VLAN 가상 근거리 통신망

스위치 기반 망을 논리적으로 분리하는 기술.

VLAN은 스위치 기반 네트워크에서 논리적으로 분리한 근거리 통신망입니다. 같은 물리 장비 안에서도 서로 다른 방송 도메인으로 나누는 데 사용합니다.

하나의 스위치를 쓰더라도 업무망과 다른 용도의 망을 논리적으로 구분하는 방식입니다. 실제로 서로 통신할 수 있는지는 별도 경로와 정책에 달려 있습니다.

NAS의 관리망과 사용자망 또는 별도의 저장 네트워크를 구분하는 설명에 사용합니다.

VLAN 번호를 지정하는 것만으로 보안 정책이 완성되지는 않습니다. 연결 포트의 태그 처리와 라우팅 및 접근 제한이 함께 맞아야 합니다.

분리만으로 모든 접근제어가 완성되지는 않는다.

VLAN 태그는 이더넷 프레임이 어느 VLAN에 속하는지 구분하는 정보입니다. 여러 VLAN을 전달하는 연결에서는 이 태그를 사용하고, 단말 연결 포트는 태그 없는 프레임을 포트에 지정한 VLAN으로 처리할 수 있습니다. 실제 동작은 스위치와 NAS 양쪽의 설정을 따릅니다.

VLAN은 링크 계층의 논리 분리이고 IP 서브넷은 주소 접두부에 따른 구분입니다. 서로 다른 VLAN 사이의 라우팅과 허용 정책이 있으면 통신할 수 있으므로 VLAN 번호만 다르게 한 것을 완성된 접근 차단으로 표현하지 않습니다.

스위치는 VLAN 소속에 따라 프레임 전달 범위를 나눕니다. VLAN과 IP 서브넷은 계층이 다른 개념이며, 운영상 한 VLAN에 한 서브넷을 대응시키는 설계가 흔하지만 동일한 정의는 아닙니다.

같은 스위치에 연결된 업무 PC와 방문자 단말을 서로 다른 VLAN에 배치할 수 있습니다. VLAN 사이에 필요한 서버 접근만 허용하려면 라우팅과 ACL 또는 방화벽 정책을 별도로 설계합니다.

액세스 포트는 일반적인 단말 연결, 트렁크는 한 링크에 여러 VLAN을 운반하는 방식입니다. 802.1Q 태그, 태그 없이 들어오는 프레임의 분류와 네이티브 VLAN은 서로 관계가 있지만 같은 설정 이름은 아닙니다.

VLAN 번호가 IP 주소의 일부를 자동으로 정하지 않습니다. 양쪽 스위치의 허용 VLAN과 태그 처리, 단말 주소와 게이트웨이가 맞는지 각각 확인해야 합니다.

VLAN은 L2 전달 영역을 구분합니다. 액세스 포트와 트렁크 및 PVID와 네이티브 VLAN은 태그를 분류하고 전달하는 역할을 나누어 설명해야 합니다. 관리 VLAN과 음성 VLAN은 운영 목적이고 PVLAN은 같은 네트워크 안에서 단말 사이의 직접 전달을 제한하는 기능입니다. VLAN 사이를 라우팅하면 통신이 가능할 수 있으므로 접근 차단은 L3 정책과 함께 판단합니다.

이 절의 용어: Voice VLAN / 음성 VLAN

음성 VLAN은 IP 전화 등의 음성 트래픽을 별도 VLAN으로 분리해 처리하는 구성입니다.

한 포트에 전화기와 PC가 함께 연결될 때 데이터 트래픽과 음성 트래픽을 구분할 수 있습니다. 전화기에 VLAN과 QoS 정보를 알리는 방식은 장비마다 다릅니다.

책상 위 전화기의 PC 연결 포트를 이용하면서 전화와 업무 단말에 서로 다른 VLAN 정책을 적용할 수 있습니다.

LLDP-MED나 제조사 탐색 기능으로 설정을 알리기도 하고 수동 지정하기도 합니다. 음성 VLAN과 음성 패킷의 우선순위는 별도 설정입니다.

전화기가 광고한 정보만으로 신뢰할지와 접속 인증 및 QoS 신뢰 경계를 확인해야 합니다.

이 절의 용어: Management VLAN / 관리 VLAN

관리 VLAN은 스위치나 AP 등의 관리 통신을 다른 업무 트래픽과 구분하기 위해 사용하는 VLAN입니다.

일반적으로 관리 주소에 접근하는 경로와 접속 권한을 별도로 제어합니다. 특정 VLAN 번호가 국제적으로 고정된 관리 VLAN인 것은 아닙니다.

업무용 단말이 장비 관리 화면에 직접 접근하지 못하도록 관리망 경로와 ACL을 구성할 수 있습니다.

네이티브 VLAN은 태그 처리 규칙이고 관리 VLAN은 운영 목적입니다. 둘이 같을 수도 있지만 같은 개념은 아닙니다.

관리 주소가 존재하는 VLAN에 접근 제어가 자동으로 붙지는 않습니다. 원격 관리 경로를 잃지 않도록 변경 영향을 확인합니다.

Cisco: Configuring VLANs

Juniper: Understanding Private VLANs

Cisco: LLDP MED Network Policy