二層網路安全攻防：交換機五大經典漏洞攻擊原理與緩解方案

交換機作為區域網路核心轉發設備，其控制平面 (STP、VTP、DTP、CDP/LLDP) 與資料平面 (MAC 學習、VLAN 標記、佇列調度) 皆存在可被利用的攻擊面。本文深度剖析 VLAN Hopping、STP 攻擊、MAC Flooding、DHCP Spoofing、SPAN/RSPAN 竊聽 五大攻擊向量原理、實施手法與廠商無關的緩解策略。

攻擊一：VLAN Hopping (VLAN 跳躍) — 突破廣播域隔離

原理

• 利用 DTP (Dynamic Trunking Protocol, 思科私有) 協商機制，攻擊者偽裝成交換機發送 DTP 封包 (DTP Desirable)，誘導真實交換機將連接埠轉為 Trunk 模式 (802.1Q)。
• Trunk 建立後，所有 VLAN 流量 (帶 802.1Q Tag) 透過該埠轉發至攻擊者機器。
• 攻擊者再造偽造 802.1Q Tag 封包，注入目標 VLAN (如管理 VLAN、伺服器 VLAN)。

變體：Double Tagging (雙重標記)

• 攻擊者連接 Access Port (原生 VLAN = VLAN 10)，發送雙層 Tag 封包：外層 Tag = 原生 VLAN 10，內層 Tag = 目標 VLAN 20。
• 入口交換機剝離外層 Tag (視為原生 VLAN 未標記)，轉發至 Trunk 保留內層 Tag → 核心交換機解析內層 Tag 轉發至 VLAN 20。
• 需知曉原生 VLAN ID (預設常為 1 或 10)，單向攻擊 (回程路徑不通)。

緩解方案

• 所有 Access Port 關閉 DTP：switchport mode access (Cisco) / port link-type access (Huawei/H3C) + switchport nonegotiate / port trunk permit vlan none。
• 專用原生 VLAN：Trunk 原生 VLAN 設為專用未使用 VLAN (如 999)，非 1、非業務 VLAN。
• VLAN 1 禁用/隔離：管理流量、控制平面協議 (STP/VTP/CDP) 移出 VLAN 1，使用專用管理 VLAN。
• 啟用 802.1X / MAB：埠級認證，未認證裝置進入 Guest VLAN 或關閉埠。

攻擊二：STP 攻擊 (生成樹攻擊) — 竊取根橋、引發重收斂、製造迴路

原理

• STP 選根依據 Bridge ID = Priority (預設 32768) + MAC，數值越小越優。
• 攻擊者連接雙埠至不同交換機，發送極低 Priority (如 0) 的偽造 BPDU，宣稱自己為根橋。
• 全網重新收斂：埠角色重選、阻塞埠轉發、轉發埠阻塞 → 暫時性迴路 → 廣播風暴 → MAC 表震盪 → 網路癱瘓。
• 持續發送偽造 BPDU 可維持攻擊狀態 (DoS)。

緩解方案

• BPDU Guard：Access Port 收到 BPDU 即 Error-disable 關閉埠 (最有效)。
• Root Guard：指定埠不允許成為根埠，收到優於當前根橋的 BPDU 進入 Root-inconsistent 狀態 (阻塞)。
• BPDU Filter：Access Port 既不發送也不處理 BPDU (慎用，可能隱藏迴路)。
• Loop Guard / UDLD：單向鏈路檢測防止阻塞埠誤轉發。
• 配置確定性根橋：核心交換機 Priority 設 0/4096，明確鎖定根橋位置。

攻擊三：MAC Flooding (MAC 表洪水) — 癱瘓轉發表、強制泛洪

原理

• 交換機 MAC 位址表 (CAM Table) 容量有限 (如 8K/16K/32K/128K 條目)。
• 攻擊者高速發送偽造來源 MAC 的封包 (如 macof 工具，每秒萬級)，填滿 MAC 表。
• MAC 表滿 → 新 MAC 無法學習 → 交換機退化為 Hub 行為：未知單播泛洪至同 VLAN 所有埠。
• 攻擊者即可竊聽同 VLAN 所有流量 (含認證憑證、資料庫查詢、API 金鑰)。

