=1   # GARP로 새 이웃 항목 생성 허용
sysctl -w net.ipv4.conf.all.arp_accept=0   # 기존 항목 갱신만 허용 (기본값)

IPv6 Neighbor Discovery (NDP)

IPv6에서는 ARP 대신 NDP(Neighbor Discovery Protocol)가 MAC 주소 해석을 담당합니다. NDP는 ICMPv6 위에서 동작하며, 주소 해석뿐 아니라 라우터 발견, 중복 주소 감지(DAD), 자동 주소 구성(SLAAC) 등 IPv4 ARP보다 훨씬 넓은 범위의 기능을 수행합니다.

ICMPv6 NS/NA 메시지와 커널 함수

NDP의 핵심은 NS(Neighbor Solicitation)와 NA(Neighbor Advertisement) 메시지입니다. NS는 "이 IPv6 주소의 MAC은 무엇인가?"를 묻고, NA가 응답합니다.

DAD (Duplicate Address Detection)

IPv6 인터페이스가 주소를 사용하기 전에, 해당 주소가 네트워크에 이미 존재하는지 확인하는 과정입니다. 커널은 타겟을 자신의 주소로 설정한 NS를 Solicited-Node 멀티캐스트 그룹으로 전송하고, 지정된 시간 내에 NA 응답이 없으면 주소를 확정합니다.

# DAD 관련 sysctl
# DAD 시도 횟수 (0=DAD 비활성화, 1=기본)
sysctl -w net.ipv6.conf.eth0.dad_transmits=1

# DAD 실패 시 주소를 tentative 상태로 유지하는 대신 제거
sysctl -w net.ipv6.conf.eth0.accept_dad=1

# DAD 진행 중인 주소 확인 (tentative 플래그)
ip -6 addr show dev eth0 tentative

# 강화된 DAD (RFC 7527): 루프백 감지
sysctl -w net.ipv6.conf.eth0.enhanced_dad=1

SLAAC + EUI-64 자동 구성

SLAAC(Stateless Address Autoconfiguration)은 라우터가 RA로 공지한 네트워크 프리픽스(64비트)에 호스트가 자체 생성한 인터페이스 ID(64비트)를 결합하여 전체 128비트 IPv6 주소를 만듭니다. 전통적인 EUI-64 방식은 MAC 주소를 기반으로 인터페이스 ID를 생성합니다.

EUI-64 변환 과정:
  MAC:   AA:BB:CC:DD:EE:FF  (48비트)
       ↓ 중간에 FF:FE 삽입
  EUI-64: AA:BB:CC:FF:FE:DD:EE:FF  (64비트)
       ↓ 7번째 비트(U/L bit) 반전
  IID:   A8:BB:CC:FF:FE:DD:EE:FF

  프리픽스(RA): 2001:db8:1::/64
  최종 주소:    2001:db8:1::a8bb:ccff:fedd:eeff/64

Bridge FDB와 MAC 학습

리눅스 브리지는 물리적 이더넷 스위치처럼 MAC 주소를 학습하여 포트 간 프레임을 효율적으로 전달합니다. 이 학습 결과를 저장하는 테이블이 FDB(Forwarding Database)입니다.

FDB 주요 구조체와 함수

/* net/bridge/br_fdb.c — FDB 엔트리 */
struct net_bridge_fdb_entry {
    struct rhash_head       rhnode;    /* 해시 테이블 노드 */
    struct net_bridge_port  *dst;      /* 학습된 포트 */
    unsigned long           updated;   /* 마지막 갱신 jiffies */
    unsigned long           used;      /* 마지막 사용 jiffies */
    mac_addr                addr;      /* MAC 주소 */
    __u16                   vlan_id;   /* VLAN ID (VLAN 필터링 시) */
    unsigned char           is_local:1,  /* 브리지 자체 MAC */
                            is_static:1, /* 정적 FDB 항목 */
                            added_by_user:1;
    /* ... */
};

