{"id":915589,"date":"2026-10-29T16:14:25","date_gmt":"2026-10-29T16:14:25","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/prevenire-vlan-hopping-reti-msp\/"},"modified":"2026-10-29T16:14:26","modified_gmt":"2026-10-29T16:14:26","slug":"prevenire-vlan-hopping-reti-msp","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/prevenire-vlan-hopping-reti-msp\/","title":{"rendered":"Come prevenire il VLAN hopping nelle reti MSP"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li>Blocca le porte di accesso: forza la modalit\u00e0 access, disattiva DTP o il trunking automatico e limita le VLAN consentite per impedire lo switch spoofing.<\/li>\n<li>Cura l\u2019igiene della VLAN nativa: evita di usare la VLAN 1 per il traffico utente, assegna un ID di VLAN nativa inutilizzato e taggalo sui trunk per bloccare gli exploit di doppio tagging VLAN.<\/li>\n<li>Metti in sicurezza il control plane di livello 2: abilita DHCP Snooping, Dynamic ARP Inspection (DAI), IP Source Guard, BPDU Guard\/Root Guard e lo storm control per rafforzare la sicurezza.<\/li>\n<li>Applica il controllo degli accessi: richiedi 802.1X o MAB sulle porte di accesso e applica liste di controllo degli accessi (ACL) per singola VLAN al confine di livello 3, cos\u00ec da isolare e proteggere i segmenti.<\/li>\n<li>Monitora, verifica e dimostra: configura avvisi per le modifiche alla modalit\u00e0 delle porte o alla VLAN nativa, monitora le VLAN non autorizzate ed esporta report mensili per verificare il livello di sicurezza delle VLAN.<\/li>\n<\/ul>\n<\/div>\n<p>Per prevenire il VLAN hopping occorre blindare le porte di accesso, mettere in sicurezza le VLAN native, abilitare le protezioni di livello 2 come DHCP Snooping e DAI e applicare un controllo degli accessi basato su 802.1X.<\/p>\n<p>Le <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/che-cos-e-una-vlan\/\">VLAN<\/a> sono uno strumento molto usato dagli amministratori per segmentare il traffico. Questi dispositivi possono migliorare le prestazioni, ridurre la congestione e rafforzare il livello di sicurezza del tuo MSP.<\/p>\n<p>Tuttavia, come qualsiasi altro strumento, le VLAN non sono infallibili. Sono vulnerabili a una tecnica semplice ma pericolosa che gli autori di attacchi informatici usano per aggirare la segmentazione della rete: il <strong>VLAN hopping<\/strong>.<\/p>\n<p>Il VLAN hopping pu\u00f2 essere realizzato in due modi: il doppio tagging, in cui il traffico malevolo passa attraverso le VLAN native, e lo switch spoofing, che inganna gli switch inducendoli a creare collegamenti non autorizzati.<\/p>\n<p>Entrambe le tecniche sfruttano piccole lacune di configurazione, come trunk configurati male o VLAN native gestite in modo scorretto, che permettono agli attaccanti di muoversi all\u2019interno della rete.<\/p>\n<p>La buona notizia \u00e8 che esistono diverse strategie per impedire che questi due tipi di attacchi alle VLAN vadano a segno.<\/p>\n<p>In questa guida vedremo come costruire un playbook per prevenire il VLAN hopping. Continua a leggere per scoprire i pericoli di questa tecnica.<\/p>\n<h2>Come prevenire il VLAN hopping: cinque strategie fondamentali<\/h2>\n<p>Esistono cinque metodi pratici per mettere in sicurezza la rete e prevenire il VLAN hopping, ma prima di iniziare assicurati che siano soddisfatti i requisiti seguenti.<\/p>\n<p><strong>\ud83d\udcccPrerequisiti:<\/strong><\/p>\n<ul>\n<li>Un inventario aggiornato degli switch e backup delle configurazioni che includano numeri di modello, versioni software e collocazione fisica.<\/li>\n<li>Una progettazione di rete e delle VLAN chiara e documentata, completa di assegnazioni e percorsi dei trunk.<\/li>\n<li>Una finestra di modifica approvata e un piano di rollback.<\/li>\n<li>Strumenti di monitoraggio e visibilit\u00e0 per tenere traccia delle modifiche alla modalit\u00e0 delle porte e dello stato delle protezioni di livello 2.<\/li>\n<\/ul>\n<p>\ud83c\udfa5 Questo video mostra tutte e cinque le strategie in sequenza: <a href=\"https:\/\/www.ninjaone.com\/videos\/msp-growth\/preventing-vlan-hopping-attacks\/\">Come prevenire il VLAN hopping nelle reti MSP<\/a>.<\/p>\n<h3>Metodo 1: blinda le porte di accesso (utenti, IoT, stampanti)<\/h3>\n<p>Uno dei modi pi\u00f9 semplici per proteggere la rete dal trunking non autorizzato \u00e8 blindare le porte perimetrali. In questo modo i dispositivi collegati, come stampanti, apparecchi IoT ed endpoint degli utenti, restano confinati nelle VLAN a loro assegnate.