VLAN Hoppingの深淵：ネイティブVLAN二重タギング攻撃のメカニズムと、レイヤー2要塞化の極意
ネットワークの歴史を紐解くと、セキュリティは常に「利便性」とのトレードオフの歴史であった。VLAN（Virtual LAN）は、物理的な制約から解放され、同一のスイッチファブリック上でブロードキャストドメインを論理的に分割するための偉大な発明である。しかし、IEEE 802.1Qが標準化されて以来、この論理の境界線をあざ笑うかのように、プロトコルの仕様の隙間を突く攻撃手法が考案されてきた。
その代表格が、今回取り上げる「ネイティブVLAN二重タギング攻撃（VLAN Hopping）」である。
教科書的なセキュリティ解説では、「ネイティブVLANには未使用のVLAN IDを割り当てよ」「アクセスポートには switchport nonegotiate を設定せよ」といった定型句が並ぶ。だが、インフラアーキテクトやテックリードとして現場を預かる我々は、そんな表層的な対策で満足してはならない。パケットがASICのパケットバッファを通過する瞬間、フレームのバイト列がどのように書き換えられ、なぜトランクポートの挙動がセキュリティホールの温床になるのか。そのパケットレベルの挙動と、カーネル・ハードウェアレイヤーでの根本的な防衛策を深く掘り下げていこう。
—
1. パケットレベルで紐解く二重タギングのメカニズム
VLAN Hoppingの本質は、スイッチ間をつなぐトランクリンクの仕様、特に「ネイティブVLAN（Native VLAN）」の処理における設計思想の盲点をつくことにある。
標準的なIEEE 802.1Qトランクポートでは、複数のVLANに属するフレームが流れる。タグなし（Untagged）あるいはプライオリティタグのみのフレームがトランクポートに入力された場合、スイッチはそれを「ネイティブVLANに属するもの」とみなして処理する。ここに、攻撃者の魔手が入り込む余地がある。
二重タギング攻撃のパケット構造の変遷
攻撃者は、自身が接続しているアクセスポート（通常はVLAN Xに属する）から、以下のような細工を施したイーサネットフレームを送り出す。
1. 外側のタグ: 攻撃者が所属するVLAN（VLAN X）のIDを持つ802.1Qタグ
2. 内側のタグ: 攻撃者が本来アクセスしたい標的のVLAN（VLAN Y、例: 管理VLAN）のIDを持つ802.1Qタグ
3. ペイロード: 攻撃用パケット（TCP/IPデータなど）
このフレームが最初のスイッチ（アクセスポート）に到達したときの挙動を追ってみよう。
+-------------------+-------------------+-------------------+-------------------+
| Destination MAC | Source MAC | 802.1Q Tag [VLAN X]| EtherType / Payload|
| (12 Bytes) | (12 Bytes) | (4 Bytes) | (内側タグ + データ) |
+-------------------+-------------------+-------------------+-------------------+スイッチのASIC（またはパケットプロセッサ）は、アクセスポートに入力されたフレームに対し、「タグが付いていない（あるいはポートデフォルトのタグを付与する）」という前提で動作する。しかし、攻撃者はすでに自ら「外側のタグ（VLAN X）」を付与して送信している。
ここでスイッチの挙動の妙が生じる。
1. スイッチはポートの設定に基づき、受信したフレームにVLAN Xのタグが付いている（あるいは付与しようとする）と認識し、これがアクセスポートのネイティブVLAN、あるいはポートVLAN ID（PVID）と一致すると判断する。
2. フレームがトランクポートへと転送される際、スイッチのL2エンジンは「ネイティブVLANのフレームだから、802.1Qタグを取り除いて（Untag）送信しなければならない」というルールに従う。
3. このとき、スイッチは外側のタグ（VLAN X）のみを取り除く。内側に潜んでいた「VLAN Yのタグ」は、そのままペイロードの一部として扱われ、何の変哲もないタグ付きフレームとして次のスイッチへ送り出されてしまうのだ。
結果として、対向のスイッチや次のブリッジデバイスに到達した時点では、フレームには「VLAN Yのタグ」だけが残されている。受信側スイッチはこれをVLAN Y宛ての正規のフレームと誤認し、VLAN Yのセグメントへとルーティング・スイッチングしてしまう。これが、ネイティブVLAN二重タギング攻撃の全貌である。
—
2. アーキテクチャの死角：なぜこの脆弱性が防ぎにくいのか
この攻撃の恐ろしさは、トランスポート層（TCP/UDP）やアプリケーション層の暗号化（TLSなど）とは無関係に、L2（データリンク層）のハードウェア処理の非対称性を突いている点にある。
TLSハンドシェイクの最適化やTCPウィンドウサイズのチューニング、BBR混雑制御アルゴリズムなど、どれほどモダンで堅牢なスタックをL4〜L7に実装していようとも、L2の基盤が破られればセグメント分離の前提そのものが崩壊する。L3ルーターをバイパスして異なるVLAN間が直結されてしまうため、ファイアウォールのACL（アクセスコントロールリスト）さえもすり抜けるケースが存在するのだ。
脆弱性の根本原因（Root Cause）
- 混同される責任範囲: アクセスポートとトランクポートの境界におけるタグの「付与（Push）」と「剥奪（Pop）」のロジックが、ネイティブVLANというレガシーな互換性維持機能によって複雑化していること。
- ステートレスなL2転送: スイッチのASICは多くの場合、パケットのコンテキストを深く保持せず、ハードウェアレベルのテーブルルックアップで高速に転送を行うため、多重タギングのような異常なネスト構造をリアルタイムで検知・破棄することが難しい（古いハードウェアの場合）。
—
3. 実践：ハードウェアとOSレイヤーにおける鉄壁の対策
この脅威からネットワークを守るためには、スイッチのコンフィギュレーションにおける「ベストプラクティス」を厳格に適用し、プロトコルの挙動そのものを制限する必要がある。
以下に、Cisco Catalyst / Cisco IOS環境をベースとした、実務でそのまま投入できるハードウェア・コンフィギュレーションの模範解答を示す。
対策1: ネイティブVLANの変更と「Native VLAN Mismatch」の排除
デフォルトの VLAN 1 をネイティブVLANとして使用することは、セキュリティ上の最大の悪手である。未使用のダミーVLAN（例: VLAN 999）をネイティブVLAN専用として定義し、すべてのトランクポートで明示的に固定する。
# グローバル設定でネイティブVLANをブラックホール用VLANに指定（例としてVLAN 999を使用）
vlan 999
name NATIVE-BLACKHOLE-VLAN
!
