Latar
VLAN adalah cara paling umum organisasi memisahkan segmen jaringan secara logis tanpa perlu perangkat fisik terpisah untuk setiap segmen. Konsepnya sederhana dan efektif: satu switch fisik bisa melayani banyak segmen jaringan yang saling terisolasi, dan komunikasi antar segmen diatur ketat melalui routing di layer yang lebih tinggi.
Yang sering tidak disadari adalah isolasi ini bergantung penuh pada konfigurasi switch yang benar. Kesalahan kecil pada konfigurasi port, khususnya port yang berfungsi sebagai trunk, bisa membuat batasan yang dikira kuat ternyata bisa dilewati tanpa perlu mengubah apa pun di sisi routing.
Cara Kerja Trunk dan Tagging
Ketika trafik dari berbagai VLAN harus melewati satu link fisik yang sama, misalnya antar switch, trafik tersebut diberi tag berdasarkan standar 802.1Q untuk menandai VLAN asalnya. Port yang dikonfigurasi sebagai trunk akan menerima dan meneruskan trafik bertag dari berbagai VLAN, lalu switch penerima akan meneruskan trafik itu hanya ke port yang memang menjadi anggota VLAN yang sesuai dengan tag tersebut.
Persoalan muncul dari sebuah default behavior pada banyak switch, yaitu keberadaan native VLAN, VLAN yang trafiknya dikirim tanpa tag pada sebuah trunk. Kalau port access yang terhubung ke perangkat pengguna berada di VLAN yang sama dengan native VLAN pada trunk, ada celah yang bisa dimanfaatkan.
Double Tagging: Menyelinap Lewat Dua Label
Salah satu teknik yang memanfaatkan kondisi ini adalah double tagging. Penyerang yang terhubung pada port access mengirimkan frame dengan dua tag VLAN sekaligus, tag luar berisi VLAN yang sama dengan native VLAN pada trunk, dan tag dalam berisi VLAN tujuan yang ingin dicapai, VLAN yang seharusnya tidak bisa diakses langsung dari posisi penyerang.
Ketika frame ini mencapai switch pertama, switch tersebut melihat tag luar yang cocok dengan native VLAN, sehingga tag luar dilepas sesuai perilaku default untuk native VLAN, dan frame diteruskan lewat trunk tanpa tag terluar tadi. Yang tersisa hanyalah tag dalam, yang kini terlihat oleh switch tujuan sebagai tag VLAN yang sah dari trafik yang datang lewat trunk. Switch tujuan meneruskan frame ini ke VLAN yang tercantum di tag dalam, VLAN yang seharusnya terisolasi dari posisi awal penyerang.
Hasilnya, penyerang yang seharusnya hanya bisa mengirim trafik dalam satu VLAN, berhasil mengirim trafik ke VLAN lain tanpa melewati proses routing atau firewall yang mengatur komunikasi antar VLAN, karena secara teknis trafik ini tidak pernah benar-benar "berpindah VLAN" lewat jalur routing yang semestinya diawasi.
Dampak Terhadap Asumsi Segmentasi
Yang membuat ini berbahaya adalah rusaknya asumsi dasar segmentasi jaringan. Banyak organisasi menempatkan kontrol keamanan seperti firewall rule dan access control list hanya pada titik-titik di mana VLAN saling terhubung melalui routing, dengan asumsi trafik antar VLAN pasti melewati titik kontrol tersebut.
Kalau VLAN hopping berhasil dilakukan, trafik yang lewat tidak pernah menyentuh titik kontrol tersebut, sehingga kebijakan keamanan yang sudah dirancang dengan hati-hati sama sekali tidak berlaku pada trafik ini. Segmentasi yang di atas kertas terlihat kuat, secara praktik hanya efektif sepanjang tidak ada yang mencoba melewatinya lewat jalur yang tidak diperkirakan.
Rekomendasi
Jangan gunakan VLAN 1 atau VLAN default sebagai native VLAN pada port trunk. Tetapkan VLAN khusus yang tidak digunakan oleh perangkat apa pun sebagai native VLAN, sehingga tag native tidak bertepatan dengan VLAN yang berisi perangkat pengguna.
Konfigurasikan seluruh port access agar tidak menerima frame bertag ganda. Pastikan port yang terhubung ke perangkat pengguna dikonfigurasi secara eksplisit sebagai access port, bukan trunk, sehingga tidak memproses tag VLAN sama sekali dari perangkat yang terhubung.
Nonaktifkan VLAN yang tidak digunakan pada seluruh trunk. Batasi VLAN yang di-allow pada sebuah trunk hanya untuk VLAN yang memang dibutuhkan melewati link tersebut, bukan seluruh VLAN secara default.
Audit konfigurasi trunk secara berkala sebagai bagian dari hardening rutin. Konfigurasi trunk sering dibuat sekali di awal deployment infrastruktur dan tidak pernah direview ulang meski topologi jaringan berkembang.
Terapkan kontrol keamanan tambahan yang tidak sepenuhnya bergantung pada segmentasi VLAN saja. Kombinasikan dengan kontrol di level lain seperti autentikasi 802.1X pada port access untuk memastikan perangkat yang terhubung memang sah sebelum diberi akses jaringan.
Penutup
VLAN hopping menunjukkan bahwa segmentasi jaringan yang terlihat solid di level desain bisa runtuh karena satu default behavior yang tidak dikonfigurasi ulang, yaitu native VLAN. Teknik ini tidak memerlukan eksploitasi kerentanan software, hanya memanfaatkan cara switch memproses tag VLAN sesuai standar.
Batasan antar segmen jaringan hanya sekuat konfigurasi yang menjaganya, dan konfigurasi itu perlu diverifikasi langsung, bukan diasumsikan benar hanya karena topologinya terlihat rapi di diagram.
Jika Anda ingin memastikan segmentasi VLAN di jaringan Anda benar-benar berfungsi seperti yang dirancang, tim Security Squad LOGIQUE siap membantu.
