- VLAN은 물리적 네트워크를 격리된 논리적 네트워크로 분할하여 브로드캐스트 트래픽을 줄이고 성능을 향상시킵니다.
- 액세스 포트, 트렁크 및 네이티브 VLAN을 올바르게 사용하는 것은 VLAN 호핑 및 스위치 스푸핑 공격을 방지하는 데 핵심입니다.
- VLAN 간 라우팅은 항상 누가 누구와 통신할 수 있는지를 정확하게 제어하는 ACL 또는 방화벽과 함께 사용되어야 합니다.
- VACL, PVLAN 및 사용하지 않는 포트에 대한 엄격한 관리는 복잡한 기업 네트워크에서 보안 및 제어를 강화합니다.
기업 네트워크를 관리해 본 경험이 있다면, 모든 시스템을 빠르고 안전하게 운영하는 것이 결코 쉬운 일이 아니라는 것을 잘 알고 계실 겁니다. 팀, 서비스, 애플리케이션이 성장함에 따라 브로드캐스트, 병목 현상, 보안 문제가 곳곳에서 발생하기 시작합니다.
이러한 혼란을 정리하는 가장 강력한 도구 중 하나는 VLAN(가상 LAN) 입니다 . 잘 설계하고 구성하면 네트워크를 분할하고 불필요한 트래픽을 줄이며 부서를 격리하고 중요 서비스를 보호할 수 있습니다. 하지만 제대로 구현되지 않으면 보안 취약점이 되거나 관리상의 악몽이 될 수 있습니다.
VLAN이란 정확히 무엇이며 보안에 왜 중요한가요?
VLAN은 기본적으로 동일한 물리적 인프라(동일한 스위치, 케이블, Wi-Fi 액세스 포인트)에서 실행되는 별도의 논리적 네트워크 입니다 . 논리적으로 VLAN에 속한 장치들은 서로 다른 층이나 건물에 위치하더라도 마치 별도의 LAN에 있는 것처럼 동작합니다.
이를 통해 PC, 서버, IP 전화기, 프린터 또는 IP 카메라 그룹이 다른 그룹과 격리된 자체 브로드캐스트 도메인을 형성할 수 있습니다 . 브로드캐스트 및 멀티캐스트 패킷은 전체 네트워크에 전파되는 대신 해당 VLAN 내에 유지되므로 성능이 향상되고 누가 누구를 볼 수 있는지 제어하기가 더 쉬워집니다.
비즈니스 환경에서는 부서별(회계, 엔지니어링, 마케팅 등) 또는 관리 트래픽, 음성, 게스트, IoT 기기, 심지어 백업용 VLAN을 분리하기 위해 VLAN을 생성하는 것이 일반적입니다 . 각 VLAN은 고유한 라우팅, 보안 및 서비스 품질(QoS) 규칙을 갖습니다.
또한 VLAN은 네트워크 세분화 및 제로 트러스트 전략의 핵심 구성 요소입니다 . 네트워크는 더 이상 "완전히 신뢰할 수 있다"고 가정되지 않으며 공격 표면이 정의됩니다. 하나의 VLAN에서 발생한 장애나 감염이 전체 조직에 연쇄적인 타격을 주어 붕괴되는 일이 없어야 합니다.
기본 개념: 액세스 포트, 트렁크 및 네이티브 VLAN
VLAN 구성 및 보안을 완벽하게 이해하려면 액세스 포트, 트렁크 포트, 네이티브 VLAN이라는 세 가지 핵심 개념을 숙지해야 합니다 . 이 세 가지 개념을 확실히 익히면 나머지 모든 작업이 훨씬 쉬워집니다.
액세스 포트 는 단일 VLAN에서 최종 장치(PC, 프린터, IP 카메라, 전화기 등)로 트래픽을 전달하는 스위치 포트입니다. 트래픽은 스위치를 떠나 장치로 이동할 때 802.1Q 태그가 지정되지 않습니다 . 스위치는 내부적으로 해당 장치가 속한 VLAN을 알고 있지만, 장치는 태그를 인식하지 못합니다.
