Hola Hebert!

Respecto a tu primera consulta:

Un switch no debería analizar el header 802.1q solo en enlaces troncales o existen casos en los que es necesario analizarlos en puertos de acceso?

Mucho depende de la situación, por ejemplo recuerda que cuando realizas la configuración de VLAN de voz, se analizan las etiquetas de las tramas a pesar que tu puerto se encuentre configurado como acceso. Sin embargo, los switches tienen diferentes mecanismos de trabajo de acuerdo al modelo del switch, lastimosamente acá no se sigue una regla en particular y vas a tener diferentes comportamientos. Por ejemplo cuando tienes switches más antiguos el comportamiento es el siguiente, si tú tienes un puerto de acceso, el switch va aceptar tramas etiquetadas si se cumplen cualquiera de las 2 condiciones:

– Si la VLAN de la etiqueta es igual a la VLAN de acceso.
– Si la VLAN de la etiqueta es 0, lo que significa que se trata de una trama de calidad de servicio.

Entonces, vistas esas 2 reglas puedes darte cuenta que efectivamente un switch siempre analizara la etiqueta de la trama recibida a pesar que tengas un puerto de acceso.

Ahora, en otros switches relativamente más actuales (2960), existe un requisito extra, un puerto de capa 2, debe tener configurada una VLAN de voz para que se acepten tramas etiquetadas, de lo contrario NO SE RECIBIRAN tramas con etiquetas 802.1Q en los puertos de acceso. Si te das cuenta con esta regla ya se elimina la posibilidad de realizar este ataque de Nondefault Native VLAN, y también puedes darte cuenta que se analizara la etiqueta 802.1Q a pesar que no sea un puerto troncal.

Lastimosamente no hay información muy clara sobre el comportamiento de switches más actuales respecto a este tema. Pero se dice que el comportamiento es el mismo con la última regla, y por lo tanto se elimina el riesgo de este ataque.

Respecto a tu segunda consulta:

Y cuando se debe enviar un paquete por un enlace troncal que pertenece a la vlan nativa, el switch revisa el header 802.1q?, no debería solo no añadirle ningún header y enviarlo?

Según lo anterior, ya viste que el switch efectivamente revisa los headers 802.1Q independiente del tipo de puerto donde se reciba la trama, si el switch recibe una trama con header 802.1Q (de otro switch) que pertenece a la VLAN nativa configurada en otro puerto troncal, ¿cómo sabría el switch si debe mantener la etiqueta o descartarla para enviarla al otro puerto troncal?… tiene que analizar el header 802.1Q, compararlo con la configuración, y ahí recién determinar si añade la etiqueta de la VLAN o descartarla debido a que es el mismo valor de la VLAN Nativa.

Estoy atento a cualquier otra consulta.

Saludos cordiales! =)

• Esta respuesta fue modificada hace 2 años, 7 meses por AlvaroM.