같은 스위치에 연결된 개발서버와 운영서버가 있습니다. 개발팀이 실수로 브로드캐스트 폭풍을 일으켰고, 트래픽이 운영 서버까지 덮쳐서 응답 지연이 발생했습니다. 네트워크를 물리적으로 분리하지 않으면 이런 사고가 반복됩니다. VLAN은 물리 장비를 추가하지 않고 네트워크를 논리적으로 분리하는 방법으로, 이 원리를 이해하면 클라우드의 VPC 개념도 자연스럽게 연결됩니다.

확대

브로드캐스트 도메인이란

이더넷 네트워크에서 ARP, DHCP 등의 브로드캐스트 패킷은 같은 L2 세그먼트의 모든 호스트에게 전달됩니다. 이 범위를 브로드캐스트 도메인이라고 합니다.

스위치 1대에 100대 서버 연결 시 (VLAN 없음)

서버 A가 ARP 브로드캐스트 전송
    ↓
서버 B, C, D ... Z (99대) 전부 수신 및 처리
→ 불필요한 CPU 소모
→ 보안 문제 (내부 망 구조 노출)
→ 장애 전파 범위 넓음

VLAN으로 브로드캐스트 도메인 분리

VLAN은 물리 스위치를 논리적으로 나눠 각 그룹이 서로의 브로드캐스트를 보지 못하게 합니다. 아래 구조에서 개발망의 ARP는 운영망 서버에 전혀 전달되지 않습니다.

VLAN 10 (개발망): 서버 A, B, C
VLAN 20 (운영망): 서버 D, E, F
VLAN 30 (관리망): 서버 G, H

서버 A가 ARP 브로드캐스트 전송
    ↓
VLAN 10 내의 서버 B, C만 수신
서버 D~H는 수신하지 않음 ← 격리 성공!

VLAN이 해결하는 문제들

언제 VLAN이 필요한가

• 개발/스테이징/운영 환경을 같은 물리 인프라에서 분리할 때
• PCI-DSS, HIPAA 등 컴플라이언스 요구 보안 분리
• 멀티테넌트 환경에서 고객 간 격리
• IoT/OT 장비를 IT 네트워크와 분리

VLAN을 설정했는데 같은 VLAN 내에서도 통신이 안 됩니다. 스위치 포트 설정을 보면 어떤 포트는 access mode, 어떤 포트는 trunk mode로 되어 있습니다. 이 차이를 모르면 잘못 설정해도 어디가 틀린지 찾을 수 없습니다. 802.1Q 태깅이 어떻게 VLAN 정보를 프레임에 실어 나르는지 이해해야 포트 설정이 왜 이렇게 나뉘는지 납득이 됩니다.

확대

802.1Q 프레임 구조

802.1Q 표준은 이더넷 프레임에 4바이트의 VLAN 태그를 삽입합니다.

확대

VID(VLAN Identifier)는 12비트이므로 최대 4094개의 VLAN을 구성할 수 있습니다.

Access 포트 vs Trunk 포트

확대

• Access 포트 — 일반 서버/PC 연결용. 태그 없는 프레임을 받아 VLAN 태그를 붙이고, 보낼 때 태그를 제거한다(단말은 VLAN을 모름).
• Trunk 포트 — 스위치 간 또는 서버 VLAN 트렁킹용. 여러 VLAN의 태그 프레임을 그대로 실어 나른다(상대는 VLAN 인식).

PVID (Port VLAN ID)

Access 포트의 기본 VLAN을 PVID 또는 Native VLAN이라고 합니다. 태그 없는 프레임이 들어오면 해당 포트의 PVID로 처리됩니다.

스위치 포트 설정:
- 포트 1: PVID=10 (개발망 서버)
- 포트 2: PVID=20 (운영망 서버)
- 포트 24: Trunk (다른 스위치 연결)

리눅스 서버에서의 VLAN 처리

리눅스 서버를 스위치 Trunk 포트에 연결하면, 서버에서 직접 VLAN을 처리할 수 있습니다.

물리 NIC eth0를 Trunk 포트에 연결하면, 그 위에 VLAN별 서브인터페이스를 만들 수 있습니다.

• eth0.10 — VLAN 10 (192.168.10.x)
• eth0.20 — VLAN 20 (192.168.20.x)
• eth0.30 — VLAN 30 (192.168.30.x)

이를 통해 NIC 하나로 여러 망에 동시 접속이 가능합니다.

VLAN을 나눴는데 통신이 되거나 안 되는 이유를 이해하려면, 그 아래에서 스위치가 프레임 한 개를 어떻게 처리하는지를 먼저 봐야 합니다. 스위치는 라우터처럼 IP를 보지 않습니다 — 오직 MAC 주소를 배우고(learning), 그 학습된 표를 보고 목적지 포트로만 보내며(forwarding), 모르면 뿌리고(flooding), 이 모든 걸 같은 VLAN 안에서만 합니다. 이 5단계를 알면 "MAC 플래핑", "브로드캐스트 폭풍", "PVID 불일치로 단절" 같은 L2 장애가 각각 어느 단계의 고장인지 보입니다.

