# VLAN (Virtual Local Area Network)

**VLAN**(Virtual Local Area Network, 가상 로컬 영역 네트워크)은 물리적인 네트워크 장비의 배치와 무관하게 논리적으로 네트워크를 분할하고 그룹화하는 기술입니다. 기존의 물리적 LAN이 케이블과 스위치의 물리적 연결에 의해 결정되는 반면, VLAN은 스위치 설정을 통해 하나의 물리적 스위치를 여러 개의 독립적인 논리적 브로드캐스트 도메인으로 나눌 수 있게 해줍니다. 이는 네트워크 관리의 효율성을 높이고, 보안을 강화하며, 트래픽 혼잡을 줄이는 데 핵심적인 역할을 합니다.

## 개요 및 필요성

전통적인 브로드캐스트 기반 네트워크에서는 모든 장치가 동일한 브로드캐스트 도메인에 속해 있어, 네트워크 트래픽이 증가할수록 성능이 저하되는 문제가 발생했습니다. 또한, 물리적으로 인접한 장치들만 같은 네트워크에 속할 수밖에 없어, 조직의 구조나 보안 요구사항에 유연하게 대응하기 어려웠습니다.

VLAN은 이러한 한계를 극복하기 위해 등장했습니다. VLAN을 도입하면 다음과 같은 주요 이점을 얻을 수 있습니다:

1.  **브로드캐스트 도메인 분리**: 불필요한 브로드캐스트 트래픽을 제한하여 네트워크 대역폭을 효율적으로 사용합니다.
2.  **보안 강화**: 논리적으로 분리된 네트워크 간에는 직접적인 통신이 불가능하므로, 민감한 데이터가 포함된 부서(예: 재무부서)를 다른 부서와 격리할 수 있습니다.
3.  **유연한 네트워크 구성**: 물리적 이동 없이 소프트웨어 설정만으로 네트워크 구성을 변경할 수 있어 관리 비용이 절감됩니다.
4.  **네트워크 성능 향상**: 충돌 도메인을 세분화하여 데이터 전송 효율을 높입니다.

## VLAN의 작동 원리 및 구성 요소

VLAN은 주로 이더넷 스위치에서 구현되며, 프레임의 태그(Tagging) 방식을 통해 동작합니다. 주요 개념과 프로토콜은 다음과 같습니다.

### 1. IEEE 802.1Q 표준
VLAN을 구현하는 가장 일반적인 표준은 **IEEE 802.1Q**입니다. 이 표준은 이더넷 프레임의 소스 MAC 주소와 타입 필드 사이에 4바이트의 VLAN 태그를 삽입합니다. 이 태그에는 VLAN ID(VLAN Identifier)가 포함되어 있어, 스위치가 해당 프레임이 어느 VLAN에 속하는지 식별할 수 있게 합니다.

### 2. 포트 유형
VLAN 환경에서 스위치 포트는 주로 다음 세 가지 유형으로 분류됩니다:

*   **Access 포트**: 단말 장치(PC, 프린터 등)가 연결되는 포트입니다. 이 포트는 VLAN 태그가 없는 일반 이더넷 프레임을 처리하며, 연결된 장치는 자신이 특정 VLAN에 속해 있다는 사실을 알 필요가 없습니다.
*   **Trunk 포트**: 두 스위치 간 또는 스위치와 라우터 간에 연결되어 여러 VLAN의 트래픽을 동시에 전달하는 포트입니다. Trunk 포트는 802.1Q 태그를 사용하여 각 프레임이 어느 VLAN에 속하는지 표시합니다.
*   **Hybrid 포트**: Access와 Trunk의 기능을 혼합한 포트로, 특정 VLAN의 프레임은 태그 없이, 다른 VLAN의 프레임은 태그를 붙여 전송할 수 있습니다. 주로华为(Huawei)나 H3C 등 일부 제조사의 장비에서 사용됩니다.

