Re: R:R: PenTestL2

On Mon, Apr 08, 2002 at 10:09:07AM +0200, Filippo Cassini wrote:
> 
> Se l'802.1q e' rispettato (ma cio' non sembra, stando al documento su 
> http://rr.sans.org/switchednet/switch_security.php)
> questa cosa non deve succedere. Ti faccio un esempio. Ho qui in laboratorio 
> dei bilanciatori Alteon, che di base lavorano come switch. Su queste 
> macchine, solo le porte in trunk di VLAN 802.1q supportano i frame taggati. 
> Se tu ti presenti con frame taggati sulla porta sbagliata, questi vengono 
> immediatamente droppati. Se poi cisco si inventa altre cose per ovviare a 
> questa mancanza, a mio avviso gravissima, questo e' un altra storia. Comunque 
l'unica cosa che mi viene in mente e' che con 802.1d (spanning tree)
per tutti tranne che per cisco c'e' un unica istanza di spanning tree per tutte le vlan,
questo probabilemnte permette di determinare mac address di oggetti che non
stanno nella tua vlan.
se poi con questa informazione si riesce a fare qualcosa o meno non saprei.
se gli switch sono configurati correttamente e non permettono pacchetti taggati
dalle porte non in trunk credo di no.

L.

-- 
Luca Berra -- bluca@comedia.it
        Communication Media & Services S.r.l.
 /"\
 \ /     ASCII RIBBON CAMPAIGN
  X        AGAINST HTML MAIL
 / \

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List