VLAN Hopping

Was ist VLAN Hopping?

VLAN Hopping ist eine Angriffstechnik in Ethernet-Netzwerken, mit der ein Angreifer Datenpakete in ein VLAN senden oder aus einem VLAN empfangen kann, für das er keine Berechtigung besitzt. Der Angriff überwindet die logische Trennung von VLANs, die durch die Switch-Konfiguration vorgegeben ist. VLAN Hopping zielt darauf ab, Datenverkehr aus einem fremden VLAN mitzulesen oder bösartige Pakete in ein geschütztes VLAN einzuschleusen. Grundsätzlich existieren zwei technische Methoden für VLAN Hopping: Switch Spoofing und Double Tagging. Beide setzen an Schwachstellen der Trunk-Verarbeitung an und sind nur unter bestimmten Voraussetzungen erfolgreich.

Grundlage: Wie VLANs getrennt werden

VLANs teilen ein physisches Netz in mehrere logisch getrennte Broadcast-Domänen. Ein Switch stellt sicher, dass Datenpakete eines VLANs nur an Ports weitergeleitet werden, die diesem VLAN zugeordnet sind. Der Datenverkehr zwischen Switches läuft über Trunk-Verbindungen, auf denen die Pakete aller erlaubten VLANs mit einer zusätzlichen VLAN-Kennzeichnung, dem 802.1Q-Tag, versehen werden. Der empfangende Switch wertet dieses Tag aus und leitet das Paket ausschließlich an die entsprechenden Ports weiter. VLAN Hopping unterläuft genau diese Trennung, indem es entweder vortäuscht, ein Switch und damit ein Trunk-Partner zu sein, oder indem es die Tag-Logik durch doppelte Markierung austrickst.

Switch Spoofing: Vortäuschen eines Trunk-Partners

Beim Switch Spoofing gibt sich der Angreifer als legitimer Switch aus, um eine Trunk-Verbindung mit einem verwalteten Switch auszuhandeln. Voraussetzung ist, dass auf dem angegriffenen Switch-Port das Dynamic Trunking Protocol (DTP) aktiviert ist und der Port sich im Modus Dynamic Auto oder Dynamic Desirable befindet. Der Angreifer schließt einen eigenen Switch oder einen Laptop mit entsprechender Software an und sendet DTP-Nachrichten, die einen Trunk-Wunsch signalisieren. Der Switch willigt ein, und der Port wird zum Trunk. Ab diesem Zeitpunkt empfängt der Angreifer den gesamten Datenverkehr aller VLANs, die über diesen Trunk geleitet werden. Er kann nun beliebige Pakete in jedes VLAN einspeisen und umgekehrt Daten aus beliebigen VLANs mitlesen.

Switch Spoofing erfordert physischen Zugang zu einem Switch-Port und einen Switch oder ein Gerät, das DTP beherrscht. Es funktioniert nur, wenn der Switch DTP verwendet und den Port dynamisch als Trunk aushandeln lässt. Statisch als Access-Port konfigurierte Ports ohne DTP sind gegen diese Angriffsform immun.

Double Tagging: Austricksen der 802.1Q-Logik

Double Tagging nutzt eine Schwachstelle in der Art, wie Trunk-Ports 802.1Q-Tags verarbeiten. Der Angriff erfolgt nicht über eine Aushandlung, sondern durch das Einschleusen doppelt markierter Ethernet-Frames. Der Angreifer benötigt einen Port, der im selben nativen VLAN liegt wie der Trunk des angegriffenen Switches. Das native VLAN ist dasjenige VLAN, in dem Datenpakete auf einem Trunk ohne 802.1Q-Tag übertragen werden.