### 3. VLAN ID
VLAN ID는 12비트 길이로, 1부터 4094까지의 값을 가질 수 있습니다.
*   **VLAN 1**: 대부분의 스위치에서 기본 VLAN(Management VLAN)으로 할당되며, 보안상 권장되지 않습니다.
*   **VLAN 4095**: 예약된 값으로 사용되지 않습니다.

## VLAN의 주요 유형

VLAN은 생성 방식과 범위에 따라 다음과 같이 분류할 수 있습니다.

| VLAN 유형 | 설명 | 주요 용도 |
| :--- | :--- | :--- |
| **Static VLAN** | 관리자가 스위치 포트에 직접 VLAN을 할당하는 방식. | 소규모 네트워크, 고정된 부서 구조 |
| **Dynamic VLAN** | MAC 주소, 사용자 인증 정보 등을 기반으로 자동으로 VLAN을 할당. | 대규모 기업, 보안 요구사항이 높은 환경 |
| **Voice VLAN** | IP 전화기(VoIP Phone)와 PC를 같은 포트에 연결할 때, 전화기 트래픽을 우선 처리하기 위한 VLAN. | VoIP 환경 구축 |
| **Native VLAN** | Trunk 링크에서 태그가 없는 프레임을 처리하는 VLAN. | 호환성 및 보안(비활성화 권장) |

## VLAN 간 라우팅 (Inter-VLAN Routing)

서로 다른 VLAN에 속한 장치들은 논리적으로 분리되어 있으므로 직접 통신할 수 없습니다. VLAN 간 통신을 위해서는 **라우터** 또는 **레이어 3 스위치**가 필요합니다.

1.  **Router-on-a-Stick**: 단일 라우터 인터페이스를 서브인터페이스(Sub-interface)로 나누어 각 VLAN과 연결하는 방식입니다. 비용은 저렴하지만, 대역폭 병목 현상이 발생할 수 있습니다.
2.  **Layer 3 Switching**: 레이어 3 스위치가 내부적으로 VLAN 간 라우팅을 수행하는 방식입니다. 하드웨어 기반의 고속 라우팅이 가능하여 대규모 네트워크에서 더 효율적입니다.

## 보안 및 관리 시 주의사항

VLAN은 보안을 강화하지만, 잘못된 구성 시 오히려 보안 취약점을 초래할 수 있습니다. 주요 주의사항은 다음과 같습니다:

*   **VLAN 해킹(VLAN Hopping)**: 공격자가 Trunk 포트의 Native VLAN을 조작하거나 Double Tagging 기법을 사용하여 다른 VLAN의 트래픽에 접근하는 공격입니다. 이를 방지하기 위해 사용하지 않는 포트는 Shutdown 처리하고, Native VLAN을 변경하거나 사용하지 않는 VLAN으로 설정해야 합니다.
*   **STP 공격**: 스패닝 트리 프로토콜(Spanning Tree Protocol)을 이용한 공격으로부터 보호하기 위해 PortFast, BPDU Guard 등의 기능을 활성화해야 합니다.
*   **관리 VLAN 분리**: 네트워크 장비의 관리 트래픽이 흐르는 VLAN은 별도로 분리하고, 접근 제어 목록(ACL)을 적용하여 제한된 관리자만 접근할 수 있도록 해야 합니다.

## 결론

VLAN은 현대 네트워크 인프라의 핵심 구성 요소로, 물리적 제약 없이 논리적이고 유연한 네트워크 환경을 제공합니다. 적절한 VLAN 설계와 구성은 네트워크의 확장성, 보안성, 그리고 관리 효율성을 동시에 높여줍니다. 특히 클라우드 컴퓨팅과 소프트웨어 정의 네트워킹(SDN)이 확산되는 현재, VLAN의 개념은 가상 머신과 컨테이너 간의 네트워크 격리 기술로도 확장되어 그 중요성이 더욱 커지고 있습니다.

## 참고 자료 및 관련 문서

*   [IEEE 802.1Q 표준 문서]
*   [레이어 2 스위칭 기술]
*   [레이어 3 라우팅 및 VLAN 간 통신]
*   [네트워크 보안 기초: VLAN 해킹 방지 전략]