트렁크 포트 는 여러 VLAN이 동시에 전송되는 네트워크 장치(스위치-스위치, 스위치-라우터, 스위치-AP) 간의 링크입니다 . 이 경우 프레임에는 해당 프레임이 속한 VLAN을 나타내는 802.1Q 태그가 포함됩니다. 이를 통해 VLAN을 네트워크 토폴로지 전체로 확장하고 여러 논리 네트워크가 동일한 물리적 링크를 통해 전송될 수 있습니다.
네이티브 VLAN 은 802.1Q 링크에서 태그가 지정되지 않은 트래픽에 사용되는 VLAN입니다. 트렁크 포트로 들어오는 모든 프레임은 태그 없이 이 네이티브 VLAN에 할당됩니다. 많은 장치에서 기본적으로 VLAN 1이 할당되는데, 이 설정을 변경하지 않으면 보안 문제가 발생할 수 있습니다.
VLAN을 활용한 네트워크 아키텍처 및 설계
중대형 네트워크에서는 코어, 분산, 액세스의 3계층 토폴로지가 일반적으로 사용됩니다. 각 계층은 특정 역할을 수행하며, 이러한 계층들을 VLAN과 어떻게 결합하는지는 실질적으로 매우 중요합니다.
액세스 계층은 사용자와 최종 장치를 직접 연결하는 스위치로 구성됩니다 . 이러한 스위치는 가장 많은 액세스 포트를 가지고 있으며 대부분의 사용자, 음성, IoT 및 기타 VLAN이 정의되는 곳입니다. 따라서 포트 할당 및 물리적 보안(무단 케이블 연결 방지)에 가장 많은 주의를 기울여야 합니다.
분배 계층은 여러 액세스 스위치에서 트래픽을 집계하는 스위치로 구성됩니다 . 일반적으로 VLAN 간 라우팅이 이루어지고, 더욱 세분화된 ACL이 적용되며, 광섬유 링크가 종단 처리되고, 링크(이더채널)가 추가되고, 고급 정책(QoS, 스톰 제어 등)이 구현되는 지점입니다.
코어 계층은 분산 링크와 인터넷 또는 외부 네트워크로의 게이트웨이를 포함합니다. 매우 큰 네트워크에서 코어는 일반적으로 고속 스위칭만 처리하며 , 지연 시간과 복잡성을 줄이기 위해 추가 기능은 거의 없습니다.
VLAN을 사용하는 네트워크를 설계할 때는 먼저 필요한 논리적 그룹 (기능, 중요도, 신뢰 수준 등 기준)을 정의한 다음, 잘 계획된 IP 체계(서브넷, 마스크, VLSM, 동적 및 정적 범위)와 각 스위치의 포트 할당을 통해 구현하는 것이 좋습니다.
VLAN 유형 및 일반적인 용도
트렁크 링크에서 프레임에 태깅하는 가장 널리 사용되는 표준은 IEEE 802.1Q 입니다 . 이 표준은 VLAN ID 및 기타 필드를 포함하는 4바이트를 이더넷 헤더에 추가하여 스위치가 전체 프레임을 캡슐화하지 않고도 각 프레임이 속한 VLAN을 정확히 알 수 있도록 합니다.
스위치에서 802.1Q를 사용하여 VLAN을 구성할 때, 각 포트는 특정 VLAN에 대해 태그 지정 또는 태그 미지정 으로 표시할 수 있습니다 . 포트는 여러 VLAN에서 태그가 지정될 수 있지만(트렁크 구성에서 일반적), 최종 장치가 액세스 포트로 인식하는 하나의 VLAN에서만 태그 미지정으로 표시될 수 있습니다.
표준 802.1Q 기반 VLAN 외에도 기업 환경에서 일반적으로 사용되는 다양한 방식이 있습니다. 포트 기반 VLAN, MAC 기반 VLAN, 관리 VLAN, 제어 VLAN, 사용자 정의 네이티브 VLAN, 하이브리드 VLAN, 그리고 수백만 개의 논리 네트워크가 필요한 데이터 센터 및 클라우드 환경에서는 VXLAN까지 사용됩니다. 고급 할당 및 보안을 위한 802.1X 및 동적 VLAN 과 같은 기술 도 고려해야 합니다.
