Pengantar

Virtual Local Area Network atau VLAN digunakan untuk memisahkan perangkat dalam jaringan secara logis. Dengan VLAN, administrator dapat memisahkan jaringan berdasarkan fungsi, departemen, maupun tingkat keamanan.

Namun, VLAN bukanlah batas keamanan yang sempurna. Salah satu ancaman pada jaringan Layer 2 adalah VLAN Hopping, yaitu teknik yang memungkinkan traffic dari satu VLAN mencapai VLAN lain tanpa melalui jalur komunikasi yang seharusnya.

Cisco menjelaskan bahwa VLAN hopping dapat terjadi melalui beberapa teknik, termasuk switch spoofing dan double tagging, yang memanfaatkan karakteristik trunking serta VLAN tagging pada jaringan Ethernet (dikutip dari: https://www.cisco.com/c/en/us/td/docs/solutions/Verticals/EttF/EttFDIG.pdf).

Apa Itu VLAN Hopping?

VLAN Hopping adalah serangan jaringan yang berusaha melewati batas segmentasi VLAN sehingga perangkat pada satu VLAN dapat mengirim traffic ke VLAN lain.

Secara sederhana:

Client VLAN 10 → VLAN Hopping → VLAN 20 → Target

Dalam kondisi normal, perangkat pada VLAN 10 seharusnya tidak dapat berkomunikasi langsung dengan VLAN 20 pada Layer 2.

Jika segmentasi VLAN berhasil dilewati, attacker dapat memperoleh akses ke resource yang seharusnya berada di jaringan berbeda.

baca juga : XML External Entity (XXE) Injection: Mengenal Serangan pada Parser XML dan Cara Mencegahnya

Bagaimana VLAN Hopping Terjadi?

Secara umum, terdapat dua metode yang sering dibahas dalam konteks VLAN hopping.

Switch Spoofing

Switch spoofing terjadi ketika perangkat attacker mencoba membuat switch menganggap dirinya sebagai perangkat jaringan yang mampu melakukan trunking.

Jika port yang terhubung ke perangkat pengguna masih memungkinkan negosiasi trunk secara tidak aman, attacker berpotensi mendapatkan akses ke traffic dari beberapa VLAN.

Cisco menjelaskan bahwa port yang menggunakan DTP dan dikonfigurasi secara tidak tepat dapat menjadi risiko karena perangkat yang mengirimkan paket DTP palsu dapat memicu terbentuknya trunk

Karena trunk membawa traffic dari beberapa VLAN, kondisi tersebut dapat memperluas akses yang seharusnya hanya dimiliki oleh perangkat jaringan yang dipercaya.

Double Tagging

Metode lainnya adalah double tagging.

Pada teknik ini, frame dapat dibuat memiliki dua VLAN tag 802.1Q.

Secara konseptual:

Outer VLAN Tag + Inner VLAN Tag + Data

Switch pertama dapat memproses atau menghapus tag bagian luar dalam kondisi tertentu. Tag kedua kemudian dapat diproses oleh switch berikutnya.

Akibatnya, frame dapat diarahkan menuju VLAN target.

Cisco menjelaskan bahwa serangan double-encapsulated 802.1Q dapat memanfaatkan cara switch memproses tag dan native VLAN pada trunk (dikutip dari: https://www.cisco.com/c/dam/en_us/about/ac123/ac114/downloads/packet/packet/jan03/pdfs/jan03.pdf).

Mengapa VLAN Hopping Berbahaya?

Melewati Segmentasi Jaringan

VLAN biasanya digunakan untuk memisahkan jaringan pengguna, server, guest, management, dan perangkat lainnya.

Jika segmentasi tersebut berhasil dilewati, attacker dapat mencoba mengakses resource yang seharusnya tidak tersedia dari VLAN asal.

Memperluas Permukaan Serangan

Akses ke VLAN lain dapat memberikan kesempatan bagi attacker untuk menemukan service, perangkat, atau sistem yang sebelumnya tidak dapat dijangkau.

Mengganggu Prinsip Network Segmentation

Segmentasi merupakan salah satu komponen penting dalam keamanan jaringan.

Karena itu, VLAN hopping dapat mengurangi efektivitas segmentasi apabila konfigurasi Layer 2 tidak dilakukan dengan benar.

Cara Mencegah VLAN Hopping

Nonaktifkan Trunking pada Port Pengguna

Port yang digunakan oleh komputer, printer, kamera, atau perangkat pengguna umumnya tidak membutuhkan trunking.

