VLAN이란? 같은 스위치에서 네트워크를 나누는 방법

NETWORK BASIC · VLAN 기초

옆 포트에 꽂힌 두 PC는, 같은 네트워크일까요?

회사에서는 업무용 PC, 방문객의 노트북, IP 전화기와 CCTV가 같은 스위치에 연결되기도 합니다. 케이블은 한곳에 모여 있어도, 이 장비들을 모두 같은 통신 구역에 둘 필요는 없습니다. 이때 사용하는 기본 기술이 VLAN입니다.

VLAN은 하나의 물리 네트워크를 여러 개의 논리적인 Layer 2 통신 구역으로 나누는 방법입니다. Virtual Local Area Network의 줄임말로, 스위치와 케이블을 따로 마련하지 않아도 트래픽의 소속을 구분할 수 있습니다.

1. 브로드캐스트의 경계

브로드캐스트는 같은 통신 구역에 있는 여러 장비에게 보내는 알림입니다. IPv4에서 다른 장비의 MAC 주소를 찾는 일반적인 ARP 요청이 한 예입니다. 스위치는 이런 프레임을 같은 VLAN 안의 다른 전달 가능한 포트로 보냅니다.

여기서 VLAN이 경계가 됩니다. VLAN 10의 Layer 2 브로드캐스트를 VLAN 20으로 그대로 넘기지는 않습니다. 이 범위를 ‘브로드캐스트 도메인’이라고 합니다. VLAN을 나눈다는 말은 이 범위를 나눈다는 뜻으로 이해하면 좋습니다.

모든 통신이 브로드캐스트인 것은 아닙니다. 목적지가 확인된 일반 유니캐스트는 해당 목적지 쪽으로 전달합니다. VLAN은 그 전달이 이루어지는 Layer 2 구역을 구분합니다.

2. 업무망과 게스트망 예시

스위치 한 대에서 PC-A와 PC-B는 업무용 VLAN 10, 방문객 PC-C는 VLAN 20에 넣었다고 해보겠습니다. 포트가 나란히 있어도 A와 C는 서로 다른 Layer 2 구역에 속합니다.

그룹	IPv4 주소 대역 예시
VLAN 10 · 업무용 A·B	192.168.10.0/24
VLAN 20 · 게스트 C	192.168.20.0/24

일반적인 설계에서는 VLAN마다 별도의 IP 서브넷을 하나씩 배정합니다. 위 표는 읽기 쉽게 VLAN 번호와 주소의 세 번째 숫자를 맞췄을 뿐, VLAN 10이 반드시 192.168.10.x를 써야 하는 것은 아닙니다. VLAN 번호는 Layer 2의 소속이고, IP 주소와 서브넷은 Layer 3의 주소 체계입니다.

PC의 IP 주소만 바꾼다고 스위치 포트의 VLAN 소속까지 바뀌지는 않습니다. 반대로 같은 VLAN에 꽂았더라도 IP 대역·서브넷 마스크·단말 방화벽 등이 맞지 않으면 기대한 통신이 되지 않을 수 있습니다.

3. VLAN 사이의 통신

같은 VLAN 10에 있고 같은 IP 대역을 사용하는 A와 B는, 일반적인 구성에서 게이트웨이를 거치지 않고 스위칭으로 통신합니다. 반면 A가 다른 서브넷인 VLAN 20의 C로 가려면 VLAN 사이를 라우팅할 Layer 3 기능이 필요합니다.

이 역할은 L3 스위치나 라우터, 해당 구성을 지원하는 방화벽 등이 맡습니다. VLAN을 두 개 만들었다고 이 경로까지 자동으로 완성되지는 않습니다. 게이트웨이 주소와 라우팅, 허용 정책을 함께 구성해야 합니다.

VLAN은 통신 구역을 나누고, 접근 정책은 그 구역 사이의 허용 범위를 정합니다. 라우팅을 열어두면 업무망과 게스트망 사이에도 통신이 가능해질 수 있습니다. 방문객에게 인터넷만 허용하려면 내부망 접근을 제한할 ACL이나 방화벽 정책까지 별도로 설계해야 합니다.

