MAC-adres

Wat is een MAC-adres?

Een MAC-adres (Media Access Control-adres) is een 48-bits identificatie van een netwerkinterface, waarmee apparaten elkaar binnen hetzelfde lokale netwerk op laag 2 (de datalinklaag) van het OSI-model adresseren. Elke Ethernet-poort, wifi-chip en Bluetooth-module heeft er minstens één. Fabrikanten branden het adres in tijdens de productie, maar software kan het overschrijven. In zowel IT- als OT-netwerken is het MAC-adres de basis voor het doorsturen van frames, het toekennen van IP-adressen en het herkennen van apparaten.

🧠 Hoe is een MAC-adres opgebouwd?

Een MAC-adres bestaat uit 6 bytes (48 bits), in de IEEE-terminologie een EUI-48. Het wordt geschreven als 12 hexadecimale cijfers in een van drie gangbare notaties: 00-1A-2B-3C-4D-5E (IEEE en Windows), 00:1A:2B:3C:4D:5E (Linux en de meeste PLC-tools) of 001a.2b3c.4d5e (Cisco).

Het adres valt uiteen in twee delen:

• Fabrikantdeel - een blok dat de IEEE Registration Authority aan een organisatie toewijst. Het bekendste is de OUI (Organizationally Unique Identifier) van 24 bits, de eerste 3 bytes.
• Apparaatdeel - de resterende bits, die de fabrikant zelf per interface uitdeelt.

Niet elke fabrikant krijgt een volledige OUI. De IEEE kent drie blokgroottes:

Twee bits in de eerste byte hebben een vaste betekenis:

• I/G-bit (minst significante bit) - 0 betekent een individueel adres (unicast), 1 een groepsadres (multicast). Het adres FF-FF-FF-FF-FF-FF is de broadcast naar alle apparaten in het segment.
• U/L-bit (tweede bit) - 0 betekent een wereldwijd uniek, door de fabrikant toegekend adres, 1 een lokaal beheerd adres dat software of een beheerder zelf heeft gekozen. Een tweede hexadecimaal cijfer 2, 6, A of E verraadt een lokaal beheerd unicastadres.

🔧 Hoe gebruiken netwerken het MAC-adres?

Elk Ethernet-frame begint met het doel-MAC-adres en daarna het bron-MAC-adres. Een switch leert uit het bronadres op welke poort een apparaat zit en zet dat in zijn MAC-adrestabel (CAM-tabel). Frames voor een bekend adres gaan alleen naar die ene poort; onbekende adressen en broadcasts gaan naar alle poorten in hetzelfde VLAN. Een vermelding verloopt standaard na 300 seconden zonder verkeer.

Andere protocollen bouwen erop voort:

• ARP koppelt een IPv4-adres aan een MAC-adres, zodat een apparaat weet naar welk laag-2-adres een pakket moet.
• DHCP en BOOTP herkennen de aanvrager aan zijn MAC-adres en kunnen daarmee een vast adres uitdelen (reservering).
• Een router vervangt bij elke hop de MAC-adressen in het frame; het IP-adres blijft gelijk. Een MAC-adres is daarom alleen zichtbaar binnen het eigen broadcastdomein.
• IPv6 kon de interface-ID vroeger afleiden uit het MAC-adres (modified EUI-64: FFFE in het midden, U/L-bit omgedraaid). Omdat dat apparaten wereldwijd volgbaar maakt, raden de RFC’s nu willekeurige of stabiele, niet-afgeleide interface-ID’s aan.

🔄 Wat is het verschil tussen een MAC-adres en een IP-adres?

🏭 Hoe worden MAC-adressen in industriële netwerken gebruikt?

In OT is het MAC-adres vaak de eerste identiteit van een nieuw apparaat. Een PLC, I/O-station of frequentieregelaar komt fabrieksnieuw zonder IP-adres en met alleen zijn MAC-adres op het typeplaatje.

• Inbedrijfname - IP-apparaten krijgen vaak via een BOOTP/DHCP-servertool een IP-adres op basis van hun MAC-adres. Bij PROFINET vindt het engineeringprogramma apparaten via het DCP-protocol op hun MAC-adres en geeft het ze een apparaatnaam en IP-adres.
• Meerdere adressen per apparaat - een PROFINET-apparaat heeft een MAC-adres voor de interface en daarnaast één per poort. De poortadressen gebruikt LLDP om buren en de netwerktopologie te herkennen.
• Vaste adressen - via BOOTP of DHCP-reserveringen houdt een apparaat na vervanging van de server hetzelfde IP-adres.
• Asset-inventaris - tools voor asset discovery en passieve monitoring lezen MAC-adressen uit het verkeer. Uit de OUI leiden ze de fabrikant af, wat de basis vormt van een asset-inventaris.
• Monitoring - via SNMP lezen beheertools de MAC-tabellen van switches uit, zodat u ziet welk apparaat op welke poort zit. Wijzigingen gaan via Syslog naar een SIEM.
• Draadloze netwerken - op wifi en in een gastnetwerk dient het MAC-adres voor registratie en tijdelijke toegang.

Bij vervanging van een defect apparaat verandert het MAC-adres. Wie IP-adressen strikt aan MAC-adressen koppelt, moet dat in de onderhoudsprocedure opnemen. Anders krijgt het nieuwe apparaat geen of een verkeerd adres.

🔐 Hoe veilig is identificatie op basis van een MAC-adres?

