VLAN hopping
¿Qué es VLAN hopping?
VLAN hoppingAtaque a switches que permite a un host enviar o recibir tramas en una VLAN a la que no debería pertenecer, abusando de la negociación de trunking o del doble etiquetado 802.1Q.
VLAN hopping abusa de la segmentación de capa 2 basada en etiquetas 802.1Q. Hay dos variantes principales: switch spoofing, donde el atacante negocia un trunk DTP con el switch y obtiene acceso a todas las VLAN permitidas; y double tagging, donde envía una trama con dos cabeceras 802.1Q — la externa con la VLAN nativa del trunk, la interna con la VLAN víctima — de modo que el primer switch retira la externa y reenvía a la VLAN interna. Suele ser tráfico unidireccional pero permite reconocimiento o DoS. Defensas: desactivar DTP (switchport mode access, switchport nonegotiate), usar una VLAN nativa dedicada y sin uso, etiquetar explícitamente la nativa y evitar trunks en puertos de usuario.
● Ejemplos
- 01
Ataque DTP con Yersinia que negocia un trunk en un puerto de acceso y alcanza la VLAN de gestión.
- 02
Enviar un ICMP con doble etiqueta para hacer ping a un servidor en otra VLAN a través de la VLAN nativa.
● Preguntas frecuentes
¿Qué es VLAN hopping?
Ataque a switches que permite a un host enviar o recibir tramas en una VLAN a la que no debería pertenecer, abusando de la negociación de trunking o del doble etiquetado 802.1Q. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa VLAN hopping?
Ataque a switches que permite a un host enviar o recibir tramas en una VLAN a la que no debería pertenecer, abusando de la negociación de trunking o del doble etiquetado 802.1Q.
¿Cómo defenderse de VLAN hopping?
Las defensas contra VLAN hopping combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para VLAN hopping?
Nombres alternativos comunes: Switch spoofing, Doble etiquetado 802.1Q, Q-in-Q hopping.