VLAN — 하나의 스위치를 여러 개처럼 나누기
물리적으로는 같은 스위치에 꽂혀 있어도, 논리적으로 VLAN을 나누면 서로 다른
브로드캐스트 도메인으로 분리된다. 케이블을 다시 꽂지 않고도 "회계팀 네트워크"와
"개발팀 네트워크"를 완전히 격리할 수 있는 이유다.
브로드캐스트 도메인 실험
스위치A ── Trunk 링크 (VLAN 10·20 태그된 프레임이 함께 지나감) ── 스위치B
// PC를 선택하고 브로드캐스트를 보내 보세요
VLAN이 켜져 있으면(ON), 브로드캐스트는 같은 VLAN 번호를 가진 포트에만 도달한다.
다른 스위치에 있어도 같은 VLAN이면 트렁크를 통해 전달되고, 같은 스위치라도 VLAN이 다르면 차단된다.
802.1Q 태그 — 프레임 어디에 VLAN 번호를 적을까
트렁크 링크를 지나는 프레임은 원래 이더넷 프레임 중간에 4바이트 태그가 끼워진다.
Dest MAC6B
Src MAC6B
802.1Q Tag4B (삽입됨)
EtherType2B
Payload46~1500B
FCS4B
TPID
0x8100
"태그 있음" 표시
PCP
3bit
우선순위 (QoS)
DEI
1bit
혼잡 시 폐기 허용
VID
12bit
VLAN 번호 (0~4094)
VID가 12비트이므로 VLAN 번호는 최대 4094개까지 만들 수 있다. 스위치가 트렁크로 프레임을 내보낼 때
이 태그를 붙이고, 액세스 포트로 PC에 전달하기 직전 태그를 다시 벗겨낸다 —
그래서 PC는 VLAN의 존재조차 모른다.
액세스 포트 vs 트렁크 포트
액세스(Access) 포트
PC·프린터 등 일반 단말이 연결. 오직 하나의 VLAN에만 속하고
프레임은 태그 없이(untagged) 오간다.
트렁크(Trunk) 포트
스위치-스위치, 스위치-라우터 간 연결. 여러 VLAN의 프레임이
802.1Q 태그를 달고 한 케이블로 함께 지나간다.
스위치 설정 예시
# 액세스 포트 — PC-A용
interface Gi0/1
switchport mode access
switchport access vlan 10
# 트렁크 포트 — 스위치B로
interface Gi0/5
switchport mode trunk
switchport trunk allowed vlan 10,20
왜 쓸까? ① 브로드캐스트 폭풍이 VLAN 경계를 못 넘어 성능이 좋아지고,
② 부서별로 트래픽이 격리돼 보안이 강화되며, ③ 자리를 옮겨도 케이블 재배선 없이 포트 설정만 바꾸면
소속 네트워크를 바꿀 수 있다. 단, 서로 다른 VLAN끼리 통신하려면 라우터나 L3 스위치를 통한
Inter-VLAN 라우팅이 별도로 필요하다 — 스위치만으로는 VLAN 경계를 넘을 수 없다.