Der Angreifer erzeugt ein Paket und versieht es mit zwei 802.1Q-Tags. Das äußere Tag trägt die VLAN-ID des nativen VLANs des Trunks, das innere Tag die VLAN-ID des Ziel-VLANs, in das das Paket eindringen soll. Er sendet das Paket von seinem Access-Port im nativen VLAN aus. Der erste Switch empfängt es, erkennt das äußere Tag als zum nativen VLAN gehörig, entfernt es und leitet das Paket über den Trunk weiter. Auf dem Trunk werden Pakete des nativen VLANs ohne Tag übertragen, sodass das nun freigelegte innere Tag vom zweiten Switch wie ein ganz normales 802.1Q-Tag interpretiert wird. Der zweite Switch leitet das Paket in das Ziel-VLAN weiter, obwohl der Angreifer selbst keinen Port in diesem VLAN besitzt. Double Tagging ist ein einseitiger Angriff; der Angreifer kann Pakete senden, aber nicht unmittelbar Antworten empfangen, da der Rückweg nicht symmetrisch funktioniert.

Voraussetzungen für VLAN Hopping

Beide Methoden setzen bestimmte Bedingungen voraus, die ein Angreifer für einen erfolgreichen VLAN Hop ausnutzen kann.

Switch Spoofing: Ein Switch-Port mit aktiviertem DTP im dynamischen Modus (Dynamic Auto oder Dynamic Desirable). Der Angreifer benötigt ein Gerät mit DTP-Fähigkeit und physischem Zugang zum Port.
Double Tagging: Ein Access-Port des Angreifers, der sich im nativen VLAN des Trunks befindet. Die native VLAN-ID darf nicht geändert worden sein, sondern muss dem Standardwert (VLAN 1) oder einem bekannten Wert entsprechen. Der Angreifer benötigt keinen Switch, ein einfacher Laptop mit der Fähigkeit, doppelt getaggte Frames zu erzeugen, genügt.

Abwehrmaßnahmen und Best Practices

VLAN Hopping lässt sich durch eine konsequent restriktive Switch-Konfiguration wirksam verhindern. Die wichtigsten Maßnahmen umfassen:

DTP deaktivieren: Jeder Port, der keine Trunk-Verbindung zu einem anderen Switch benötigt, ist als statischer Access-Port zu konfigurieren. DTP sollte mit dem Befehl switchport nonegotiate vollständig ausgeschaltet werden. Ungenutzte Ports gehören in einen Shutdown-Zustand und einem unbenutzten VLAN zugewiesen.
Native VLAN ändern: Das native VLAN sollte auf allen Trunks auf eine ungenutzte VLAN-ID geändert werden. Die Verwendung von VLAN 1 als natives VLAN ist ein erhebliches Sicherheitsrisiko. Ein ungenutztes VLAN, das keinerlei Access-Ports enthält, neutralisiert die Double-Tagging-Angriffsfläche.
Tagging des nativen VLANs erzwingen: Auf modernen Switches kann mit dem Befehl vlan dot1q tag native das Tagging für das native VLAN auf Trunk-Ports aktiviert werden. Pakete des nativen VLANs werden dann ebenfalls mit einem 802.1Q-Tag versehen, sodass das Entfernen des äußeren Tags und die Interpretation eines inneren Tags nicht mehr möglich sind.
Unbenutzte VLANs löschen: VLANs, die nicht benötigt werden, sollten aus der VLAN-Datenbank entfernt werden, um die Angriffsfläche zu minimieren.
Port Security und 802.1X einsetzen: Der physische Zugang zu Switch-Ports sollte durch Port Security (Begrenzung der MAC-Adressen pro Port) und durch Authentifizierung nach IEEE 802.1X abgesichert werden, um unautorisierte Geräte am Einstecken zu hindern.

Zusammenfassung

VLAN Hopping ist eine ernstzunehmende Bedrohung für die Sicherheit von VLAN-basierten Netzwerken. Die beiden Angriffsmethoden Switch Spoofing und Double Tagging setzen an verschiedenen Punkten der Switch-Trunk-Logik an und erlauben einem Angreifer das Eindringen in geschützte VLANs. Beide Angriffe sind durch eine konsequente Härtung der Switch-Port-Konfiguration, die Deaktivierung von DTP und die sichere Konfiguration des nativen VLANs wirksam zu unterbinden. Ein modernes, nach Best Practices administriertes Netzwerk bietet keinen Angriffsvektor für VLAN Hopping.