관리 VLAN은 스위치, 라우터, 액세스 포인트, 방화벽 및 모니터링 시스템에 대한 관리자 액세스 전용으로 사용됩니다. 일반적으로 자체 IP 서브넷과 엄격한 액세스 제어 목록(ACL)을 통해 접근 권한이 제한됩니다. 사용자 VLAN과 동일한 VLAN에서 장치를 관리하는 것은 매우 위험합니다.
소위 제어 VLAN은 STP, 라우팅 프로토콜, CDP, LLDP, VTP 등과 같은 내부 네트워크 프로토콜 트래픽 전용입니다. 이러한 트래픽을 데이터 또는 관리 트래픽과 분리하면 노이즈가 줄어들고 안정성이 향상되며 특정 보안 조치를 적용할 수 있습니다.
VLAN 1, 네이티브 VLAN, 그리고 이들이 보안 문제가 되는 이유
대부분의 스위치에서 VLAN 1은 모든 포트의 기본 및 네이티브 VLAN으로 구성됩니다 . 즉, 이 설정을 변경하지 않으면 트렁크로 들어오는 태그가 지정되지 않은 모든 트래픽은 VLAN 1로 라우팅되고 모든 포트는 VLAN 1에 속한 것으로 간주됩니다.
문제는 웬만한 공격자라면 이 사실을 알고 있다는 것입니다. VLAN 1은 VLAN 호핑 , 스위치 스푸핑, 그리고 기본 구성을 악용하여 다른 VLAN에 침투하는 공격의 주요 표적입니다.
예를 들어 스위치 스푸핑 공격에서 공격자는 DTP가 동적 모드로 활성화된 포트에 자신의 장치를 연결하고 스위치와 트렁크 링크를 협상하여 호스트에 절대 접근해서는 안 되는 여러 VLAN에 접근 권한을 얻습니다.
이중 태깅 공격은 두 개의 802.1Q 태그를 동일한 프레임에 혼합하여 사용하는 공격으로, 네이티브 VLAN이 태그 없이 전송된다는 점을 악용하여 보안이 취약한 트렁크를 통해 한 VLAN에서 다른 VLAN으로 이동하려는 시도입니다.
이러한 모든 이유로 현재 보안 권장 사항은 명확합니다. VLAN 1을 사용자용으로 사용하지 마십시오 . 트렁크에서 네이티브 VLAN으로 두지 마십시오. 관리 IP 주소를 할당하지 마십시오. 가능하면 운영 트래픽이 전송되지 않도록 격리하거나 필터링하십시오.
항만 설계 및 할당을 위한 모범 사례
VLAN을 구성할 때 가장 중요한 결정 중 하나는 각 VLAN에 스위치 포트를 어떻게 할당하고 사용하지 않는 포트를 어떻게 처리할 것인가입니다. 사소해 보이지만 성능과 보안 모두에 영향을 미칩니다.
액세스 포트에서는 항상 하나의 VLAN(해당 사용자 또는 장치에 해당하는 VLAN)만 태그를 지정하지 않고 나머지는 제외하는 것이 좋습니다 . 이렇게 하면 누군가 실수로 설정을 변경하더라도 인터페이스가 자신에게 속하지 않는 VLAN을 인식하지 못하게 됩니다.
트렁크 링크에서는 네트워크의 모든 VLAN을 전달하는 대신 허용할 VLAN을 명시적으로 구성하는 것이 좋습니다 (예: `switchport trunk allowed vlan 10, 20, 99`). 각 트렁크는 실제로 필요한 VLAN만 전달해야 합니다.
사용하지 않는 포트의 경우, 가장 안전한 방법은 해당 포트를 비활성화하고 게이트웨이나 DHCP가 없는 "블랙홀" VLAN에 할당하며, 트렁크 포트로 지정되지 않았거나 DTP가 활성화되지 않도록 하는 것입니다. 이렇게 하면 누군가가 장치를 연결하여 갑자기 운영 네트워크에 접속하는 것을 방지할 수 있습니다.
