Puntos clave
- Entiende cómo funciona el switch spoofing: es un ataque de VLAN hopping en el que un dispositivo no autorizado se hace pasar por un switch para negociar un troncal y acceder a otras VLAN.
- Fuerza el modo de acceso en los puertos de borde: configura todos los puertos orientados al usuario como puertos de acceso para evitar negociaciones de troncal no deseadas y bloquear el spoofing.
- Desactiva la troncalización dinámica y restringe las VLAN: apaga DTP y limita las VLAN permitidas en los puertos troncales para reducir el movimiento lateral y los abusos.
- Activa controles de seguridad de primer salto: añade capas de protección como port security, DHCP snooping e inspección dinámica de ARP para detectar dispositivos no autorizados.
- Controla el acceso a la red con la identidad: usa 802.1X con MAB como alternativa para vincular el acceso a dispositivos o usuarios conocidos y mantener una segmentación clara.
El switch spoofing es una amenaza que a menudo se pasa por alto en las redes de las pequeñas y medianas empresas (pymes). Al imitar un switch legítimo dentro de tu red, los atacantes pueden acceder a infraestructura y datos sensibles, y preparar el terreno para otros ataques mediante el llamado «VLAN hopping».
Esta guía práctica explica cómo prevenir el switch spoofing y está dirigida a administradores de TI y proveedores de servicios gestionados (MSP) responsables del funcionamiento y la seguridad de las redes de las pymes. Abarca el endurecimiento de las interfaces, la validación con comprobaciones automatizadas y repetibles, y la generación de pruebas listas para una auditoría.
¿Qué es el switch spoofing?
Switch spoofing es el nombre habitual de un ataque de VLAN hopping. Ocurre cuando un atacante conecta a tu red un dispositivo que suplanta a un switch real y engaña a un switch vulnerable (con una configuración demasiado permisiva) para que establezca un enlace troncal con él. Ese enlace troncal transporta datos de otras VLAN, por lo que el atacante consigue sortear el aislamiento entre VLAN y acceder a la información.
Las VLAN (redes LAN virtuales) son particiones de red que permiten mantener separados dispositivos distintos aunque estén conectados a la misma infraestructura física (lo que se conoce como segmentación de red). Es habitual desplegarlas en una organización para aislar redes diferentes sin duplicar la infraestructura, y también por seguridad. Por ejemplo, la wifi para invitados puede compartir el cableado físico y la conexión a internet con los recursos de TI internos, pero situarse en una VLAN aparte para impedir que los usuarios accedan a los activos privados.
Los atacantes pueden hacerse con acceso a tu infraestructura de red de varias formas: un puerto Ethernet expuesto en un espacio público, puertos sin proteger en una oficina o el uso de dispositivos y endpoints comprometidos.
¿Qué métodos de VLAN hopping existen?
Además del switch spoofing, otro método de VLAN hopping es el doble etiquetado, en el que el atacante añade dos etiquetas VLAN (una interna y otra externa) a la misma trama Ethernet, la unidad con la que se transmiten los datos.
Cuando el puerto troncal descarta la primera etiqueta —algo previsto cuando esa etiqueta coincide con la VLAN nativa— y reenvía la trama, los demás switches creerán que procede de la segunda VLAN. Aunque este método es unidireccional (el tráfico no vuelve), sigue sirviendo para construir ataques.
¿Cómo se puede prevenir el VLAN hopping?
Si sigues las recomendaciones de este artículo, aplicarás estas buenas prácticas para mitigar los ataques de VLAN hopping:
| Buena práctica | Finalidad | Resultado |
| Forzar el modo acceso en los puertos de borde | Evita que se formen enlaces troncales no deseados | Bloquea el VLAN hopping en el borde |
| Desactivar DTP y limitar las VLAN del troncal | Impide el abuso de los enlaces troncales | Limita el movimiento lateral |
| Activar port security, snooping y DAI | Detecta dispositivos no autorizados y abusos de ARP | Obliga al atacante a esforzarse más y aumenta la visibilidad |
| Usar 802.1X con MAB como alternativa | Vincula el acceso a los dispositivos o a la identidad del usuario | Segmentación y auditorías más limpias |
| Validar con intentos de prueba | Demuestra que los controles funcionan y detecta regresiones | Genera pruebas listas para una auditoría |
| Guardar configuraciones y resúmenes | Permite seguir cambios e infracciones | Demuestra un cumplimiento continuo |
Qué necesitas para prevenir el switch spoofing
Necesitarás acceso a la siguiente información y herramientas para mitigar los ataques a las VLAN mediante switch spoofing en la red de tu pyme:
- Modelos de switch y versiones de SO/firmware que permitan desactivar el protocolo de enlace troncal dinámico (DTP) o tecnologías equivalentes de troncalización automática
- Un plan de red (nuevo o existente) para las VLAN de usuarios y de gestión, además de un ID de VLAN nativa sin utilizar
- Una ventana de cambios y acceso fuera de banda para revertir la configuración si algo sale mal
- Una plataforma de documentación centralizada donde guardar las copias de seguridad de las configuraciones, las capturas de pantalla de las validaciones y los resúmenes mensuales de pruebas
El software de monitorización de switches también se puede desplegar en los dispositivos compatibles.
