👋 Привет, сетевой друг!

Сегодня о VLAN Hopping - атаке, которая позволяет перескочить из одной VLAN в другую и обойти сегментацию.

🟣Отключение DTP и жёсткий access-режим (Cisco): большинство атак строится на попытке договориться со свитчем о trunk-соединении. Если порт не должен быть trunk - он не должен вести переговоры.

interface Gi1/0/10
 switchport mode access
 switchport nonegotiate
 switchport access vlan 10

DTP отключён, порт работает строго как access. Переключиться в trunk извне не получится.

🟣Жёсткая фиксация native VLAN на trunk-портах: double-tagging использует несовпадение native VLAN. Если trunk настроен корректно и native VLAN не используется для пользовательского трафика, атака теряет смысл.

interface Gi1/0/1
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

Native VLAN выносится в отдельный, неиспользуемый сегмент, а список разрешённых VLAN ограничивается явно.

🟣Запрет неиспользуемых VLAN на аплинках: чем меньше разрешённых VLAN на trunk, тем меньше поверхность атаки. Не стоит оставлять all по умолчанию, только те VLAN, которые реально нужны.

🟣Отключение пользовательских портов по умолчанию: свободные интерфейсы переводятся в shutdown и помещаются в «чёрную» VLAN.

interface range Gi1/0/20-48
 switchport mode access
 switchport access vlan 999
 shutdown

Физический доступ - частый старт атаки. Неактивный порт нулевая точка входа.

🟣Изоляция управления: management VLAN не должна совпадать с пользовательскими сегментами. Доступ к управлению только через ACL и из доверенной сети.

Серверная Админа | Белый Хакер | #network