[스위치]  프레임 수신 (in: 포트3, VLAN 10)
   │
   ① 프레임 수신 → 들어온 포트·VLAN 확인
   │
   ② 출발지 MAC 학습
   │    (출발지MAC, 포트3, VLAN10)을 MAC 주소 테이블에 기록
   │
   ③ 목적지 MAC 조회 (MAC 테이블에서)
   │
   ④ 포워딩 결정
   │    ├─ 테이블에 있음 → 그 포트로만 전달
   │    ├─ 없음(unknown unicast)·브로드캐스트 → 같은 VLAN 전 포트로 플러딩
   │    └─ 학습이 쌓이면 다음부터는 플러딩 안 함
   │
   ⑤ VLAN 경계 적용
   │    전달·플러딩 모두 같은 VLAN 안에서만 → 다른 VLAN엔 안 감
   ▼
같은 VLAN이면 도달, 다른 VLAN이면 라우터/L3를 거쳐야

각 단계에서 무슨 일이 일어나고, 어긋나면 어떤 증상인가:

정리하면 스위치의 일은 **"배우고(②)·찾고(③)·같은 VLAN 안에서만 보낸다(④·⑤)"**로 요약됩니다. 그래서 L2 장애는 단계로 대응됩니다 — 같은 VLAN 두 호스트가 아예 안 되면 ①·⑤의 VLAN/PVID 불일치, 통신은 되는데 간헐적으로 끊기고 로그에 같은 MAC이 포트를 오가면 ②의 MAC 플래핑(대개 물리 루프), 특정 시점에 망 전체가 느려지고 브로드캐스트가 폭증하면 ④의 브로드캐스트 폭풍입니다. 진단은 스위치의 show mac address-table로 MAC이 어느 포트·VLAN에 학습됐는지 보고, 서버에선 tcpdump -e -n vlan으로 프레임에 붙은 <VLAN 태그>가 기대한 값인지 확인하는 것으로 시작합니다.

온프레미스에서는 VLAN으로 망을 분리하지만, AWS/GCP 같은 클라우드에서는 같은 개념이 다른 이름으로 구현됩니다.

확대

실제 대응 예시:

클라우드 Security Group = VLAN + 방화벽 — 온프레미스의 두 계층 기능을 하나의 규칙 셋으로 통합합니다:

온프레미스: VLAN으로 격리 + 별도 방화벽 장비로 차단
AWS:        VPC 서브넷 분리 + Security Group으로 포트 제어

Security Group 규칙 예시 (DB 서버):
  Inbound:  TCP 3306  from  10.0.2.0/24 (운영 서브넷만 허용)
  Inbound:  TCP 3306  from  10.0.100.0/24 (관리 서브넷만 허용)
  Outbound: 모두 차단 (DB는 외부 연결 불필요)

개발자는 스위치를 만질 일이 없지만, "왜 이 서버가 저 서버랑 통신이 안 되는가"를 이해하려면 VLAN 개념을 알아야 VPC 서브넷 설계를 제대로 할 수 있습니다.

VLAN은 '태그로 나눈다'가 핵심인데, 트렁크에는 태그를 안 붙이는 예외가 하나 있습니다 — 네이티브 VLAN입니다. 이 예외를 이해하지 못하면, 잘 나눴다고 믿은 망에서 트래픽이 새거나(설정 실수) 공격자가 격리를 뛰어넘는(VLAN hopping) 구멍이 생깁니다.

• 트렁크의 네이티브 VLAN은 태그 없이 전송됩니다: 802.1Q 트렁크는 여러 VLAN을 태그로 구분하지만, '네이티브 VLAN' 한 개는 관례상 태그 없이(untagged) 흘려보냅니다(기본은 VLAN 1). 받는 쪽은 태그 없는 프레임을 자기 네이티브 VLAN 소속으로 간주합니다.
• 양단 네이티브 VLAN이 다르면 트래픽이 샙니다: 트렁크 한쪽이 네이티브 VLAN 1, 반대쪽이 99이면, 한쪽의 VLAN 1 트래픽이 태그 없이 건너가 반대쪽 VLAN 99로 섞여 들어갑니다. '나눴는데 새는' 조용한 격리 붕괴이고, CDP/LLDP에서 native VLAN mismatch 경고로 드러납니다.
• 더블 태깅 VLAN 호핑: 공격자가 네이티브 VLAN 포트에서 802.1Q 태그를 두 개 겹쳐 보내면, 첫 스위치가 바깥(네이티브) 태그를 벗겨 트렁크로 내보내고, 두 번째 스위치가 안쪽 태그를 읽어 피해 VLAN으로 전달합니다 — 격리를 한 방향으로 뛰어넘는 공격입니다.
• 방어(port security·VLAN filtering): 네이티브 VLAN을 VLAN 1이 아닌 미사용 전용 VLAN으로 바꾸고, 가능하면 네이티브도 태그하도록(vlan dot1q tag native) 강제합니다. 트렁크의 allowed vlan을 필요한 것만 명시(프루닝)하고, 액세스 포트는 미사용 시 블랙홀 VLAN에 넣고 트렁크 자동협상(DTP)을 끕니다.