Recomendación 1: forzar el modo acceso en los puertos de borde
La principal forma de prevenir el VLAN hopping mediante switch spoofing es configurar los puertos para que no negocien enlaces troncales de forma automática.
- Configura los puertos en modo de borde: pon todos los puertos de cara al usuario (también llamados puertos de borde) en modo acceso para que no puedan usarse para negociar nuevos troncales.
- Configura cada puerto según su función: asegúrate de que cada puerto tenga asignada la VLAN correcta. Define como VLAN nativa un ID de VLAN sin usar y desactivado, en lugar de la VLAN 1 predeterminada, para evitar el hopping por doble etiquetado.
- Documenta las configuraciones: registra todos los puertos y las VLAN en tu documentación de TI centralizada para poder consultar el comportamiento previsto de un puerto sin necesidad de entrar en las interfaces de gestión.
Recomendación 2: blinda los enlaces troncales
Los puertos que deban negociar troncales tienen que estar bien asegurados, ya que las configuraciones predeterminadas pueden permitir comportamientos que abren la puerta al switch spoofing.
- Configura manualmente los puertos troncales: desactiva DTP en las interfaces que sigan admitiendo troncalización y define de forma explícita las VLAN permitidas en lugar de dejar una configuración permisiva por defecto.
- Protege la VLAN nativa: si se utiliza la VLAN nativa, comprueba que no se permita tráfico de usuarios.
- Documenta todo: en tu documentación, incluye por qué se permiten determinadas VLAN en cada interfaz y revísalo cuando sea necesario para limitar el acceso únicamente a lo imprescindible.
Recomendación 3: activa la seguridad de primer salto
Conviene activar las funciones de port security en todos los puertos de borde, con restricciones de MAC para impedir dispositivos no autorizados. También deberías desplegar DHCP snooping e inspección ARP para validar el tráfico y mitigar los ataques habituales de capa 2 (la capa de enlace de datos del modelo de red OSI).
Asimismo, puedes desplegar tecnologías de seguridad específicas de cada fabricante, como Cisco BPDU Guard, para blindar las redes y evitar que se conecten dispositivos no autorizados desde los puertos de borde.
Recomendación 4: controla la identidad en el borde
Las buenas prácticas de control de acceso a la red (NAC) deben seguirse para separar redes y garantizar que los dispositivos de confianza, los de invitados y los anómalos queden claramente identificados y separados. Cuando sea viable, despliega 802.1X para autenticar el acceso a la red, con MAC authentication bypass (MAB) para los dispositivos que no admitan 802.1X.
Recomendación 5: comprueba que tus protecciones funcionan
Puedes poner a prueba la eficacia de tus medidas contra el switch spoofing simulando ataques reales. Conecta un portátil sin privilegios e intenta enviar tramas DTP o etiquetadas para verificar que no se produce ninguna escalada entre VLAN. Los datos capturados durante estas pruebas sirven como evidencia de eficacia.
Método 6: monitoriza, revisa y ajusta las medidas antispoofing y sus resultados
Como parte de tu proceso de monitorización de TI, deberías:
- Protegerte frente a la desviación de configuración: captura y almacena las configuraciones y compáralas con tus estándares para comprobar que no haya desviaciones ni manipulaciones.
- Asegurarte de que los técnicos reciben avisos al instante: configura notificaciones para las infracciones reiteradas de port security e integra la gestión de los incidentes de seguridad de red en tu manual de respuesta a incidentes.
Revisa periódicamente los datos recogidos para valorar la eficacia de tus protecciones contra el switch spoofing:
- Revisa con regularidad: repasa las listas de excepciones y los mapeos de puertos para reducir la exposición, comprobando que no haya puertos troncales disponibles en el borde y que las excepciones para dispositivos antiguos se retiren cuando ya no sean necesarias.
- Actualiza la documentación cuando cambien configuraciones o procesos: documenta con detalle los resultados y los cambios de configuración derivados para facilitar la resolución de problemas y demostrar el cumplimiento.
NinjaOne combina gestión, aplicación de políticas, monitorización y automatización para detectar y mitigar las intrusiones en la red
Mantener configuraciones de red coherentes y una monitorización sin lagunas que identifique rápidamente a los actores no autorizados en tus redes es un reto que crece al mismo ritmo que tu infraestructura.
NinjaOne te ayuda a afrontar un panorama de ciberseguridad en constante cambio con un conjunto de herramientas flexible que unifica la monitorización y gestión remota (RMM) de los endpoints con la supervisión y gestión de redes (NMS), además de integrarse con herramientas de seguridad como CrowdStrike y SentinelOne.
Puedes capturar y comparar las configuraciones y los registros de los dispositivos de red para garantizar su coherencia y evitar desviaciones, así como enviar alertas cuando se detecten intentos de crear nuevos enlaces troncales. Los resúmenes se pueden formatear y guardar en las herramientas de documentación integradas de NinjaOne para revisarlos y utilizarlos como evidencia de cumplimiento.
Las plataformas de ciberseguridad con IA también detectan rápidamente el VLAN hopping y otros intentos de intrusión y movimiento lateral en la red, y aprovechan NinjaOne para crear tickets y avisar de inmediato a los ingenieros.