# トランクポートの設定例（インターフェースコンフィギュレーション）
interface GigabitEthernet0/1
description === Uplink to Core Switch (Trunk) ===
switchport mode trunk
switchport trunk encapsulation dot1q
# ネイティブVLANをデフォルトのVLAN 1から専用VLANに変更
switchport trunk native vlan 999
# 不要なVLANの流通を制限し、攻撃対象領域を最小化する
switchport trunk allowed vlan 10,20,30対策2: タグなしネイティブVLANフレームのドロップ（Native VLAN Drop）
近年の高機能スイッチ（Cisco Catalyst 3850/9000シリーズなど）では、トランクポートに流入する「タグなしフレーム（Untagged Frames）」そのものを強制的に破棄するセキュリティ機能が備わっている。これにより、二重タギングの外側タグが剥がされた状態で侵入しようとする試みを根絶できる。
# トランクポートにおけるネイティブVLANのタグなしフレームを拒否する設定
interface GigabitEthernet0/1
vlan dot1q tag nativeこのコマンドを投入すると、スイッチはトランクポートにおいてネイティブVLAN宛てのタグなしフレームを受信した際、即座にドロップし、syslogにアラートを記録する。二重タギング攻撃者は、外側のタグを剥がされた後に内側タグ付きフレームを送り込むことができなくなるため、この攻撃手法は完全に無力化される。
対策3: アクセスポートの完全固定（DTPの無効化）
VLAN Hoppingには、DTP（Dynamic Trunking Protocol）を利用して強制的にポートをトランクへ遷移させる手法（DTP攻撃）も含まれる。アクセスポートは必ずDTPを無効化し、手動でアクセスモードに固定しなければならない。
# エンドデバイス（PCやIP電話）が接続されるアクセスポートのハードニング
interface Range GigabitEthernet0/2 - 24
description === User Access Ports ===
switchport mode access
switchport access vlan 10
# DTPのネイゴシエーションパケット（Dynamic Trunking Protocol）を完全に停止
switchport nonegotiate
# ポートセキュリティを有効化し、MACアドレスの学習数を制限
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address sticky—
4. ネットワーク監視とパケット解析による検証
対策を講じた後は、実際に意図した通りにパケットが処理されているかを検証することがインフラエンジニアの務めである。Linux環境やパケットアナライザー（Wireshark等）を使用し、トランクリンク上の挙動をモニタリングする。
もし環境内で二重タギングの兆候や異常なフレーム構造を検知したい場合は、BPF（Berkeley Packet Filter）を用いたtcpdumpのキャプチャが極めて有効だ。
# インターフェース eth0 において、802.1Qタグが多重にネストしている疑いのあるパケットをキャプチャ
# EtherType 0x8100 (802.1Q) が連続するパターンをキャプチャするためのフィルタリング例
sudo tcpdump -i eth0 -nn -vv "ether[12:2] == 0x8100 and ether[16:2] == 0x8100"このコマンドを実行し、もしコンソールにパケットが流れてくるようであれば、ネットワーク内のどこかで不正なタギングが行われている、あるいはトランクの設定ミスが存在する証拠となる。即座に該当ポートの特定と遮断を行うべきである。
—
5. 結びにかえて：ゼロトラスト時代のL2セキュリティ
ネットワークの仮想化やSDN（Software-Defined Networking）、さらにはVXLANやEVPNといったオーバーレイ技術が主流になりつつある現在でも、物理的なアクセスエッジやエントランスにおけるIEEE 802.1Qの基礎は変わりません。クラウドやコンテナのセキュリティをどれほど高めようとも、足元のレイヤー2スイッチがVLAN Hoppingに対して無防備であれば、城壁の門を開け放しているようなものです。
「動いているから触らない」というレガシーな思考を捨て、ASICのパケット処理レイヤーまで見通した厳格なコンフィギュレーションと、ネイティブVLANの排除（あるいはタギングの強制）を徹底すること。それこそが、真にレジリエントなネットワークインフラストラクチャを構築するための唯一の道なのである。
コメント