포트 수가 많은 환경에서는 각 인터페이스에 연결된 장치를 꼼꼼하게 기록하고 , 케이블에 라벨을 붙이고, 배선도를 최신 상태로 유지하는 것이 필수적입니다. VLAN 연결 문제의 상당수는 단순히 케이블을 옮기면서 관련 문서를 업데이트하지 않아 발생하는 경우가 많습니다. 배선 가이드를 활용하면 이러한 오류를 예방할 수 있습니다.
"비출구" VLAN 및 사용되지 않는 포트
사용하지 않는 포트를 보호하는 간단하고 매우 효과적인 방법은 DHCP, 라우팅 및 서비스가 없는 "출력 없음" VLAN을 생성 하고 사용하지 않는 모든 액세스 포트를 해당 VLAN에 넣는 것입니다.
핵심은 누군가가 해당 포트 중 하나에 장치를 연결하더라도 해당 호스트는 IP 주소를 받지 못하고, 게이트웨이도 없으며, 다른 장치에 연결할 수 없고, 트래픽이 완전히 격리된다는 것입니다. 일종의 네트워크 림보와 같은 상태입니다.
많은 환경에서 VLAN 777, 999 또는 4094 와 같이 식별 가능한 ID가 이러한 목적으로 사용됩니다 . 스위치는 해당 포트에서 다른 모든 VLAN을 제외하도록 구성되며, 해당 VLAN에 대해 레이어 3 인터페이스가 정의되지 않고, 어떤 라우터에서도 광고되지 않습니다.
또한, DTP가 인접 스위치와 협상하여 자동으로 트렁크로 전환되려는 시도를 하지 않도록 모든 액세스 포트에서 switchport nonegotiate 옵션을 사용하여 DTP를 비활성화하는 것이 좋습니다.
음성, 데이터 및 특수 장치를 위한 VLAN
IP 전화 및 음성 트래픽이 있는 네트워크에서는 음성 트래픽을 PC 트래픽과 별도의 VLAN으로 분리하는 것이 일반적입니다. 그 이유는 서비스 품질 요구 사항과 보안이라는 두 가지입니다.
음성 트래픽은 지연 시간, 지터 및 패킷 손실에 매우 민감합니다. 대용량 다운로드, 비디오 스트리밍 또는 백업과 같은 작업과 음성 트래픽이 무분별하게 혼합되면 통화 품질이 급격히 저하됩니다. 음성 트래픽을 VLAN으로 분리하면 QoS를 통해 우선순위를 지정 하고 더욱 세밀한 정책을 적용할 수 있습니다.
또한 IP 전화기는 일반적으로 자체 VLAN 태깅 기능(802.1Q)을 갖추고 있습니다. IP 전화기는 PC와 계층적으로 연결되며, 네트워크 연결 포트는 트렁크(태그된 음성, 태그되지 않은 데이터) 역할을 하고 PC 연결 포트는 액세스 포트 역할을 합니다. 따라서 보안 취약점을 방지하려면 더욱 정밀한 포트 구성이 필요합니다.
IoT 기기, 홈 자동화 시스템, IP 카메라, TV, 스마트 플러그 등을 특정 VLAN으로 분리하는 것도 좋은 생각입니다 . 이러한 기기들은 보안이 취약하고 펌웨어 관리가 제대로 되어 있지 않은 경우가 많으므로 관리용 PC나 중요 서버와 같은 논리 네트워크에 두지 않는 것이 가장 좋습니다.
Wi-Fi 환경에서 대부분의 전문 액세스 포인트는 각 VLAN에 SSID를 연결할 수 있도록 지원합니다 . 이를 통해 유선 네트워크의 분할 방식을 무선 네트워크로 확장하여 관리 VLAN, 기업 VLAN, IoT VLAN, 게스트 VLAN 등 각 VLAN에 고유한 SSID와 규칙을 적용할 수 있습니다.
VLAN, ACL 및 방화벽 간 라우팅
VLAN은 설계상 레이어 2에서 서로를 "인식"할 수 없습니다. 서로 다른 VLAN에 있는 장치들이 통신하려면 레이어 3, 즉 VLAN 간 라우팅이 필요합니다. 이는 일반적으로 라우터, 방화벽 또는 레이어 3 스위치에서 수행됩니다.
