jackbean Asked: 2010-03-05 09:08:22 +0800 CST2010-03-05 09:08:22 +0800 CST 2010-03-05 09:08:22 +0800 CST 绕过具有已知 MAC 地址的 VLAN 772 我正在评估使用第 2 层交换机和 VLAN 对我们的网络进行子网划分。据我所知，VLAN 只适用于广播域，如果我知道同一交换机上远程计算机的 MAC 地址，我可以通过将 MAC 地址映射到我自己的 ARP 表来完全绕过 VLAN 安全性。那是对的吗？ 谢谢 mac vlan security arp subnet 5 个回答 Voted Best Answer Scott Lundberg 2010-03-05T10:15:26+08:002010-03-05T10:15:26+08:00 你不正确。当一个交换机创建一个 VLAN 时，实际上就像您创建了两个独立的网络，这些网络与它们自己的交换机相连。一个人无法使用直接 MAC 地址绕过 VLAN，就像如果您知道他的 MAC 地址，您就无法访问街对面的邻居一样。 将其视为两个物理上分离的网络。 Jason Antman 2010-03-05T10:14:46+08:002010-03-05T10:14:46+08:00 不，不是。这在一些最早的 VLAN 实现中（20 年前......）可能是可能的，但在任何现代交换机上，一旦端口被标记为 802.1q VLAN，就是这样。交换引擎不允许 VLAN 跳跃。当然，如果您的配置不安全（例如，主机在多个网络上具有接口，启用了 IP 转发...），您可能会遇到一些安全问题。 我在一所相当大的大学工作（我们有两个 B 级，并且仍然需要大部分 A 级用于 NAT 客户端）。我们的网络在 Cisco、Foundry 和 Juniper 硬件上运行，并且所有内容都是 VLAN 化的。我们从来没有遇到过任何问题，无论是安全性还是其他问题。 Vatine 2010-03-12T05:05:14+08:002010-03-12T05:05:14+08:00 有一些技术可以绕过 VLAN 标记，但它们仅适用于某些交换机和某些配置。如果您的 Cisco 交换机在中继上具有 VLAN 1，则您可以将数据包发送到另一个 VLAN 中的机器（但不会得到任何返回），前提是您发送带有目标 VLAN 作为 VLAN 标记的 .1q 封装帧。 CodeDog 2012-02-24T11:24:57+08:002012-02-24T11:24:57+08:00 vlan 跳跃有两种技术。通过使路由器认为您是另一台路由器来利用自动中继，然后您可以访问所有 vlan。人为地创建双标记数据包并利用向后可比性跳到目标 vlan。 Joel Coel 2012-02-24T11:33:26+08:002012-02-24T11:33:26+08:00 我可以通过将 MAC 地址映射到我自己的 ARP 表来完全绕过 VLAN 安全性。那是对的吗？ 通常，不，您将无法执行此操作。 更新您的 arp 表意味着发送到远程计算机的数据包会到达交换机。但是，交换机仍然不会对它们做任何事情，因为交换机上的端口仍然是不同网络的一部分。通过 arp 更新，数据包甚至不会离开您的计算机。更新意味着数据包可以让它走得更远一点，但仍然不会到达目的地。 如果您想为 vlan 成员创建一个例外，我见过的最好的方法是在您的网络核心使用第 3 层交换机（现在它实际上是一个路由器），它还支持 ACL（访问控制列表）用于路由安全。您使用两个 VLAN 之间的路由设置此交换机，使用默认拒绝规则设置 ACL，并将您的例外作为允许规则添加到拒绝规则之前。
你不正确。当一个交换机创建一个 VLAN 时，实际上就像您创建了两个独立的网络，这些网络与它们自己的交换机相连。一个人无法使用直接 MAC 地址绕过 VLAN，就像如果您知道他的 MAC 地址，您就无法访问街对面的邻居一样。
将其视为两个物理上分离的网络。
不，不是。这在一些最早的 VLAN 实现中（20 年前......）可能是可能的，但在任何现代交换机上，一旦端口被标记为 802.1q VLAN，就是这样。交换引擎不允许 VLAN 跳跃。当然，如果您的配置不安全（例如，主机在多个网络上具有接口，启用了 IP 转发...），您可能会遇到一些安全问题。
我在一所相当大的大学工作（我们有两个 B 级，并且仍然需要大部分 A 级用于 NAT 客户端）。我们的网络在 Cisco、Foundry 和 Juniper 硬件上运行，并且所有内容都是 VLAN 化的。我们从来没有遇到过任何问题，无论是安全性还是其他问题。
有一些技术可以绕过 VLAN 标记，但它们仅适用于某些交换机和某些配置。如果您的 Cisco 交换机在中继上具有 VLAN 1，则您可以将数据包发送到另一个 VLAN 中的机器（但不会得到任何返回），前提是您发送带有目标 VLAN 作为 VLAN 标记的 .1q 封装帧。
vlan 跳跃有两种技术。通过使路由器认为您是另一台路由器来利用自动中继，然后您可以访问所有 vlan。人为地创建双标记数据包并利用向后可比性跳到目标 vlan。
通常，不，您将无法执行此操作。
更新您的 arp 表意味着发送到远程计算机的数据包会到达交换机。但是，交换机仍然不会对它们做任何事情，因为交换机上的端口仍然是不同网络的一部分。通过 arp 更新，数据包甚至不会离开您的计算机。更新意味着数据包可以让它走得更远一点，但仍然不会到达目的地。
如果您想为 vlan 成员创建一个例外，我见过的最好的方法是在您的网络核心使用第 3 层交换机（现在它实际上是一个路由器），它还支持 ACL（访问控制列表）用于路由安全。您使用两个 VLAN 之间的路由设置此交换机，使用默认拒绝规则设置 ACL，并将您的例外作为允许规则添加到拒绝规则之前。