Thắc mắc về VLAN Hopping và Native VLAN.

[nguyenduchoa]

Hi mọi người.

Mình đọc tìa liệu 642-812 Officical Certification Guide, trang 405 có đoạn viết
"When the local switch Catalyst A receives a doubly tagged frame, it decides to forward it out the trunk interface. Beacuse the first (outermost) tag has the same VLAN ID as the trunk's native VLAN, that tag is removed as the frame is sent over the trunk"

Đoạn này miêu tả về cách tấn công VLAN Hopping - các tấn công mà attacker dựa vào việc gói tin từ thuộc native VLAN có thể đi vào các VLAN khác.

Theo như đoạn này, thì gói tin khi đi qua cổng trunk sẽ được gỡ bỏ tag VLAN ID, chứ không phải là không được đóng gói. Vậy cho mình hỏi, khi một gói tin đi vào switch từ một cổng access mode, thì nó được đóng gói VLAN ID, và nếu là native vlan, thì khi chạy qua trunk, tag này sẽ được bỏ ra, hay là gói tin đó chạy đến cổng trunk thì switch mới xem xét có đóng tag (với vlan thường) và không đóng tag (với native vlan)?

Xin cảm ơn cả nhà.

[marriottvn]

khi attacker dùng vlan hopping thì frame sẽ đc tag trước khi gửi đi, ở đây frame sẽ có 2 tag, 1 tag là native vlan, tag còn lại là vlan mà attacker muốn đi đến.

Khi frame đến switch thì switch sẽ check và lọai bỏ tag thứ nhất vì đó là native vlan tag, tuy nhiên tag còn lại thì không bị remove, và điều này cho phép frame sẽ gửi đến vlan mà attacker đã tag từ ban đầu (trong tag thứ 2)

[duylinh]

Vậy cho mình hỏi, khi một gói tin đi vào switch từ một cổng access mode, thì nó được đóng gói VLAN ID, và nếu là native vlan, thì khi chạy qua trunk, tag này sẽ được bỏ ra, hay là gói tin đó chạy đến cổng trunk thì switch mới xem xét có đóng tag (với vlan thường) và không đóng tag (với native vlan)?

Xin cảm ơn cả nhà.

em có đọc được đoạn này trên cái chương trình ccna của cisco.
Remember that switches are layer 2 devices. They only use the Ethernet frame header information to forward packets. The frame header does not contain information about which VLAN the frame should belong to. Subsequently, when Ethernet frames are placed on a trunk they need additional information about the VLANs they belong to. This is accomplished by using the 802.1q encapsulation header. This header adds a tag to the original Ethernet frame specifying the VLAN for which the frame belongs to
- theo như câu trên thì cài tag nó chỉ được sử dụng khi được đặt trên trunk thôi bác ạ.

[marriottvn]

đúng rồi, bình thường thì access port đâu có tag vô frame, VLAN hopping thì attacker sẽ dùng tool để doubly tag vào frame

[nguyendanhson]

dear all ;
Các anh cho em hỏi,
em muốn demo về tấn công vlan hopping thì dùng tool nào, và có những phương pháp nào dùng để ngăn chặn tấn công vlan hopping

[dangquangminh]

bạn dùng Yersinia.

[phamminhtuan]

Chào bạn,

Xem trong đây để biết cách phòng chống

http://www.4shared.com/document/dkEvTg7J/layer_2_attack.html

http://vnpro.org/forum/archive/index.php/t-8447.html