VLAN hopping.

Ataque a switches que permite a um host enviar ou receber tramas numa VLAN a que não deveria pertencer, abusando da negociação de trunk ou do duplo tag 802.1Q. Pertence à categoria Ataques e ameaças da cibersegurança.

Ataque a switches que permite a um host enviar ou receber tramas numa VLAN a que não deveria pertencer, abusando da negociação de trunk ou do duplo tag 802.1Q.

O VLAN hopping abusa da segmentação de camada 2 das tags 802.1Q. Há duas variantes: switch spoofing, em que o atacante negoceia um trunk DTP com o switch e ganha acesso a todas as VLAN permitidas; e double tagging, em que envia uma trama com dois cabeçalhos 802.1Q — externo com a VLAN nativa do trunk, interno com a VLAN-vítima — fazendo com que o primeiro switch remova o tag externo e encaminhe a trama pela VLAN interna. O tráfego costuma ser unidirecional, mas suficiente para reconhecimento ou DoS. Defesas: desativar DTP (switchport mode access, switchport nonegotiate), usar uma VLAN nativa dedicada e não utilizada, marcar explicitamente a nativa e evitar trunks em portas de utilizador.

As defesas contra VLAN hopping costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Switch spoofing, Duplo tag 802.1Q, Q-in-Q hopping.