VLAN-хопинг.

Атака на коммутаторы, позволяющая хосту отправлять или получать кадры в чужом VLAN за счёт злоупотребления согласованием транка или двойной меткой 802.1Q. Относится к категории Атаки и угрозы в кибербезопасности.

Атака на коммутаторы, позволяющая хосту отправлять или получать кадры в чужом VLAN за счёт злоупотребления согласованием транка или двойной меткой 802.1Q.

VLAN-хопинг использует L2-сегментацию на основе тегов 802.1Q. Существует два основных варианта: switch spoofing, при котором злоумышленник через DTP договаривается о транке и получает доступ ко всем разрешённым VLAN; и двойная маркировка, при которой отправляется кадр с двумя заголовками 802.1Q — внешний совпадает с native VLAN транка, внутренний указывает на VLAN жертвы. Первый коммутатор снимает внешний тег и пересылает кадр по транку во внутренний VLAN. Обычно трафик однонаправленный, но достаточен для разведки или DoS. Защита: отключение DTP (switchport mode access, switchport nonegotiate), выделенный неиспользуемый native VLAN, явная маркировка native, отказ от транков на пользовательских портах.

Защита от VLAN-хопинг обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Switch spoofing, Двойная маркировка 802.1Q, Q-in-Q хопинг.