緩解方案

• Port Security (埠安全)：限制每埠最大學習 MAC 數 (如 2-5)、違規動作 Shutdown/Restrict/Protect、Sticky MAC 自動學習綁定。
• 802.1X 認證：未認證不學習 MAC、動態 VLAN 指派、Session 逾時自動清理。
• MAC 表老化優化：縮短老化時間 (預設 300s → 180s)，加速釋放無效條目。
• 硬體級防禦：高端交換機 ASIC 內建 MAC Flooding 偵測/速率限制 (如 Cisco Catalyst 9000、Huawei CloudEngine)。

攻擊四：DHCP Spoofing / Rogue DHCP Server — 劫持 IP 分配、中間人攻擊

原理

• 攻擊者佈署 Rogue DHCP Server (或惡意腳本)，搶在合法 DHCP 回應前發送 DHCPOFFER，指派惡意閘道 (攻擊者 IP)、惡意 DNS (釣魚/攔截)。
• 客戶端接受首個收到的 OFFER (RFC 2131 無序列保證)，流量經攻擊者中繼 → 完整中間人 (MITM)：SSL Strip、DNS 劫持、流量竊聽/竄改。

緩解方案

• DHCP Snooping：信任埠 (Uplink/Server 埠) 允許 DHCP 回應，非信任埠 (Access) 丟棄 DHCP Server 封包 (OFFER/ACK/NAK)、建立 DHCP Snooping Binding Database (IP-MAC-VLAN-Port-Lease)。
• IP Source Guard：基於 Binding Database，硬體層面過濾非綁定 IP/MAC 封包。
• Dynamic ARP Inspection (DAI)：驗證 ARP 封包 IP-MAC 是否符合 Binding Database，丟棄偽造 ARP。
• Option 82：在 DHCP Request 插入電路/遠端 ID，伺服器端識別真實位置、防止 IP 耗盡攻擊。

攻擊五：SPAN/RSPAN/ERSPAN 竊聽 — 合法鏡像功能被濫用

原理

• 管理員配置 SPAN (Switched Port Analyzer) 將敏感埠流量鏡像至分析埠 (連接 IDS/IPS/審計/抓包機)。
• 攻擊者取得管理權限 (預設密碼、弱密碼、漏洞利用、社交工程)，新增/修改 SPAN Session 將核心鏈路/伺服器埠流量導向攻擊者控制埠。
• RSPAN (Remote SPAN) 跨交換機鏡像，ERSPAN (Encapsulated RSPAN) GRE 封裝跨三層，攻擊面更大。

緩解方案

• 嚴格管理平面存取控制：AAA + TACACS+/RADIUS、MFA、CLI 特權分級、配置變更審計日誌 (Syslog/SIEM)。
• SPAN Session 審計：定期審視 show monitor session，未授權 Session 立即移除、告警。
• 加密傳輸鏡像流量：ERSPAN + IPsec/GRE over IPsec，防止中途竊聽鏡像流量。
• 物理安全：機櫃鎖、埠鎖 (Port Lock)、KVM 審計、視訊監控。

綜合防禦架構：纵深防禦矩陣

層級	技術控制	對應攻擊	關鍵配置
存取層	Port Security, BPDU Guard, DHCP Snooping, DAI, IP Source Guard, 802.1X/MAB	MAC Flood, VLAN Hop, STP Attack, Rogue DHCP, ARP Spoof	violation shutdown, trust port only, auth open
聚合/核心層	Root Guard, Loop Guard, UDLD, VTP Pruning/Version 3/Password, CDP/LLDP 僅管理埠啟用	STP Attack, VTP Injection, Recon 竊聽	designated root priority, errdisable recovery
管理平面	AAA/TACACS+, MFA, Role-Based Access (RBAC), Config Change Audit, SPAN Audit, OOBM	SPAN Abuse, Config Tamper, Credential Theft	command accounting, config archive, SNMPv3
監控/回應	NetFlow/sFlow/Telemetry, NDR (Network Detection & Response), SOAR Playbook	異常流量、側向移動、數據外洩	baseline profiling, MITRE ATT&CK mapping

交換機安全非單一功能可解，需存取層硬體強制 (Port Security/DAI/BPDU Guard) + 控制平面協議加固 (Root Guard/UDLD/VTPv3) + 管理平面零信任 (AAA/MFA/RBAC/審計) + 流量可見性 (NetFlow/NDR) 四位一體。定期滲透測試 (內網紅隊)、紫隊演練、配置漂移檢測，持續驗證防禦有效性。