/* FDB 에이징: 기본 300초 (5분) 후 동적 항목 만료 */
/* bridge fdb show / bridge fdb add 로 정적 항목 관리 */

FDB 운영 명령

# FDB 테이블 조회
bridge fdb show br br0

# 정적 FDB 항목 추가 (특정 MAC → 특정 포트 고정)
bridge fdb add AA:BB:CC:DD:EE:FF dev eth0 master static

# 정적 항목 삭제
bridge fdb del AA:BB:CC:DD:EE:FF dev eth0 master

# 에이징 시간 변경 (기본 300초)
ip link set br0 type bridge ageing_time 600

대규모 FDB 테이블 관리와 튜닝

클라우드 및 데이터센터 환경에서는 브리지 하나에 수천~수만 개의 MAC 항목이 학습될 수 있습니다. FDB 해시 테이블의 크기, 에이징 정책, VLAN 필터링 설정이 성능에 직접적인 영향을 미칩니다.

# 대규모 FDB 환경 튜닝 스크립트
BRIDGE=br0

# 해시 테이블 확대 (항목 수 대비 충분한 버킷)
echo 4096 > /sys/class/net/$BRIDGE/bridge/hash_max
echo 16   > /sys/class/net/$BRIDGE/bridge/hash_elasticity

# 에이징 시간 단축 (오래된 항목 빠르게 제거)
ip link set $BRIDGE type bridge ageing_time 120

# VLAN 필터링 활성화 (멀티테넌트 분리)
ip link set $BRIDGE type bridge vlan_filtering 1

# 멀티캐스트 스누핑 활성화
ip link set $BRIDGE type bridge mcast_snooping 1

# FDB 항목 수 모니터링
bridge fdb show br $BRIDGE | wc -l

# GC(Garbage Collection) 주기 관련 커널 파라미터
sysctl -w net.ipv4.neigh.default.gc_interval=30
sysctl -w net.ipv4.neigh.default.gc_stale_time=60

# 실시간 FDB 변경 모니터링
bridge monitor fdb

가상 디바이스와 MAC 할당

가상화와 컨테이너 환경에서는 하나의 물리 NIC 위에 여러 가상 인터페이스가 생성되며, 각각 고유한 MAC 주소가 필요합니다. 리눅스 커널은 다양한 가상 네트워크 디바이스를 제공합니다.

가상 디바이스별 MAC 할당 방식

macvlan 동작 모드와 MAC 처리

# macvlan 생성 (로컬 관리 MAC 자동 할당)
ip link add macvlan0 link eth0 type macvlan mode bridge

# 특정 MAC 지정
ip link add macvlan1 link eth0 address 02:42:AC:11:00:01 type macvlan mode bridge

# veth pair 생성 (컨테이너 연결용)
ip link add veth-host type veth peer name veth-ns
# 양쪽 모두 자동으로 랜덤 로컬 MAC 할당됨 (U/L bit = 1)

macvlan 모드별 트래픽 경로

Bonding/Teaming MAC 동작

Linux bonding(bond0)과 teaming(team0)은 여러 물리 NIC를 하나의 논리 인터페이스로 묶습니다. 본딩 모드에 따라 슬레이브 NIC들의 MAC 주소 관리 방식이 완전히 다르므로, 모드별 동작을 정확히 이해해야 합니다.

fail_over_mac 정책 (active-backup 모드 전용)

# bonding 생성 (802.3ad LACP 모드)
ip link add bond0 type bond mode 802.3ad

# LACP 파라미터 설정
ip link set bond0 type bond \
  lacp_rate fast \
  xmit_hash_policy layer3+4 \
  miimon 100

# 슬레이브 추가 (슬레이브 MAC → bond0 MAC으로 통일됨)
ip link set eth0 master bond0
ip link set eth1 master bond0
ip link set bond0 up

# MAC 확인 — 모든 슬레이브가 동일 MAC
ip link show bond0
ip link show eth0
ip link show eth1

# active-backup + fail_over_mac=active 설정
ip link add bond1 type bond mode active-backup
ip link set bond1 type bond fail_over_mac active
ip link set eth2 master bond1
ip link set eth3 master bond1
ip link set bond1 up

# teaming 드라이버 (대안)
ip link add team0 type team
teamdctl team0 config dump

SR-IOV와 VF MAC 관리

SR-IOV(Single Root I/O Virtualization)는 하나의 물리 NIC(PF)에서 여러 가상 기능(VF)을 생성하여 각각 독립적인 MAC 주소와 TX/RX 큐를 가지게 합니다. VM이나 컨테이너에 VF를 직접 할당(passthrough)하면 소프트웨어 브리지 오버헤드 없이 네이티브에 가까운 성능을 얻습니다.

PF/VF MAC 관리 체계

# VF 생성 (예: ixgbe NIC에서 4개 VF)
echo 4 > /sys/class/net/eth0/device/sriov_numvfs

# VF에 MAC 주소 할당 (PF 관리자 권한)
ip link set eth0 vf 0 mac 02:00:00:00:00:01
ip link set eth0 vf 1 mac 02:00:00:00:00:02

# VF의 MAC 스푸핑 방지 활성화
ip link set eth0 vf 0 spoofchk on

# VF VLAN 태깅
ip link set eth0 vf 0 vlan 100

# VF 상태 확인
ip link show eth0
# → vf 0 MAC 02:00:00:00:00:01, spoof checking on, link-state auto, vlan 100

MAC 보안 위협과 방어

MAC 주소는 L2 수준에서 신뢰를 기반으로 동작하기 때문에 다양한 공격에 취약합니다. 리눅스 커널과 네트워크 인프라에서 제공하는 방어 메커니즘을 이해하는 것이 중요합니다.

ARP Spoofing 공격 원리

ARP는 인증 메커니즘이 없어, 누구든 위조된 ARP Reply를 전송할 수 있습니다. 공격자가 "게이트웨이의 IP는 내 MAC이야"라는 위조 ARP Reply를 지속 전송하면, 피해자의 ARP 캐시가 오염되어 모든 외부 트래픽이 공격자를 경유합니다 (MITM).

# ARP Spoofing 탐지: 동일 IP에 대해 MAC이 계속 변경되는지 확인
ip neigh show | grep -i "192.168.1.1"
# STALE/REACHABLE 상태에서 MAC이 자주 바뀌면 의심

# arptables로 정적 ARP 바인딩 (방어)
arp -s 192.168.1.1 AA:BB:CC:DD:EE:FF

# nftables로 특정 포트의 ARP 응답 제한 (Linux Bridge 방어)
nft add rule bridge filter forward ether type arp arp operation reply \
    arp saddr ip 192.168.1.1 arp saddr ether != AA:BB:CC:DD:EE:FF drop

MAC Flooding 공격과 방어

공격자가 임의의 MAC 주소를 대량으로 전송하면 스위치/브리지의 FDB 테이블이 포화되어, 학습되지 않은 프레임을 모든 포트로 플러딩합니다. 이를 통해 공격자는 다른 포트의 트래픽을 엿볼 수 있습니다.

# Linux Bridge: 포트당 FDB 학습 수 제한
bridge link set dev eth0 learning_limit 100

# Bridge FDB 크기 제한 (전체)
ip link set br0 type bridge fdb_max_learned 4096

# ebtables로 특정 포트의 출발지 MAC 화이트리스트
ebtables -A FORWARD -i eth0 -s ! 00:1A:2B:3C:4D:5E -j DROP

리눅스 커널의 MAC 보안 기능 요약

실전 방어 규칙: ebtables / nftables / eBPF

L2 수준의 MAC 기반 보안은 커널의 브리지 넷필터(ebtables), nftables bridge 패밀리, eBPF tc-bpf 프로그램으로 구현합니다. 각각의 특성과 사용 시나리오가 다르므로 환경에 맞는 도구를 선택합니다.

ebtables: ARP Spoofing 방어

# ARP Spoofing 방어: 특정 포트에서 허용된 MAC만 ARP Reply 가능
ebtables -A FORWARD -p ARP --arp-op Reply \
  --arp-mac-src ! AA:BB:CC:DD:EE:FF -i eth1 -j DROP

# 알려지지 않은 소스 MAC 차단 (화이트리스트 방식)
ebtables -N ALLOWED_MACS
ebtables -A ALLOWED_MACS -s 00:11:22:33:44:55 -j RETURN
ebtables -A ALLOWED_MACS -s 00:11:22:33:44:66 -j RETURN
ebtables -A ALLOWED_MACS -j DROP

# FORWARD/INPUT 체인에 적용
ebtables -A FORWARD -i eth1 -j ALLOWED_MACS
ebtables -A INPUT -i eth1 -j ALLOWED_MACS

# MAC-IP 바인딩 (ARP 정적 검증)
ebtables -A FORWARD -p ARP --arp-ip-src 192.168.1.100 \
  --arp-mac-src ! 00:11:22:33:44:55 -j DROP

nftables: bridge 패밀리 MAC 필터링

# nftables bridge 패밀리로 L2 필터링 (nft 0.9+)
nft add table bridge filter
nft add chain bridge filter forward \
  '{ type filter hook forward priority 0; policy accept; }'

# 특정 소스 MAC 차단
nft add rule bridge filter forward \
  ether saddr AA:BB:CC:DD:EE:FF drop

# VLAN 100에서만 특정 MAC 허용
nft add rule bridge filter forward \
  vlan id 100 ether saddr != { 00:11:22:33:44:55, 00:11:22:33:44:66 } drop

# ARP Reply에서 MAC-IP 바인딩 검증
nft add rule bridge filter forward \
  arp operation reply \
  arp saddr ether != 00:11:22:33:44:55 \
  arp saddr ip 192.168.1.100 \
  drop

# 규칙 목록 확인
nft list table bridge filter

eBPF tc-bpf: 프로그래밍 가능 MAC 필터

/* tc-bpf MAC 필터 예시 (tc ingress에서 허용 MAC만 통과) */
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_endian.h>

/* 허용 MAC 목록을 담는 해시 맵 */
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 256);
    __type(key, __u8[ETH_ALEN]);   /* 6바이트 MAC */
    __type(value, __u32);          /* 1=허용 */
} allowed_macs SEC(".maps");

SEC("tc")
int mac_filter(struct __sk_buff *skb)
{
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    /* 이더넷 헤더 바운드 체크 */
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end)
        return TC_ACT_SHOT;

    /* 소스 MAC을 맵에서 조회 */
    __u32 *val = bpf_map_lookup_elem(&allowed_macs, eth->h_source);
    if (!val)
        return TC_ACT_SHOT;  /* 미등록 MAC → 드롭 */

    return TC_ACT_OK;        /* 허용된 MAC → 통과 */
}

char _license[] SEC("license") = "GPL";

# eBPF 프로그램 컴파일 및 적용
clang -O2 -target bpf -c mac_filter.c -o mac_filter.o

# tc ingress에 부착
tc qdisc add dev br0 clsact
tc filter add dev br0 ingress bpf da obj mac_filter.o sec tc

# 허용 MAC 등록 (bpftool 사용)
bpftool map update name allowed_macs \
  key hex 00 11 22 33 44 55 value hex 01 00 00 00

# 필터 상태 확인
tc filter show dev br0 ingress

MACsec (IEEE 802.1AE)

MACsec(Media Access Control Security)은 IEEE 802.1AE 표준으로 정의된 L2 홉 바이 홉 암호화 프로토콜입니다. 이더넷 프레임 단위로 기밀성(AES-GCM 암호화)과 무결성(ICV 검증)을 제공하며, IPsec이 L3 이상에서 동작하는 것과 달리 MACsec은 L2에서 직접 보호합니다.

