Saut de VLAN (VLAN hopping)

Définition

Le saut de VLAN, ou VLAN hopping, désigne une attaque permettant à un poste connecté sur un segment réseau donné d'accéder à un autre VLAN auquel il n'est normalement pas autorisé, contournant ainsi la segmentation logique censée isoler les différents domaines de diffusion d'un réseau commuté. La technique la plus courante exploite une mauvaise configuration de la négociation automatique de trunk sur un port de commutateur, où un attaquant simulant les trames de négociation d'un équipement de commutation légitime parvient à faire basculer son port en mode trunk, lui donnant accès au trafic de l'ensemble des VLAN transportés sur ce lien plutôt qu'au seul VLAN auquel il aurait dû être limité. Une variante repose sur le double marquage 802.1Q, exploitant les commutateurs qui ne traitent qu'une seule couche d'étiquetage VLAN, permettant à une trame doublement marquée de franchir la frontière d'un VLAN vers un autre en aveugle, sans retour possible mais suffisant pour une injection unidirectionnelle. Ces techniques exploitent des défauts de configuration désormais bien documentés et évitables. Pour les équipes défensives, la contre-mesure consiste à désactiver explicitement la négociation automatique de trunk sur tous les ports destinés aux équipements terminaux, à assigner un VLAN natif dédié et inutilisé distinct du VLAN de production, et à auditer régulièrement la configuration des commutateurs pour détecter tout port en mode trunk non justifié.