4. Access와 Trunk의 역할

Access는 일반적인 PC 연결에서 한 VLAN의 트래픽을 주고받도록 사용하는 방식입니다. PC가 VLAN 태그를 붙이지 않아도, 스위치가 포트 설정에 따라 해당 프레임을 어느 VLAN에 넣을지 판단합니다.

Trunk는 하나의 링크로 여러 VLAN의 트래픽을 구분해 전달하는 방식입니다. 대표적인 IEEE 802.1Q 방식은 프레임에 VLAN을 식별할 정보를 담습니다. 아래 그림에서는 VLAN 10과 20을 모두 태그로 운반한다고 가정합니다. 실제 장비에서는 Native VLAN이나 Untagged 처리도 양쪽 설정과 맞춰야 합니다.

Access와 Trunk는 용도가 정해진 장비 이름이 아닙니다. 보통 PC 쪽은 Access, 스위치 사이에는 Trunk를 쓰지만, 한 VLAN만 연결하는 스위치 간 링크나 태그를 처리하는 서버·AP처럼 다른 형태도 있습니다. 연결 대상이 어떤 트래픽을 보내고 받아야 하는지가 설정의 기준입니다.

5. VLAN을 나누는 기준

업무용·게스트·전화·CCTV처럼 역할이 다른 단말을 구분하거나, 사용자망과 장비 관리망을 나누는 데 사용할 수 있습니다. 층이나 방이 같아야 같은 VLAN인 것은 아닙니다. 필요한 VLAN이 스위치 사이의 경로를 따라 올바르게 이어져 있다면 물리적인 위치와 논리적인 소속을 다르게 구성할 수 있습니다.

다만 VLAN을 많이 만드는 것 자체가 목표가 되면 관리가 복잡해집니다. 먼저 같이 묶을 장비, 나눌 이유, 서로 허용할 통신을 정하고 번호·이름·주소 대역·게이트웨이를 기록해두는 편이 좋습니다. VLAN만으로 암호화나 모든 보안 문제가 해결되는 것도 아닙니다.

6. 기억할 세 가지

1. 같은 스위치 ≠ 같은 VLAN. 물리적인 연결과 논리적인 소속은 다릅니다.
2. VLAN 번호 ≠ IP 주소. 번호를 비슷하게 맞추는 것은 관리상의 약속입니다.
3. 다른 VLAN의 일반적인 IP 통신에는 라우팅이 필요합니다. 실제 허용 범위는 정책으로 정합니다.

실습을 시작한다면 스위치 한 대와 PC 두 대로 같은 VLAN에서의 통신을 먼저 확인해보세요. 그다음 서로 다른 VLAN으로 나눴을 때 무엇이 달라지는지 비교하면, 설정 명령어가 단순한 암기에서 벗어나기 시작합니다.

다음으로 읽기 · Aruba CX VLAN·Access 포트 설정 · Cisco Catalyst VLAN·Access 설정

---

원리 대조: Cisco VLAN·VLAN 간 라우팅 개요 · Meraki 802.1Q 기초 · Aruba VLAN 동작 설명. 벤더 공통 입문 글이며 특정 모델의 지원 범위나 설정 명령을 보장하지 않습니다.

---

함께 보는 공식 매뉴얼

글의 주제를 더 자세히 확인할 수 있는 공식 원문입니다. 문서별 적용 모델과 OS 버전을 확인해 주세요.

• AOS-CX Layer 2 Bridging Guide
  Aruba CX 4100i / 6000 / 6100 / 6200 · AOS-CX 10.13
  VLAN·Access/Trunk・Native VLAN 설정과 적용 제품 목록
  PDF 매뉴얼 보기 ↗

• VLAN Configuration Guide
  Catalyst 9200 · IOS XE 17.15.x
  VLAN 생성·Access 포트 배정·Trunk 관련 장
  PDF 매뉴얼 보기 ↗