크게 두 가지 접근 방식이 있습니다. 첫 번째는 스위치 백본에 연결된 802.1Q 호환 라우터 또는 방화벽을 사용하는 것입니다. 라우터는 서브인터페이스(VLAN당 하나씩)를 생성하고, 각 서브인터페이스에 IP 주소를 할당하며, 게이트웨이 역할을 합니다. 또한 방화벽은 누가 누구와 통신할 수 있는지에 대한 세부적인 규칙을 적용합니다.
두 번째 접근 방식은 분산 또는 코어 계층에서 레이어 3 관리형 스위치를 사용하는 것입니다 . 이 스위치에 VLAN 인터페이스(SVI)가 생성되어 각 서브넷의 게이트웨이 역할을 합니다. 스위치 자체가 내부 라우팅과 해당 ACL을 처리하여 에지 라우터의 작업 부하를 줄여줍니다.
두 경우 모두 라우팅과 함께 액세스 제어 목록(ACL) 또는 엄격한 방화벽 규칙을 적용하는 것이 필수적입니다. VLAN 간에 IP 경로가 존재한다고 해서 모든 트래픽을 허용해서는 안 됩니다. 소스, 대상, 포트, 프로토콜 및 연결 방향을 기준으로 필터링을 수행해야 합니다.
일반적인 예로, 게스트 VLAN은 인터넷에만 접속할 수 있고, IoT VLAN은 특정 서버(예: NTP, syslog 또는 MQTT 브로커)와만 통신할 수 있으며, 학생 VLAN은 관리 VLAN에 접근할 수 없고, 백업 VLAN은 백업 서버에만 연결을 시작할 수 있습니다.
VLAN 관리 프로토콜: VTP 및 회사
스위치가 많은 대규모 네트워크에서 각 장치에 수동으로 VLAN을 생성하는 것은 비효율적이며 오류 발생 가능성이 높습니다. 이러한 이유로 시스코 생태계의 VTP(VLAN Trunking Protocol) 와 같은 프로토콜은 VLAN 목록을 중앙에서 관리할 수 있도록 지원합니다.
VTP는 스위치에 대해 서버, 클라이언트, 투명의 세 가지 동작 모드를 정의합니다 . 서버는 VLAN을 생성, 이름 변경 또는 삭제하고 이 정보를 동일 도메인 내의 클라이언트로 전송할 수 있습니다. 클라이언트는 변경 사항을 수신하고 적용하지만, 직접 수정하지는 않습니다. 투명 클라이언트는 VLAN 데이터베이스를 처리하지 않고, 단순히 정보를 재전송하기만 합니다.
이러한 프로토콜은 업무를 크게 간소화하지만, 주의해야 할 점이 있습니다. 서버 스위치 오류, 제대로 관리되지 않은 VTP 암호, 또는 오래된 데이터베이스를 가진 구형 스위치가 네트워크에 다시 추가될 경우, 조직 전체의 VLAN 구성이 갑자기 손상 될 수 있습니다.
따라서 현재 많은 설계에서는 VTP를 투명 모드 로 사용 하거나 아예 사용하지 않고 자동화 도구 (Ansible, 템플릿, 중앙 집중식 컨트롤러 등)를 사용하거나 보다 정적이고 제어된 설계를 통해 VLAN을 관리하는 것이 선호됩니다.
고급 보안: VACL, PVLAN 및 공격 완화
네트워크 규모가 커지고 중요도가 높아짐에 따라 VLAN만으로는 충분하지 않습니다. VLAN 내에서 트래픽을 더욱 세밀하게 제어하기 위해 VACL(VLAN ACL 또는 VLAN 맵)을 사용할 수 있으며 , 이를 통해 특정 인터페이스뿐 아니라 VLAN 수준에서 트래픽을 필터링하거나 리디렉션할 수 있습니다.
