| 路径一 | 双 Tag：外层用 native VLAN 骗过首跳 |
|---|---|
| 路径二 | DTP 协商：接入口被协商成 Trunk |
| 防护 | native 专用 + nonegotiate + 接入口禁 Trunk |
接入口保持 Access 模式并显式关闭协商，可同时化解两类跳跃路径。
双 Tag 与 VLAN 跳跃防护
VLAN 跳跃常见路径：伪造双 Tag 利用 native VLAN、DTP 协商成 Trunk；防护核心是改 native VLAN、关协商、限制 Trunk 口范围。
易错点
- native VLAN 保持缺省 1 时，外层 Tag 打 VLAN 1 即可穿过多数缺省 Trunk 配置
- 只在核心改 native 不检查接入口，跳跃路径依然成立，加固要覆盖全部 Trunk 链路
数据来源与参考
- Cisco IOS 配置手册（VLAN Hopping 防护）