VLAN 跳跃是什么
VLAN 跳跃指报文绕过 VLAN 隔离，进入本不该到达的网段。两条常见路径：一是伪造双 Tag，外层借用 native VLAN 骗过首跳交换机，内层在下一跳被剥离后落到目标 VLAN；二是 DTP 协商，让接入口被协商成 Trunk。防护的核心是接入口强制 Access 并关闭协商、native VLAN 专用化、Trunk 放行最小化。
基本信息
| 适用概念 | Cisco IOS 上机制最完整，华为 / H3C 有对应防护项 |
|---|---|
| 路径一 | 双 Tag：外层借用 native VLAN 骗过首跳 |
| 路径二 | DTP 协商：接入口被协商成 Trunk |
| 防护一 | 接入口强制 Access 并关闭协商 |
| 防护二 | native VLAN 专用化并避开 VLAN 1 |
| 防护三 | Trunk 放行列表只保留必要 VLAN |
典型使用场景
- 办公室与会议室的墙面接入口：链路可被任意设备接入
- 访客或公共区域：物理接入不受控
- 机房同柜双网口：需要防止跨业务 VLAN 的横向访问
- 合规与安全审计场景：二层隔离需要可举证
接入口与 Trunk 加固
接入口与 Trunk 加固
interface GigabitEthernet1/0/1
switchport mode access # 强制 Access，不接受协商
switchport access vlan 10
switchport nonegotiate # 关闭 DTP 协商
spanning-tree portfast # 边缘端口加速收敛
spanning-tree bpduguard enable # 收到 BPDU 立即关端口
interface GigabitEthernet1/0/24
switchport trunk native vlan 999 # native 专用，避开 VLAN 1
switchport trunk allowed vlan 10,20,30 # 只放行必要 VLAN
show interfaces switchport # 核对模式与协商状态防护项与对应路径
| 防护项 | 配置位置 | 防住的路径 |
|---|---|---|
| 接入口 Access + nonegotiate | 所有终端接入口 | DTP 协商成 Trunk |
| native VLAN 专用化 | 全部 Trunk 链路 | 双 Tag 借用 native VLAN |
| 放行列表最小化 | Trunk 两端 | 减少可被跳跃的目标 VLAN |
| BPDU Guard | 边缘端口 | 私接交换机参与生成树 |
| 关闭未用端口 | 整机未使用端口 | 空口被利用成接入点 |
加固要覆盖全部 Trunk 链路而不是只改核心：只在核心侧改 native VLAN，接入口与中间链路仍保持缺省配置时，跳跃路径依然成立。
接入口保持 Access 模式并显式关闭协商，可以同时化解双 Tag 与 DTP 两类跳跃路径；这是低成本高收益的一步，建议纳入新设备开局模板。