VLAN hopping.

Ataque a switches que permite a un host enviar o recibir tramas en una VLAN a la que no debería pertenecer, abusando de la negociación de trunking o del doble etiquetado 802.1Q. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Ataque a switches que permite a un host enviar o recibir tramas en una VLAN a la que no debería pertenecer, abusando de la negociación de trunking o del doble etiquetado 802.1Q.

VLAN hopping abusa de la segmentación de capa 2 basada en etiquetas 802.1Q. Hay dos variantes principales: switch spoofing, donde el atacante negocia un trunk DTP con el switch y obtiene acceso a todas las VLAN permitidas; y double tagging, donde envía una trama con dos cabeceras 802.1Q — la externa con la VLAN nativa del trunk, la interna con la VLAN víctima — de modo que el primer switch retira la externa y reenvía a la VLAN interna. Suele ser tráfico unidireccional pero permite reconocimiento o DoS. Defensas: desactivar DTP (switchport mode access, switchport nonegotiate), usar una VLAN nativa dedicada y sin uso, etiquetar explícitamente la nativa y evitar trunks en puertos de usuario.

Las defensas contra VLAN hopping combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Switch spoofing, Doble etiquetado 802.1Q, Q-in-Q hopping.