Een MAC-adres is geen geheim en geen bewijs van identiteit. Iedereen in hetzelfde segment ziet het en kan het met één commando nabootsen. Daarom geldt:

• MAC-spoofing - een aanvaller neemt het MAC-adres van een vertrouwd apparaat over en omzeilt zo filters. Bij ARP-spoofing koppelt hij zijn eigen MAC-adres aan het IP-adres van een ander apparaat om verkeer te onderscheppen.
• Port Security - beperk per switchpoort het aantal toegestane MAC-adressen (vaak één) en kies wat er bij overtreding gebeurt: verkeer weggooien, melden of de poort uitschakelen. MAC Binding legt de koppeling vast.
• MAC-filtering - een ACL op een switch of access point laat alleen bekende adressen toe. Een Firewall filtert meestal op laag 3 en 4 en ziet MAC-adressen alleen binnen het eigen segment.
• Sterkere authenticatie - combineer filtering met 802.1X. Voor apparaten zonder 802.1X-ondersteuning, zoals veel PLC’s, valt een NAC-oplossing terug op MAC Authentication Bypass. Dat is zwakker en moet worden aangevuld met monitoring.
• Laag-2-bescherming - DHCP Snooping en Dynamic ARP Inspection blokkeren valse DHCP-servers en vervalste ARP-berichten.
• Kleine broadcastdomeinen - VLAN’s en netwerksegmentatie beperken hoe ver broadcastverkeer zoals ARP en BOOTP reikt. Dat sluit aan bij de zones van IEC 62443.

🧱 Wat moet u weten over MAC-randomisatie en privacy?

Smartphones en laptops gebruiken steeds vaker een willekeurig MAC-adres. iOS gebruikt sinds versie 14 per wifinetwerk een privéadres, Android sinds versie 10 standaard een gerandomiseerd adres per netwerk, en Windows heeft een vergelijkbare optie. Die adressen hebben de U/L-bit op 1 staan.

Voor beheerders betekent dat:

• DHCP-reserveringen en MAC-filters op gastnetwerken werken niet meer betrouwbaar.
• Een asset-inventaris telt één telefoon soms als meerdere apparaten.
• Voor vaste OT-apparatuur speelt dit nauwelijks: PLC’s, HMI’s en switches gebruiken hun ingebrande adres.

MAC-adressen kunnen ook persoonsgegevens zijn onder de AVG. De Autoriteit Persoonsgegevens legde de gemeente Enschede in 2021 een boete van 600.000 euro op voor wifitracking in de binnenstad, waarbij MAC-adressen van passerende telefoons werden opgevangen. De rechtbank vernietigde die boete in 2024 en de Raad van State bevestigde dat in juli 2026, omdat de AP bij het opleggen van de boete onvoldoende had aangetoond dat de opgevangen gegevens in de praktijk tot personen herleidbaar waren. Het uitgangspunt van de AP blijft dat een MAC-adres in combinatie met tijd en locatie tot een persoon herleidbaar kan zijn.

❓ Veelgestelde vragen

Is een MAC-adres altijd uniek?

Een door de fabrikant toegekend MAC-adres is bedoeld als wereldwijd uniek, omdat de IEEE elk adresblok maar aan één organisatie toewijst. In de praktijk komen dubbele MAC-adressen toch voor, bijvoorbeeld bij gekloonde virtuele machines of goedkope hardware. Lokaal beheerde en willekeurige adressen zijn alleen binnen het eigen netwerk uniek.

Kan ik een MAC-adres wijzigen?

Ja, de meeste besturingssystemen en netwerkkaarten laten u het MAC-adres in software overschrijven. Het ingebrande adres op de hardware blijft bestaan, maar het apparaat gebruikt dan het nieuwe adres in zijn frames. Daarom is een MAC-adres geen betrouwbare vorm van authenticatie.

Hoe vind ik het MAC-adres van een apparaat?

Op Windows toont ipconfig /all of getmac het MAC-adres, op Linux ip link. Van een PLC staat het MAC-adres meestal op het typeplaatje en is het zichtbaar in de engineeringsoftware. In het netwerk vindt u het via de MAC-tabel van de switch, de ARP-tabel of een capture in Wireshark.

Kan ik aan een MAC-adres zien welke fabrikant het apparaat heeft gemaakt?

Ja, het fabrikantdeel van een MAC-adres staat in het openbare register van de IEEE Registration Authority. Netwerktools en asset-inventarisatietools zoeken die prefix automatisch op. Bij een lokaal beheerd of willekeurig MAC-adres werkt dat niet, omdat de prefix dan niet door de IEEE is toegewezen.

Gaat een MAC-adres mee over het internet?

Nee, een MAC-adres blijft binnen het lokale broadcastdomein. Elke router vervangt de MAC-adressen in het frame door die van zijn eigen uitgaande interface en het volgende apparaat. Alleen het IP-adres blijft van bron tot bestemming gelijk.

Is MAC-filtering genoeg om een OT-netwerk te beveiligen?

Nee, MAC-filtering houdt alleen toevallige of onwetende gebruikers buiten, omdat een aanvaller een toegestaan MAC-adres eenvoudig kan nabootsen. Gebruik MAC-filtering en port security als één laag naast 802.1X, netwerksegmentatie en monitoring. Zo past het in een aanpak van defense in depth.

📌 Samengevat

Het MAC-adres is het 48-bits laag-2-adres van een netwerkinterface: het werkt als een serienummer voor aflevering binnen het lokale netwerk, maar is niet geheim en niet altijd uniek. In industriële netwerken is het onmisbaar voor inbedrijfname, adressering en asset-inventaris. Voor toegangsbeheer en toegangscontrole is het alleen bruikbaar in combinatie met port security, 802.1X en monitoring.