VLANホッピング

VLANホッピング とは、トランク機能を悪用して本来はアクセス出来ないVLANにアクセスするレイヤ2レベルの攻撃である^[1]。これにより、VLAN上のネットワークリソースに不正にアクセス出来る。エクスプロイトの一つである。攻撃手法は「DTPによるVLANホッピング」と、「ダブルタグによるVLANホッピング」に大別される。

解説

DTPによるVLANホッピング: 一般ユーザに開放しているアクセスポートをDTPによって不正にトランクポートに変更させて、全てのVLANと通信可能にする攻撃。これを防ぐ手段として、DTP（英語版）の無効化がある。

ダブルタグによるVLANホッピング

VLANタグを2重に付けて、異なるVLANにアクセスする攻撃。これはネイティブVLANがタグを付けないことを悪用している。これを防ぐ手段として、以下のいずれかを設定するとよい。

①ネイティブVLANでもタグが付く設定にする - （config）#vlan dot1q native

②ネイティブVLANの変更 - （config-if）#switchport trunk native vlan <VLAN番号>

③スイッチ内のVLANにACL（VACLと呼ぶ）を適用する^[2]

参考

^ VLANホッピング
^ <VLAN>

[1] VLANホッピング

[2] <VLAN>

[1]

[2]