<\/p>\n<p><strong>Passaggi<\/strong><\/p>\n<ol>\n<li><strong>Imposta la modalit\u00e0 della porta su access.<\/strong>\n<ul>\n<li>Configura tutte le porte dello switch che non sono di uplink su <em>switchport mode access <\/em>per impedire la negoziazione dei trunk.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Disattiva il Dynamic Trunking Protocol (DTP).<\/strong>\n<ul>\n<li>Disattiva DTP per impedire la formazione automatica dei trunk e fare in modo che tutte le porte restino in modalit\u00e0 access.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Assegna le VLAN corrette ed elimina quelle inutilizzate.<\/strong>\n<ul>\n<li>Imposta in modo esplicito la VLAN di accesso e rimuovi tutte le appartenenze a VLAN non necessarie per ridurre l\u2019esposizione alle minacce.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Metti in sicurezza le VLAN voce, se presenti.<\/strong>\n<ul>\n<li>Usa LLDP\/CDP per rilevare i telefoni IP e limita l\u2019attivazione della VLAN voce ai soli dispositivi autorizzati. Questo passaggio impedisce l\u2019uso improprio da parte di endpoint che non sono telefoni.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Metodo 2: rendi i trunk espliciti e sicuri<\/h3>\n<p>Le porte trunk sono canali potenti tra gli <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/scegliere-switch-di-rete-giusto\/\">switch di rete<\/a>, ma se la configurazione \u00e8 approssimativa gli attaccanti possono sfruttarle facilmente per il VLAN hopping o per iniettare traffico.<\/p>\n<p><strong>Passaggi<\/strong><\/p>\n<ol>\n<li><strong>Configura manualmente le porte trunk.<\/strong>\n<ul>\n<li>Imposta la modalit\u00e0 trunk e limita le VLAN a quelle strettamente necessarie alla comunicazione tra switch.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Predisponi una VLAN nativa dedicata e inutilizzata.<\/strong>\n<ul>\n<li>Assegna un ID VLAN inutilizzato e, se possibile, tagga la VLAN nativa per impedire lo sfruttamento del traffico non taggato.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Evita di usare la VLAN 1.<\/strong>\n<ul>\n<li>Riserva la VLAN 1 a un uso interno oppure eliminala globalmente, in modo che non trasporti traffico utente o di gestione.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Metodo 3: attiva le protezioni di livello 2<\/h3>\n<p>Gli attacchi di livello 2, come spoofing e flooding, possono compromettere una rete senza dare nell\u2019occhio: per questo \u00e8 fondamentale abilitare le protezioni integrate negli switch, che rendono il movimento laterale molto pi\u00f9 difficile.<\/p>\n<p><strong>Passaggi<\/strong><\/p>\n<ol>\n<li><strong>Abilita DHCP Snooping.<\/strong>\n<ul>\n<li>Attiva <a href=\"https:\/\/www.cbtnuggets.com\/blog\/technology\/networking\/what-is-dhcp-snooping\" target=\"_blank\" rel=\"noopener\">DHCP Snooping<\/a> e considera attendibili solo le porte di uplink, cos\u00ec da impedire ai server DHCP non autorizzati di distribuire configurazioni IP malevole.<\/li>\n<li>Abilita IP Source Guard per bloccare lo spoofing degli indirizzi IP.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Abilita Dynamic ARP Inspection (DAI).<\/strong>\n<ul>\n<li>Filtra le risposte ARP contraffatte e previeni gli attacchi di ARP poisoning abilitando DAI.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Abilita BPDU Guard e Root Guard.<\/strong>\n<ul>\n<li>Proteggi la topologia STP e blocca gli switch non autorizzati abilitando BPDU Guard e Root Guard sulle porte di accesso.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Abilita lo storm control.<\/strong>\n<ul>\n<li>Abilitare lo storm control evita il flooding della rete limitando la velocit\u00e0 del traffico broadcast e multicast.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Metodo 4: applica policy di ammissione e segmentazione<\/h3>\n<p>Non tutti gli endpoint devono avere lo stesso accesso alle VLAN. Applicare un\u2019ammissione basata sull\u2019identit\u00e0 e una <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/segmentazione-della-rete\/\">segmentazione della rete<\/a> in base al livello di fiducia garantisce che solo i dispositivi autorizzati accedano alle VLAN corrette.