VLAN 跳跃.

针对交换机的攻击,通过滥用 trunk 协商或 802.1Q 双标签,使主机能够发送或接收原本不属于其所在 VLAN 的帧。 它属于网络安全的 攻击与威胁 分类。

针对交换机的攻击,通过滥用 trunk 协商或 802.1Q 双标签,使主机能够发送或接收原本不属于其所在 VLAN 的帧。

VLAN 跳跃滥用 802.1Q 标签提供的二层隔离。主要有两种变体:交换机欺骗(switch spoofing),攻击者通过 DTP 协商将端口变为 trunk,从而访问所有允许的 VLAN;以及双标签(double tagging),攻击者发送带两个 802.1Q 头部的帧——外层为 trunk 的本地 VLAN,内层为受害 VLAN,第一台交换机剥离外层标签后将帧转发到内层 VLAN。通常仅能单向通信,但可用于侦察或 DoS。防御措施:关闭 DTP(switchport mode access、switchport nonegotiate)、使用专用且未占用的 native VLAN、对 native VLAN 显式打标签,并避免用户端口处于 trunk 模式。

针对 VLAN 跳跃 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 交换机欺骗, 802.1Q 双标签, Q-in-Q 跳跃。