VLAN Reference

VLAN 네트워크 구성 레퍼런스

25개 결과

VLAN Reference 소개

이 VLAN 레퍼런스는 Cisco 스위치에서의 가상 LAN 설정에 대한 포괄적이고 검색 가능한 가이드로, 기본설정, 트렁킹, VTP, 인터VLAN 라우팅, 프루닝, 보안의 6개 카테고리로 구성되어 있습니다. 각 항목은 정확한 IOS 명령어 구문과 함께 네트워크 환경에 바로 적용할 수 있는 실용적인 설정 예제를 포함하고 있으며, VLAN 생성 및 액세스 포트 할당부터 802.1Q 트렁크 링크 설정과 네이티브 VLAN 구성까지 다룹니다.

이 레퍼런스는 IEEE 802.1Q 태그 구조(1~4094 범위의 12비트 VLAN ID, 3비트 802.1p 우선순위), DTP 협상 모드(dynamic auto, dynamic desirable, nonegotiate), 중앙 집중식 VLAN 데이터베이스 관리를 위한 VTP 서버/클라이언트/투명 모드, 그리고 서브인터페이스를 이용한 Router-on-a-Stick과 ip routing 명령을 사용하는 L3 SVI 기반 라우팅 등 핵심 네트워킹 개념을 다룹니다.

Layer 2 보안 기능도 철저하게 문서화되어 있으며, sticky MAC 학습과 위반 모드를 갖춘 포트 보안, 불법 DHCP 서버를 차단하는 DHCP 스누핑, ARP 스푸핑 방지를 위한 Dynamic ARP Inspection, 스톰 제어 임계값, VLAN 내 격리를 위한 프라이빗 VLAN, VLAN 내 트래픽 필터링을 위한 VACL이 포함됩니다. CCNA/CCNP 시험을 준비하거나 운영 환경의 스위치 인프라를 관리하는 네트워크 엔지니어에게 유용합니다.

주요 기능

VLAN 생성, 이름 지정, 포트 할당(액세스/음성), 삭제까지 완전한 VLAN 라이프사이클 명령어와 IOS 구문
트렁크 허용 VLAN 목록, 네이티브 VLAN 보안 강화, DTP 협상 제어를 포함한 802.1Q 트렁킹 설정
도메인, 패스워드, 버전 설정 예제와 함께하는 VTP 서버, 클라이언트, 투명 모드 구성
인터VLAN 라우팅 방식: Router-on-a-Stick 서브인터페이스 캡슐화와 ip routing을 사용하는 L3 스위치 SVI
트렁크 링크의 불필요한 브로드캐스트 트래픽 제거를 위한 VTP 프루닝과 수동 트렁크 프루닝
sticky MAC, 최대 MAC 제한, 위반 동작(shutdown, restrict, protect)을 갖춘 포트 보안
Layer 2 공격 완화를 위한 DHCP 스누핑, Dynamic ARP Inspection, 스톰 제어 설정
세밀한 VLAN 내 트래픽 제어를 위한 프라이빗 VLAN(primary/isolated/community)과 VACL(vlan access-map)

자주 묻는 질문

액세스 포트와 트렁크 포트의 차이는 무엇인가요?

액세스 포트는 단일 VLAN에 속하며 해당 VLAN의 태그 없는 트래픽만 전달하고, 일반적으로 PC나 프린터 같은 엔드 디바이스를 연결합니다. 트렁크 포트는 802.1Q 태그를 사용하여 여러 VLAN의 트래픽을 동시에 전달하며, 스위치 간 또는 스위치-라우터 간 링크에 사용됩니다. "switchport mode access"와 "switchport access vlan X"로 액세스 포트를, "switchport mode trunk"로 트렁크를 설정합니다.

네이티브 VLAN을 기본 VLAN 1에서 변경해야 하는 이유는?

네이티브 VLAN은 트렁크 링크에서 태그 없는 트래픽을 전달합니다. 기본값인 VLAN 1로 두면 VLAN 호핑이라는 보안 위험이 생기는데, 공격자가 이중 태그된 802.1Q 프레임을 만들어 접근 권한이 없는 VLAN에 도달할 수 있습니다. "switchport trunk native vlan 99"로 사용하지 않는 VLAN을 네이티브 VLAN으로 설정하고 사용자 트래픽을 할당하지 않는 것이 모범 사례입니다.