<\/p>\n<p><strong>Passaggi<\/strong><\/p>\n<ol>\n<li><strong>Abilita l\u2019autenticazione 802.1X e associa le identit\u00e0 alle VLAN.<\/strong>\n<ul>\n<li>Richiedi un accesso basato sull\u2019identit\u00e0 sulle porte perimetrali e usa il <a href=\"https:\/\/networklessons.com\/cisco\/ccie-routing-switching-written\/mac-authentication-bypass-mab\" target=\"_blank\" rel=\"noopener\">MAC Authentication Bypass (MAB)<\/a> per i dispositivi che non supportano 802.1X.<\/li>\n<li>Assegna le VLAN in base all\u2019identit\u00e0 dell\u2019utente o del dispositivo, per ottenere una segmentazione dinamica e guidata dalle policy.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Applica ACL inter-VLAN a livello 3.<\/strong>\n<ul>\n<li>Usa le liste di controllo degli accessi (ACL) per limitare il traffico tra le VLAN, soprattutto quello est-ovest, e registra i tentativi di accesso per avere maggiore visibilit\u00e0.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Segmenta le reti guest e IoT.<\/strong>\n<ul>\n<li>Isola i dispositivi a bassa affidabilit\u00e0 con percorsi di routing minimi, cos\u00ec da impedire loro di raggiungere le risorse.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Metodo 5: monitora, verifica e dimostra<\/h3>\n<p>Per mantenere sicura la rete del tuo MSP \u00e8 indispensabile monitorare e verificare i nuovi controlli di sicurezza. In questo modo puoi dimostrare ai clienti che tutto funziona come previsto.<\/p>\n<p><strong>Passaggi<\/strong><\/p>\n<ol>\n<li><strong>Configura avvisi in tempo reale per le modifiche critiche.<\/strong>\n<ul>\n<li>Monitora eventi come le modifiche alla modalit\u00e0 delle porte e la disattivazione delle protezioni di livello 2.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Genera report mensili ed esaminali con regolarit\u00e0.<\/strong>\n<ul>\n<li>Esporta le differenze di configurazione per tenere traccia delle modifiche nel tempo.<\/li>\n<li>Mantieni un inventario dello stato delle porte per verificare ruoli e responsabilit\u00e0 attesi.<\/li>\n<li>Documenta lo stato delle funzionalit\u00e0 di sicurezza disponibili su tutti gli stack di switch.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Raccogli dati durante gli incidenti.<\/strong>\n<ul>\n<li>Raccogli <a href=\"https:\/\/www.ninjaone.com\/it-hub\/gestione-dei-servizi-it\/what-is-packet-capture-pcap\/\">catture di pacchetti (PCAP)<\/a> dalle porte sospette e verifica i contatori di DHCP Snooping e DAI per capire se l\u2019attivit\u00e0 \u00e8 stata bloccata o consentita.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h2>Come funziona il VLAN hopping<\/h2>\n<p>Il VLAN hopping \u00e8 una tecnica di attacco che permette al traffico di attraversare segmenti di rete a cui non dovrebbe avere accesso, in genere tramite doppio tagging VLAN o switch spoofing.<\/p>\n<p>Gli attacchi di VLAN hopping avvengono in due modi: doppio tagging VLAN e switch spoofing.<\/p>\n<p>Il doppio tagging sfrutta il protocollo standard di tagging 802.1Q, che consente ai frame Ethernet di trasportare informazioni sulle VLAN. In particolare, approfitta degli switch che rimuovono solo il primo tag VLAN quando inoltrano i pacchetti.<\/p>\n<p>Ecco come funziona: l\u2019attaccante invia un pacchetto con due tag VLAN. Il tag esterno corrisponde alla VLAN in cui si trova, mentre il tag interno indica l\u2019ID della VLAN bersaglio.<\/p>\n<p>Una volta rimosso il tag esterno, il pacchetto viene inoltrato allo switch successivo con il tag interno e finisce quindi nella VLAN presa di mira.<\/p>\n<p>Lo switch spoofing, invece, prende di mira le porte trunk configurate male. Permette agli attaccanti di avviare una negoziazione DTP con uno switch legittimo. Una volta convinto lo switch a trattare il loro dispositivo come una porta trunk, possono ricevere e inviare traffico verso qualsiasi VLAN della rete.<\/p>\n<p>Lo switch spoofing \u00e8 considerato pi\u00f9 pericoloso del doppio tagging perch\u00e9 consente una comunicazione bidirezionale. Il doppio tagging resta per\u00f2 una minaccia seria, perch\u00e9 permette agli attaccanti di aggirare i controlli di accesso e raggiungere segmenti riservati.<\/p>\n<p>In qualunque modo avvenga, il VLAN hopping espone le organizzazioni a:<\/p>\n<ul>\n<li>Fuga di dati tra le <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/che-cos-e-una-vlan\/\">VLAN<\/a>.<\/li>\n<li>Accessi non autorizzati alle VLAN aziendali che contengono dati o risorse sensibili.