ความปลอดภัยทางไซเบอร์: อธิบายการโจมตี VLAN Double Tagging (Hopping)

VLAN ใช้สำหรับการแบ่งส่วนแบบลอจิคัลเลเยอร์ 2 แต่ละ VLAN สร้างโดเมนการออกอากาศของตัวเอง การสื่อสารระหว่าง VLAN สามารถทำได้โดยเราเตอร์เท่านั้น เช่น สวิตช์เลเยอร์ 3 หรือเราเตอร์ที่กำหนดค่าด้วยอินเทอร์เฟซย่อย (เราเตอร์บนอะสติ๊ก) หรือการเชื่อมต่อ LAN หลายตัว

พอร์ต trunk เป็นพอร์ตสำหรับการสื่อสารระหว่างสวิตช์ และสำหรับการขนส่ง VLAN หลายรายการผ่านลิงก์ VLAN 1 เป็น VLAN เริ่มต้นบนสวิตช์ทั้งหมด จนถึงตอนนี้ดีมาก นี่ควรให้ภาพรวมโดยย่อของ VLAN ต่อไปนี้เป็นหัวข้อของหลักสูตร Cisco CCNA และ CCNP

พิจารณาสถานการณ์ต่อไปนี้ในสภาพแวดล้อม VLAN โดยที่ VLAN 10 เป็น Native VLAN สำหรับลิงก์ Trunk

สถานการณ์

คอมพิวเตอร์ที่มุมขวาล่างอยู่ใน VLAN 40 และการสื่อสารระหว่าง VLAN 10 และ VLAN 40 เป็นไปไม่ได้ แม้จะไม่ต้องการก็ตาม

โปรดจำไว้ว่า VLAN 10 ได้รับการกำหนดค่าเป็น Native VLAN โดยช่างเทคนิคเครือข่าย (ค่าเริ่มต้น: VLAN 1) ผู้โจมตีสามารถเข้าถึงสวิตช์พอร์ตซึ่งอยู่ใน VLAN 10

1. ผู้โจมตีเชื่อมต่อกับพอร์ตสวิตช์ใน VLAN 10 และใช้โปรแกรมเพื่อแก้ไขแพ็กเก็ตที่เขาต้องการส่งไปยังพีซีใน VLAN 40 รหัส VLAN สองรายการ ปรากฏในเฟรมแล้ว VLAN 10 และ VLAN 40

2. สวิตช์รับเฟรมและรับรู้ว่าแพ็กเก็ตนี้มาจากอุปกรณ์ VLAN 10 โดยแพ็กเก็ตทั้งหมดของ VLAN 10 (Native VLAN) จะไม่ถูกแท็ก เฟรมของ Native VLAN จะไม่ถูกแท็ก ดังนั้นสวิตช์ จะลบตัวระบุ VLAN 10 โดยเหลือเพียงรายการเดียว: VLAN 40 ซึ่งจะส่งต่อเฟรมไปยังสวิตช์ถัดไป

3. สวิตช์ถัดไปรับเฟรมด้วย VLAN ID 40 และส่งต่อไปยังคอมพิวเตอร์ใน VLAN 40 อย่างถูกต้อง

4. คอมพิวเตอร์ใน VLAN 40 รับเฟรม สิ่งนี้ไม่ควรเป็นไปได้ เนื่องจากผู้โจมตีไม่ได้อยู่ในเซ็กเมนต์ VLAN เดียวกันกับคอมพิวเตอร์

สิ่งนี้สามารถป้องกันได้อย่างไร?

ไม่ควรกำหนดพอร์ตการเข้าถึงให้กับ Native VLAN

หากผู้โจมตีไม่ได้อยู่ใน Native VLAN 10 แต่เช่นใน VLAN 20 สวิตช์จะไม่ลบรายการ VLAN แรก ซึ่งหมายความว่า VLAN 20 ยังคงเป็นรายการในเฟรมและผู้โจมตีสามารถสื่อสารกับอุปกรณ์ใน VLAN 20 ได้เท่านั้น

ลิงก์: http://www.ciscopress.com/articles/article.asp?p=2181837&seqNum=10