Gunakan konfigurasi access port secara eksplisit sehingga perangkat pengguna tidak dapat melakukan negosiasi trunk secara sembarangan.

baca juga : GraphQL Security: Mengenal Celah Serangan dan Cara Mengamankan API Modern

Nonaktifkan DTP Jika Tidak Dibutuhkan

Dynamic Trunking Protocol dapat membantu perangkat Cisco melakukan negosiasi trunk.

Namun, pada port yang seharusnya hanya digunakan untuk perangkat pengguna, fitur tersebut sebaiknya tidak dibiarkan aktif tanpa kebutuhan.

Prinsipnya sederhana:

Port pengguna → Access

Port antar-switch → Trunk

Gunakan Native VLAN Khusus

Native VLAN pada trunk sebaiknya tidak digunakan sebagai VLAN pengguna.

Cisco merekomendasikan penggunaan VLAN yang tidak digunakan oleh end-user sebagai native VLAN untuk mengurangi risiko double-tagging

Contohnya:

Native VLAN → VLAN 999

VLAN 999 tidak digunakan untuk:

  • User.
  • Server.
  • Management.
  • Guest.
  • Perangkat produksi.

Hindari Penggunaan VLAN 1 untuk User

VLAN 1 merupakan default VLAN yang dikenal luas pada perangkat jaringan.

Cisco menyarankan agar VLAN 1 tidak digunakan sebagai VLAN data atau voice pada konfigurasi tertentu karena dapat meningkatkan risiko keamanan dan kesalahan konfigurasi (dikutip dari: https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3850/software/release/16-1/best_practices_guide/BP_Cat3850/BP_access_interface.html).

Batasi VLAN yang Diizinkan pada Trunk

Tidak semua VLAN harus melewati setiap trunk.

Jika sebuah trunk hanya membutuhkan VLAN 10 dan VLAN 20, VLAN lainnya tidak perlu diizinkan.

Konsepnya:

Trunk A → VLAN 10, 20

Bukan:

Trunk A → VLAN 1-4094

Pembatasan VLAN pada trunk membantu mengurangi traffic yang tidak diperlukan dan memperkecil kemungkinan penyalahgunaan segmentasi.

Checklist Keamanan VLAN

Sebelum jaringan digunakan dalam production, administrator dapat melakukan pemeriksaan berikut:

  1. Port pengguna dikonfigurasi sebagai access port.
  2. Trunk hanya digunakan pada port yang memang membutuhkannya.
  3. DTP dinonaktifkan pada port pengguna jika tidak diperlukan.
  4. Native VLAN menggunakan VLAN khusus yang tidak digunakan user.
  5. VLAN 1 tidak digunakan sebagai VLAN user.
  6. VLAN yang diizinkan pada trunk dibatasi.
  7. Port yang tidak digunakan dinonaktifkan.
  8. Port security diterapkan sesuai kebutuhan.
  9. Konfigurasi switch diaudit secara berkala.
  10. Traffic Layer 2 dipantau untuk aktivitas yang tidak normal.

VLAN Hopping dan Network Segmentation

VLAN sebaiknya tidak dianggap sebagai satu-satunya mekanisme keamanan.

Untuk jaringan yang membutuhkan tingkat keamanan lebih tinggi, segmentasi VLAN dapat dikombinasikan dengan:

  • Firewall.
  • Access Control List (ACL).
  • Network Access Control (NAC).
  • Port security.
  • Monitoring.
  • IDS/IPS.
  • Zero Trust Network Access.

Dengan pendekatan berlapis, keberhasilan satu serangan pada Layer 2 tidak otomatis memberikan akses penuh ke seluruh jaringan.

baca juga : Attribute-Based Access Control (ABAC): Cara Kerja dan Perannya dalam Keamanan Akses Modern

Kesimpulan

VLAN Hopping merupakan serangan pada Layer 2 yang berusaha melewati batas segmentasi VLAN. Dua teknik yang umum dibahas adalah switch spoofing dan double tagging.

Risiko tersebut dapat dikurangi dengan konfigurasi switch yang tepat. Beberapa langkah penting meliputi menonaktifkan trunking pada port pengguna, membatasi DTP, menggunakan native VLAN khusus, membatasi VLAN pada trunk, dan menghindari penggunaan VLAN 1 untuk jaringan user.

VLAN memang sangat berguna untuk segmentasi jaringan, tetapi keamanan tidak boleh berhenti pada konfigurasi VLAN. Kombinasikan segmentasi dengan ACL, firewall, monitoring, dan kontrol akses lainnya agar pertahanan jaringan menjadi lebih kuat.

Related Posts: