Dispositivos sin suplicante y la omisión por MAC

La omisión de autenticación por MAC (MAB, MAC Authentication Bypass) es un mecanismo de los fabricantes, no una parte de 802.1X: cuando el equipo no responde a la pregunta de identidad, el conmutador toma la dirección MAC que ve en sus tramas y pregunta al servidor si esa dirección está registrada.

La MAC no es un secreto: viaja en claro en cada trama, está impresa en la etiqueta del equipo y cualquier dispositivo capaz de enviar tramas puede declarar una distinta a la suya. Por eso no demuestra quién es: dice quién afirma ser. La consecuencia de diseño es que MAB debe dar poco acceso y no considerarse equivalente a una autenticación fuerte.

Una buena regla de MAB identifica a un dispositivo concreto: su MAC exacta, en el registro, con dueño. Una regla que acepta todas las direcciones que empiezan igual acepta a cualquier equipo del mismo fabricante, registrado o no; en cuanto alguien pone un dispositivo nuevo, entra sin que nadie lo haya aprobado.

Lee reglas_mab y cruza con autenticaciones_mab: la columna regla dice con cuál se aceptó cada MAC.

Cada dispositivo registrado tiene un puerto_habitual: una cámara de la portería está en el puerto de la portería. Si el servidor acepta por la MAC sin mirar el puerto, la misma MAC aparecida en otro lugar y a otra hora pasa como si nada. Es una señal que se debe preguntar al dueño: puede ser un traslado no avisado o puede ser una dirección copiada.

Compara en autenticaciones_mab los puertos de cada MAC con los de dispositivos_mab.

Todo dispositivo registrado necesita una persona o un área que responda por él: que sepa si sigue en uso, si se movió y si debe retirarse. Un registro sin dueño crece sin que nadie lo depure y acaba siendo un listado de direcciones que se aceptan por costumbre.

Cuenta los dispositivos de dispositivos_mab cuyo dueño es sin dueño.

No se elimina MAB, porque las impresoras y las cámaras existen, sino que se acota: una VLAN solo para ese tipo de dispositivos, una lista de acceso que permita únicamente lo que necesitan, el puerto asociado a la MAC cuando el equipo no se mueve, el perfilado del tipo de dispositivo y un dueño por registro.