VLAN-hopping
En attack där en angripare på ett VLAN lyckas skicka trafik in i ett annat VLAN — och därmed kringgår den segmentering som skulle hålla dem åtskilda. Två huvudmetoder: switch-spoofing och double tagging.
Switch-spoofing: angriparens dator låtsas vara en switch och förhandlar fram en trunk (via DTP, Dynamic Trunking Protocol) → får då tillgång till alla VLAN på trunken. Motmedel: stäng av DTP, sätt accessportar hårt till "access mode". Double tagging: angriparen lägger två 802.1Q-taggar på ramen; den första (native VLAN) skalas av första switchen, den andra bär ramen vidare in i mål-VLAN:et. Motmedel: använd inte native VLAN för någon riktig trafik. Vinst för angriparen: kringgå L2-segmentering, nå annars isolerade segment. Försvar: disablea DTP, byt bort VLAN 1, dedikera ett oanvänt native VLAN. En klassisk anledning till att VLAN-säkerhet kräver omsorg. Hör ihop med double tagging och native VLAN.