Fiche de révision : Sécurité des LAN et VLAN

📋 Plan du Cours

1. Enjeux de sécurité du LAN
2. Rôle et gestion des VLAN
3. Limites de la compartimentation VLAN
4. VLAN hopping et ses attaques
5. Trunks et attaque DTP
6. Double marquage du VLAN natif
7. Bonnes pratiques de sécurisation

📖 1. Enjeux de sécurité du LAN

★ À maîtriser

📌 La compromission d’une couche basse impacte toutes les communications qui dépendent de cette couche.

• La sécurité de couche 2 sur un LAN peut être très fragile.

📌 La confiance historiquement accordée aux machines d’un même LAN est devenue peu pertinente avec la mobilité des terminaux et le BYOD ; le LAN doit donc être protégé.

Compléments

• L’architecture en couches OSI permet à chaque couche de fonctionner sans connaître les détails de fonctionnement des autres couches.

💡 Astuce mémo

Compromettre une couche basse → impacter toutes les communications qui en dépendent.

📖 2. Rôle et gestion des VLAN

★ À maîtriser

• Les VLAN isolent les domaines de broadcast.

• Les VLAN peuvent servir à la sécurité périmétrique et à l’isolation de failles potentielles par compartimentation.

Compléments

• La compartimentation par VLAN peut isoler une attaque ARP poisoning dans un compartiment donné.

• La gestion des VLAN mobilise les équipes réseau (NetOPS) et sécurité (SecOPS), dont les responsabilités et la connaissance des usages peuvent différer.

📖 3. Limites de la compartimentation VLAN

★ À maîtriser

📌 L’isolation assurée par les VLAN dépend de leur implémentation et de leur configuration, lesquelles peuvent changer avec le temps.

📌 Les compartiments VLAN doivent être testés non seulement au déploiement initial, mais aussi après chaque modification.

Compléments

• Les tests de compartimentation et un tableau de bord sont indispensables au suivi de l’isolation des VLAN.

📖 4. VLAN hopping et ses attaques

🔑 Notions clés & Définitions

• VLAN hopping : Le VLAN hopping est le passage non autorisé d’un VLAN à un autre sans disposer initialement d’un port connecté au VLAN visé.

📝 Points essentiels

📌 Le VLAN hopping casse l’isolation théorique des VLAN, peut traverser les pare-feu de couche 3 et contourner les règles de filtrage IP.

• Les deux attaques classiques de VLAN hopping sont le DTP switch spoofing et le double tagging du VLAN natif.

📖 5. Trunks et attaque DTP

🔑 Notions clés & Définitions

• DTP : DTP (Dynamic Trunk Protocol) est un protocole propriétaire de Cisco qui permet d’établir dynamiquement et à distance un lien trunk avec un switch adjacent.

• Lien trunk : Un lien trunk étend un VLAN sur plusieurs switches et transporte les numéros de VLAN dans les trames avec l’encapsulation 802.1Q.

★ À maîtriser

• Un lien trunk donne accès à tous les VLAN qu’il connecte.

• Une attaque DTP switch spoofing forge un message DTP pour demander un lien trunk ; DTP n’étant ni authentifié ni chiffré, une station peut envoyer ce message sans avoir à indiquer de valeur de VLAN natif, celle-ci ne figurant pas dans les messages DTP.

Compléments

• DTP est activé par défaut pour accélérer le déploiement.

📌 Un désaccord de VLAN natif n’empêche pas l’établissement du trunk ; les messages DTP ne contiennent pas de valeur de VLAN natif.

• La valeur par défaut du VLAN natif est 1.

📖 6. Double marquage du VLAN natif

★ À maîtriser

• Sur un lien trunk, le VLAN natif est le seul VLAN dont le tag est retiré ; les tags des autres VLAN sont conservés.

• Dans l’attaque par double tagging, une trame porte d’abord le tag du VLAN natif puis celui du VLAN cible ; le premier switch retire le tag natif, laissant le tag cible dans la trame.

Compléments

• Par défaut, tous les ports d’un switch sont actifs et appartiennent au VLAN natif.

• L’attaque par double tagging est unidirectionnelle.

💡 Astuce mémo

Tag natif en premier → retrait du premier tag → le tag cible reste.

📖 7. Bonnes pratiques de sécurisation

★ À maîtriser

• Seuls les VLAN utilisés doivent être déclarés dans la liste « show vlan », car un VLAN non déclaré n’est pas commuté.

• Tous les ports non utilisés doivent être désactivés.

• DTP doit être désactivé et les liens trunk doivent être configurés explicitement.

Compléments

• Les VLAN doivent être nommés explicitement plutôt que laissés avec des noms génériques tels que VLAN0010.

• Si possible, le VLAN natif doit être désactivé, sans aucun port qui lui soit assigné.

• La valeur par défaut du VLAN natif doit être remplacée par une valeur reconnaissable et inutilisée, par exemple 999.