VLAN hopping.

Attaque sur switch permettant à un hôte d'envoyer ou recevoir des trames dans une VLAN à laquelle il ne devrait pas appartenir, en abusant de la négociation trunk ou du double tag 802.1Q. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Attaque sur switch permettant à un hôte d'envoyer ou recevoir des trames dans une VLAN à laquelle il ne devrait pas appartenir, en abusant de la négociation trunk ou du double tag 802.1Q.

Le VLAN hopping détourne la segmentation Layer 2 fournie par les tags 802.1Q. Deux variantes : le switch spoofing, où l'attaquant négocie un trunk DTP et obtient l'accès à toutes les VLAN autorisées ; le double tagging, où il émet une trame avec deux entêtes 802.1Q — externe à la VLAN native du trunk, interne à la VLAN cible — de sorte que le premier switch retire la balise externe et achemine la trame vers la VLAN interne. Le trafic est généralement unidirectionnel mais suffit à la reconnaissance ou au DoS. Défenses : désactiver DTP (switchport mode access, switchport nonegotiate), utiliser une VLAN native dédiée et inutilisée, tagger explicitement la native, éviter les trunks sur les ports utilisateurs.

Les défenses contre VLAN hopping combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Switch spoofing, Double tag 802.1Q, Q-in-Q hopping.