Attaque et atténuation du saut VLAN

VLAN est un réseau local virtuel dans lequel un réseau physique est divisé en un groupe d'appareils pour les interconnecter. VLAN est normalement utilisé pour segmenter un domaine de diffusion singulière dans de nombreux domaines de diffusion dans les réseaux de couche 2 commutés. Pour communiquer entre deux réseaux VLAN, un appareil de couche 3 est requis (généralement un routeur) de sorte que tous les paquets communiqués entre les deux VLAN doivent passer par le 3ème périphérique de couche OSI.

Dans ce type de réseau, chaque utilisateur reçoit un port d'accès afin de séparer le trafic de VLAN les uns des autres, je.e., Un appareil attaché à un port d'accès n'a accès qu'au trafic de ce VLAN spécifique car chaque port d'accès de commutateur est connecté à un VLAN particulier. Après avoir appris à connaître les bases de ce qu'est un Vlan.

Comment fonctionne l'attaque de saute

L'attaque de saut VLAN est un type d'attaque de réseau dans laquelle un attaquant essaie d'accéder à un réseau VLAN en lui envoyant des paquets via un autre réseau VLAN avec lequel l'attaquant est connecté. Dans ce type d'attaque, l'attaquant essaie de manière malveillante d'accéder au trafic provenant d'autres VLAN dans un réseau ou peut envoyer du trafic à d'autres VLAN dans ce réseau, auquel il n'a pas d'accès légal. Dans la plupart des cas, l'attaquant exploite uniquement les 2 couches qui segmentent divers hôtes.

L'article donne un bref aperçu de l'attaque de saut VLAN, de ses types et de la façon de l'empêcher avec une détection en temps opportun.

Types d'attaque de saut de VLAN

Attaque de saut VLAN commutée VLAN:

Dans une attaque VLAN à l'usurpation VLAN, l'attaquant essaie d'imiter un interrupteur pour exploiter un interrupteur légitime en le faisant pour établir un lien de jonction entre l'appareil de l'attaquant et le commutateur. Un lien de tronc est un lien de deux commutateurs ou un commutateur et un routeur. La liaison du coffre transporte le trafic entre les commutateurs liés ou les commutateurs et routeurs liés et maintient les données VLAN.

Les cadres de données qui passent du lien de tronc sont tagués pour être identifiés par le VLAN auquel appartient le cadre de données. Par conséquent, un lien de tronc porte le trafic de nombreux VLAN. Étant donné que les paquets de chaque VLAN sont autorisés à traverser un lien de jonction, immédiatement après l'établissement du lien de tronc, l'attaquant accède au trafic à partir de tous les VLAN sur le réseau.

Cette attaque n'est possible que si un attaquant est lié à une interface de commutation dont la configuration est définie dans l'un des éléments suivants, «dynamique souhaitable","Auto dynamique," ou "tronc»Modes. Cela permet à l'attaquant de former un lien de coffre entre leur appareil et de commutation en générant un message DTP (Dynamic Trunking Protocol; ils sont utilisés pour créer des liens de tronc entre deux commutateurs dynamiquement) Message de leur ordinateur.

Attaque de saut VLAN à double étiquette:

Une attaque de saut de VLAN à double tournage peut également être appelée doublé Attaque de saut de vlan. Ces types d'attaques ne fonctionnent que si l'attaquant est connecté à une interface connectée à l'interface du port de tronc / lien.

L'attaque à double étiquetage du VLAN se produit lorsque l'attaquant modifie le cadre d'origine pour ajouter deux balises, tout comme la plupart des commutateurs ne retirent que la balise extérieure, ils ne peuvent identifier que la balise extérieure, et la balise intérieure est préservée. La balise extérieure est liée au VLAN personnel de l'attaquant, tandis que la balise intérieure est liée au VLAN de la victime.

Au début, le cadre à double marquage de l'attaquant est malicieusement conçu par malice, et le commutateur ouvre le cadre de données. L'étiquette extérieure de la trame de données est ensuite identifiée, appartenant au VLAN spécifique de l'attaquant auquel le lien s'associe. Après cela, il transmet le cadre à chaque lien VLAN natif, et également, une réplique du cadre est envoyée au lien de tronc qui fait son chemin vers le commutateur suivant.

Le commutateur suivant ouvre ensuite le cadre, identifie la deuxième étiquette du cadre de données comme le VLAN de la victime, puis le transmet au VLAN de la victime. Finalement, l'attaquant aura accès au trafic provenant du VLAN de la victime. L'attaque à double marquage n'est que unidirectionnelle, et il est impossible de limiter le paquet de retour.

Atténuation des attaques de saut VLAN

L'atténuation des attaques VLAN commutées VLAN:

La configuration des ports d'accès ne doit être définie sur aucun des modes suivants: «dynamique souhaitable", "dYnamic Auto", ou "tronc".

Définissez manuellement la configuration de tous les ports d'accès et désactivez changer Négociation du mode port.

• switch1 (config) # interface gigabit Ethernet 0/3
• Switch1 (config-if) # switchport Mode Access
• Switch1 (config-if) # exit

Définissez manuellement la configuration de tous les ports du coffre et désactivez le protocole de jonction dynamique sur tous les ports du coffre avec mode de commutateur en mode port ou en mode de port de commutateur.

• Switch1 (config) # interface gigabitethernet 0/4
• Switch1 (config-if) # switchport trunk encapsulation dot1q
• Switch1 (config-if) # Switchport Mode Trunk
• Switch1 (config-if) # Port de commutation non pas

Mettez toutes les interfaces inutilisées dans un VLAN, puis arrêtez toutes les interfaces inutilisées.

Double étiquetage VLAN ATTRATION ATTENTION:

Ne mettez aucun hôte dans le réseau sur le VLAN par défaut.

Créez un VLAN inutilisé pour le définir et l'utiliser comme VLAN natif pour le port de coffre. De même, faites-le pour tous les ports du coffre; Le VLAN attribué n'est utilisé que pour le VLAN natif.

• Switch1 (config) # interface gigabitethernet 0/4
• Switch1 (config-if) # switchport trunk natif vlan 400

Conclusion

Cette attaque permet aux attaquants malveillants d'accéder illégalement aux réseaux. Les attaquants peuvent ensuite éliminer les mots de passe, les informations personnelles ou d'autres données protégées. De même, ils peuvent également installer des logiciels malveillants et des logiciels espions, répandre les chevaux, les vers et les virus, ou modifier et même effacer des informations importantes. L'attaquant peut facilement renifler tout le trafic provenant du réseau pour l'utiliser à des fins malveillantes. Il peut également perturber le trafic avec des cadres inutiles dans une certaine mesure.

Pour conclure, on peut dire hors de tout doute qu'une attaque de saut de VLAN est une énorme menace de sécurité. Afin d'atténuer ces types d'attaques, cet article donne au lecteur la sécurité et les mesures préventives. De même, il existe un besoin constant de mesures de sécurité supplémentaires et plus avancées qui devraient être ajoutées aux réseaux basés sur VLAN et améliorer les segments de réseau en tant que zones de sécurité.