Qual prática ajuda a proteger uma rede contra ataques de VLAN-hopping?

Atribuir todas as portas de acesso a VLANs diferentes da VLAN nativa é uma prática fundamental para mitigar ataques de VLAN-hopping, como o double-tagging. Quando portas de acesso são configuradas na VLAN nativa (geralmente a VLAN 1 por padrão), um atacante pode injetar frames com duas tags de VLAN, fazendo com que o switch remova a primeira tag (a da VLAN nativa) e encaminhe o tráfego para a VLAN especificada na segunda tag, acessando assim uma VLAN diferente da sua. Ao usar uma VLAN nativa não utilizada ou uma VLAN de gerenciamento separada para portas trunk, e garantir que as portas de acesso não estejam nessa VLAN, essa vulnerabilidade é significativamente reduzida. As outras opções são menos eficazes ou abordam problemas diferentes: A segurança de porta em VLANs voltadas para a internet é importante, mas não impede diretamente o VLAN-hopping interno. A inspeção ARP dinâmica (DAI) protege contra ataques de spoofing de ARP, não de VLAN-hopping. Uma ACL pode restringir o tráfego entre VLANs, mas não impede o método de um atacante de pular entre elas.