VACL은 IP 또는 MAC 액세스 목록을 사용하는 VLAN별 액세스 맵을 정의하여 구성하며 , 일치하는 트래픽에 대해 허용, 차단, 모니터링 포트로 전송, 리디렉션 등의 작업을 지정합니다. 이렇게 구성된 VACL은 스위치의 하나 이상의 VLAN에 전역적으로 적용됩니다.
동일한 서브넷 내의 호스트들을 격리하려는 경우, 프라이빗 VLAN(PVLAN)을 사용할 수 있습니다 . PVLAN은 일반적으로 게이트웨이가 위치한 기본 VLAN으로 시작하여, 격리형과 커뮤니티형의 두 가지 유형의 보조 VLAN을 생성합니다.
격리된 보조 VLAN을 사용하면 각 호스트는 게이트웨이만 볼 수 있고, 동일한 격리된 보조 VLAN에 있는 다른 호스트는 볼 수 없습니다. 커뮤니티 보조 VLAN을 사용하면 호스트 그룹은 서로와 게이트웨이를 볼 수 있지만, 동일한 기본 VLAN에 있는 다른 그룹은 볼 수 없습니다.
특정 공격과 관련하여, VLAN 1 및 DTP에 대해 이미 논의된 내용 외에도, 이중 태깅을 통한 VLAN 호핑 공격을 완화하는 것이 매우 중요합니다. 이를 위해, 네이티브 VLAN을 호스트에서 사용하지 않는 VLAN으로 변경하고, 가능하다면 트렁크에서 네이티브 VLAN을 제거하고, DTP를 비활성화하고, 포트를 액세스 또는 트렁크로 명시적으로 정의하고, 명령어를 사용하여 네이티브 VLAN이 항상 태그되도록 하고 태그가 지정되지 않은 트래픽을 차단하는 것이 좋습니다.
VLAN을 사용한 네트워크 진단 및 유지 관리
VLAN을 사용하여 네트워크를 설정하는 것은 절반의 작업일 뿐입니다. 나머지 절반은 네트워크를 유지 관리하고 문제를 해결하는 것 입니다. 일반적인 VLAN 연결 문제는 원인이 비교적 흔한 경우가 많습니다. 실질적인 가이드와 절차는 네트워크 문제 해결 관련 자료를 참조하십시오.
한편으로는 물리적 오류가 있습니다. 예를 들어, 문서 업데이트 없이 케이블을 한 포트에서 다른 포트로 옮기거나, 트렁크 포트여야 할 곳에 액세스 포트를 구성하거나 그 반대로 구성하는 경우, STP가 제대로 조정되지 않으면 루프로 이어지는 잘못 정의된 이중화 링크 등이 있습니다.
반면에 논리적 오류도 발생할 수 있습니다. 예를 들어 일부 스위치에는 VLAN이 생성되었지만 다른 스위치에는 생성되지 않았거나, 트렁크에서 허용된 VLAN 목록이 잘못 구성되었거나 , DHCP 범위가 마스크와 일치하지 않거나, 최종 장치에서 게이트웨이가 잘못 설정된 경우 등이 있습니다.
핵심 진단 도구는 show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute 등의 일반적인 명령어입니다. 이러한 명령어들을 특정 포트의 트래픽 캡처 및 우수한 모니터링 시스템과 함께 사용하면 문제 해결에 큰 도움이 됩니다.
프로젝트 변경, 확장 또는 마이그레이션 후 누락된 부분이 없는지 확인하기 위해 ACL, 방화벽 규칙, PVLAN, VACL 및 관리 구성을 주기적으로 검토하는 것이 좋습니다 .
명확한 문서화(VLAN 체계, IP 범위, 포트 할당, VLAN 간 액세스 정책 설명)와 철저한 변경 로깅은 구성 명령 자체만큼이나 중요합니다.
체계적인 네트워크 분할, 적절하게 레이블링된 VLAN, 신중한 네이티브 VLAN 관리, ACL로 보호되는 VLAN 간 라우팅, 그리고 일관된 유지 관리 습관을 통해 기업 네트워크는 전체 물리적 인프라를 재구축하지 않고도 보안, 성능 및 제어 측면에서 상당한 도약을 이룰 수 있습니다.