<\/li>\n<li>Malware e movimento laterale all\u2019interno della rete.<\/li>\n<\/ul>\n<p>Senza le giuste misure di sicurezza, questi attacchi possono passare inosservati, aumentando per il tuo MSP il rischio di violazioni dei dati.<\/p>\n<h2>Reti MSP pi\u00f9 solide con NinjaOne<\/h2>\n<p>NinjaOne aiuta gli MSP a monitorare, rilevare e prevenire in modo proattivo i tentativi di hopping, offrendo:<\/p>\n<ul>\n<li><strong>Funzionalit\u00e0 complete di monitoraggio degli switch:<\/strong> con NinjaOne puoi tenere traccia delle configurazioni delle porte, delle appartenenze alle VLAN e di eventuali errori o schemi di traffico anomali.<\/li>\n<li><strong>Strumenti di automazione: <\/strong>NinjaOne offre potenti funzionalit\u00e0 di automazione che ti permettono di pianificare automaticamente i backup delle configurazioni, eseguire controlli di conformit\u00e0 sulle policy di accesso e di trunking e aprire ticket per configurazioni VLAN non autorizzate.<\/li>\n<li><strong>Reporting dettagliato: <\/strong>NinjaOne ti aiuta a generare report mensili per singolo tenant su segmentazione e sicurezza di livello 2, che evidenziano i tassi di conformit\u00e0 delle porte, gli eventi di deriva della configurazione e le misure di sicurezza attive.<\/li>\n<\/ul>\n<p>Unendo il monitoraggio in tempo reale all\u2019applicazione automatizzata delle policy e a un reporting ricco di informazioni, NinjaOne aiuta gli MSP a costruire reti pi\u00f9 sicure e resilienti per i propri clienti.<\/p>\n<h2>Previeni il VLAN hopping con controlli di sicurezza collaudati<\/h2>\n<p>Il VLAN hopping pu\u00f2 sembrare complicato, ma le difese contro questa tecnica sono relativamente semplici. Blindando le porte perimetrali, mettendo in sicurezza le VLAN native e applicando le protezioni di livello 2 puoi tenere i malintenzionati lontani dalla tua rete.<\/p>\n<p>Se affianchi a queste strategie un\u2019ammissione basata sull\u2019identit\u00e0 e un monitoraggio regolare della deriva della configurazione, puoi individuare le lacune di sicurezza nascoste prima che gli attaccanti le sfruttino.<\/p>\n<p>Questa guida traduce queste best practice in passaggi ripetibili e verificabili, applicabili su larga scala a pi\u00f9 ambienti cliente. Soprattutto, ti permette di produrre prove verificabili del livello di sicurezza della tua rete.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-il-nac-controllo-degli-accessi-alla-rete\/\">Che cos\u2019\u00e8 il Network Access Control (NAC)? Panoramica e implementazione<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/sicurezza-reti-wireless\/\">Che cos\u2019\u00e8 la sicurezza delle reti wireless per le aziende?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cosa-e-individuazione-della-rete\/\">Che cos\u2019\u00e8 il rilevamento della rete?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/che-cos-e-una-vlan\/\">Che cos\u2019\u00e8 una VLAN nell\u2019IT e nel networking?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-di-segmentazione-della-rete\/\">Migliora la tua sicurezza con 10 best practice per la segmentazione della rete<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Per prevenire il VLAN hopping occorre blindare le porte di accesso, mettere in sicurezza le VLAN native, abilitare le protezioni di livello 2 come DHCP Snooping e DAI e applicare un controllo degli accessi basato su 802.1X. Le VLAN sono uno strumento molto usato dagli amministratori per segmentare il traffico. Questi dispositivi possono migliorare le [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":734413,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4367],"tags":[],"class_list":["post-915589","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicurezza"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915589","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=915589"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915589\/revisions"}],"predecessor-version":[{"id":915590,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/915589\/revisions\/915590"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/734413"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=915589"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=915589"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=915589"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}