VTP 서버, 클라이언트, 투명 모드의 차이는?

VTP 서버 모드는 VLAN을 생성, 수정, 삭제할 수 있으며 변경 사항을 전체 VTP 도메인에 전파합니다. 클라이언트 모드는 서버로부터 VLAN 업데이트를 수신하고 적용하지만 로컬 VLAN 변경은 불가능합니다. 투명 모드는 VTP 동기화에 참여하지 않지만 VTP 광고를 전달하며, VLAN을 로컬에서 관리합니다. 대부분의 최신 네트워크에서는 안전을 위해 투명 모드나 VTP 버전 3을 사용합니다.

Router-on-a-Stick과 SVI 중 어떤 것을 사용해야 하나요?

Router-on-a-Stick은 스위치의 트렁크 포트에 연결된 라우터의 서브인터페이스(예: GigabitEthernet0/0.10, encapsulation dot1q 10)를 사용합니다. 소규모 네트워크에 적합하지만 모든 인터VLAN 트래픽이 단일 물리 링크를 통과하여 대역폭 병목이 됩니다. L3 스위치의 SVI 기반 라우팅(interface vlan 10에 ip address, ip routing 활성화)은 와이어 스피드 라우팅을 제공하며 엔터프라이즈 네트워크에 권장됩니다.

sticky MAC 주소를 사용한 포트 보안은 어떻게 작동하나요?

Sticky MAC 학습은 포트에 연결된 MAC 주소를 동적으로 학습하고 running-config에 저장하여, config를 저장하면 리로드 후에도 유지됩니다. "switchport port-security mac-address sticky"로 설정하고 최대 MAC 수를 지정합니다. 제한 초과 시 위반 동작이 응답을 결정합니다: shutdown은 포트 비활성화, restrict는 위반 프레임 드롭 및 로깅, protect는 위반 프레임을 조용히 드롭합니다.

DHCP 스누핑이란 무엇이며 왜 중요한가요?

DHCP 스누핑은 신뢰/비신뢰 포트 모델을 만드는 Layer 2 보안 기능입니다. "ip dhcp snooping trust"로 표시된 포트(일반적으로 합법적인 DHCP 서버로의 업링크)만 DHCP 서버 응답을 보낼 수 있습니다. 다른 모든 포트는 비신뢰로, DHCP 클라이언트 요청만 보낼 수 있습니다. 불법 DHCP 서버의 잘못된 IP 설정 배포나 중간자 공격을 방지하며, Dynamic ARP Inspection이 사용하는 바인딩 테이블도 구축합니다.

프라이빗 VLAN이란 무엇이며 언제 사용하나요?

프라이빗 VLAN은 같은 VLAN 내 포트 간 격리를 제공합니다. 기본(primary) VLAN은 격리(isolated, 포트 간 통신 불가)나 커뮤니티(community, 같은 커뮤니티 내 통신 가능) 유형의 보조 VLAN을 포함합니다. ISP 환경에서 여러 고객이 서브넷을 공유하면서 격리가 필요한 경우나, 서버 간 측면 통신을 차단해야 하는 DMZ 세그먼트에 사용합니다.

VTP 프루닝과 수동 트렁크 허용 VLAN 설정의 차이는?

VTP 프루닝은 수신 스위치에 활성 포트가 없는 VLAN의 트래픽을 트렁크 링크에서 자동으로 차단하여 불필요한 브로드캐스트 트래픽을 줄이는 자동 메커니즘이며, "vtp pruning"으로 전역 활성화합니다. 수동 프루닝은 "switchport trunk allowed vlan"으로 트렁크가 전달하는 VLAN을 정적으로 정의합니다. 수동 프루닝이 더 많은 제어를 제공하며 VTP를 사용하지 않는 네트워크에서 선호되고, VTP 프루닝은 포트 VLAN 할당 변경에 따라 자동으로 적응합니다.