네트워크 장비 진단 - VLAN Hopping(DTP) 진단
진단 시나리오
VLAN Hopping 공격 가능성 진단 (DTP 활성화, Trunk 오설정)
점검 결과
| 포트 | 모드 | Trunk 상태 | 평가 |
|---|
| Gi0/1 | Dynamic | 활성화 | 위험! |
| Gi0/2 | Trunk | 모든 VLAN | 위험! |
| Gi0/3 | Dynamic Desirable | 협상 중 | 위험! |
| Gi0/4 | Access | 비활성화 | 안전 |
Cisco 스위치 설정 분석
show vlan brief
show dtp status
show interface trunk
[현재 위험한 설정]
Interface Gi0/1:
switchport mode dynamic desirable
switchport trunk encapsulation dot1q
[DTP 활성화로 공격자의 trunk 협상 가능]
Interface Gi0/2:
switchport mode trunk
switchport trunk allowed vlan all
[모든 VLAN 트래픽 허용 - 과다 개방]
[VLAN Hopping 공격 흐름]
1. 공격자가 접속한 포트에서 DTP 패킷 송신
2. 스위치가 trunk로 협상 동의
3. 다른 VLAN의 트래픽 접근 가능
4. VLAN 간 통신 제어 우회
조치 가이드
- DTP 비활성화: switchport nonegotiate
- 포트 모드 지정: access 또는 trunk 명시
- Trunk 포트 제한: 필요한 VLAN만 허용
- Native VLAN 변경: VLAN 1 제외하고 별도 설정