리눅스 MACsec 설정

# MACsec 인터페이스 생성 (AES-GCM-128 암호화)
ip link add link eth0 macsec0 type macsec encrypt on

# 수신 SC 및 SA 설정 (상대방의 SCI와 키)
ip macsec add macsec0 rx port 1 address 00:11:22:33:44:55
ip macsec add macsec0 rx port 1 address 00:11:22:33:44:55 sa 0 \
  pn 1 on key 00 \
  aaaabbbbccccddddeeeeffffaaaabbbb

# 송신 SA 설정 (자신의 키)
ip macsec add macsec0 tx sa 0 pn 1 on key 01 \
  11112222333344445555666677778888

# 인터페이스 활성화
ip link set macsec0 up
ip addr add 192.168.100.1/24 dev macsec0

# MACsec 상태 확인
ip macsec show

# AES-GCM-256 사용 (더 강한 암호화)
ip link add link eth0 macsec1 type macsec \
  encrypt on cipher gcm-aes-256

Random MAC과 프라이버시

MAC 주소는 디바이스를 추적하는 데 사용될 수 있어, 최신 운영체제와 디바이스들은 MAC 주소 랜덤화(MAC Address Randomization)를 적극 도입하고 있습니다.

MAC 랜덤화 유형

/* include/linux/netdevice.h — addr_assign_type 값 */
#define NET_ADDR_PERM       0   /* EEPROM/NIC 펌웨어 영구 주소 */
#define NET_ADDR_RANDOM     1   /* 커널이 랜덤 생성 */
#define NET_ADDR_STOLEN     2   /* 다른 디바이스에서 복사 */
#define NET_ADDR_SET        3   /* 사용자가 수동 설정 */

/* eth_hw_addr_random() — 드라이버가 EEPROM MAC이 없을 때 호출 */
void eth_hw_addr_random(struct net_device *dev)
{
    u8 addr[ETH_ALEN];
    eth_random_addr(addr);          /* 랜덤 + 로컬 유니캐스트 보장 */
    __dev_addr_set(dev, addr, ETH_ALEN);
    dev->addr_assign_type = NET_ADDR_RANDOM;
}

실전 디버깅과 도구

MAC 주소 관련 주요 명령

tcpdump로 MAC 수준 분석

# 특정 MAC에서 오는 프레임만 캡처
tcpdump -i eth0 ether src 00:1a:2b:3c:4d:5e -nn

# 특정 MAC으로 가는 프레임만 캡처
tcpdump -i eth0 ether dst ff:ff:ff:ff:ff:ff -nn

# ARP 패킷만 캡처 (MAC 해석 과정 관찰)
tcpdump -i eth0 arp -nn -e
# -e 옵션: 이더넷 헤더(MAC 주소) 출력

# VLAN 태그 포함 프레임 캡처
tcpdump -i eth0 vlan -nn -e

MAC 관련 트러블슈팅 체크리스트

커널 tracepoint를 이용한 MAC 이벤트 추적

# Neighbor 이벤트 추적 (ARP 학습/만료)
echo 1 > /sys/kernel/debug/tracing/events/neigh/neigh_update/enable
cat /sys/kernel/debug/tracing/trace_pipe

# Bridge FDB 이벤트 추적
echo 1 > /sys/kernel/debug/tracing/events/bridge/fdb_delete/enable
echo 1 > /sys/kernel/debug/tracing/events/bridge/br_fdb_update/enable
cat /sys/kernel/debug/tracing/trace_pipe

# NET_DEVICE 이벤트 (MAC 변경 포함) perf 추적
perf trace -e 'net:*' -- sleep 5

OUI 레지스트리와 주요 벤더

IEEE는 OUI(Organizationally Unique Identifier)를 제조사에 할당하고 공개 레지스트리를 유지합니다. MAC 주소의 상위 3바이트를 보면 디바이스 제조사를 식별할 수 있습니다.

주요 벤더 OUI 예시

커널 소스 주요 경로

관련 문서