VLAN hopping saldırısı nedir? Switch spoofing ve double tagging nasıl çalışır ve nasıl önlenir?

VLAN hopping, saldırganın bulunduğu VLAN'dan, router/firewall'dan geçmeden başka bir VLAN'a trafik göndermesidir. İki yöntemi vardır.

1. Switch spoofing

• Saldırgan cihazı DTP (Dynamic Trunking Protocol) mesajları göndererek kendini switch gibi tanıtır.
• Port dynamic auto veya dynamic desirable modundaysa trunk kurulur ve saldırgan tüm VLAN'lara erişir.

2. Double tagging

• Saldırgan, native VLAN ile aynı VLAN'dadır ve çerçeveye iki 802.1Q etiketi ekler: dışta native VLAN, içte hedef VLAN.
• İlk switch dış etiketi söker ve çerçeveyi native VLAN olarak trunk'a etiketsiz gönderir. Çerçevede kalan iç etiketi okuyan ikinci switch, çerçeveyi hedef VLAN'a teslim eder.
• Tek yönlüdür, cevap dönmez; ama UDP tabanlı saldırılar veya DoS için yeterlidir.

Önlemler

interface range Gi1/0/1 - 46
 switchport mode access
 switchport nonegotiate        ! DTP'yi kapat
 switchport access vlan 10
!
interface Gi1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999      ! kullanılmayan bir VLAN
 switchport trunk allowed vlan 10,20,30
!
vlan dot1q tag native          ! native VLAN'ı da etiketle (destekleyen platformlarda)
!
interface range Gi1/0/40 - 46
 shutdown
 switchport access vlan 998    ! kullanılmayan portları park VLAN'ına al

• Kullanıcı portları her zaman statik access.
• Native VLAN, hiçbir kullanıcının bulunmadığı bir VLAN olmalı; VLAN 1 kullanılmamalı.
• Trunk'larda sadece gerekli VLAN'lara izin ver.
• Kullanılmayan portları kapat.