VLAN·802.1Q·Inter-VLAN과 VTP

01VLAN은 같은 스위치 안의 전달 범위를 나눈다

• 전달 영역 분리스위치가 프레임을 전달할 때 VLAN은 MAC 주소 테이블 조회와 브로드캐스트 복제의 범위를 정한다. 같은 장비에 꽂혀 있어도 VLAN10과 VLAN20은 서로 다른 L2 브로드캐스트 도메인이다.

  • VLAN 자체에는 IP 프리픽스 정보가 없으므로 VLAN 번호와 IPv4의 네트워크 번호는 동일한 값일 필요가 없다.
  • 일반적인 설계에서 VLAN별로 서로 다른 서브넷을 배정하는 것은 L3 경계와 L2 경계를 정렬하기 위해서다.
• VLAN과 보안 정책VLAN 분리는 전달 경계이며 암호화나 완전한 보안 정책을 뜻하지 않는다. VLAN 사이에 라우팅이 허용되면 정상적으로 서로 통신할 수 있고, 접근 제한은 ACL·방화벽 등의 정책에 의해 결정된다.

  • 브로드캐스트 도메인을 나누는 기능과 VLAN 사이를 라우팅하는 기능은 별도다.

02Access 포트의 ingress 분류와 egress 전달

• Ingress VLAN 분류일반 access 포트에 단말이 보낸 비태그 Ethernet 프레임이 들어오면 스위치는 포트의 access VLAN으로 그 프레임을 분류한다. 내부 처리에서 VLAN 정보를 사용하지만 단말이 보낸 모든 프레임의 선로상 바이트에 즉시 태그를 새로 넣었다고 생각할 필요는 없다.

  • 같은 VLAN의 access 포트로 나갈 때는 일반적으로 태그 없는 프레임으로 내보낸다.
• VLAN별 MAC 조회목적지 MAC은 해당 VLAN의 테이블에서 찾는다. 다른 VLAN의 동일한 MAC 항목은 이 조회를 대신하지 않는다.

  • 실습 사례에서 양 끝 단말을 VLAN2로 옮긴 뒤에도 스위치 사이가 VLAN1 access로 남아 통신하지 못했던 이유는 중간 전달 경로가 VLAN2를 운반하지 않았기 때문이다.
  • 양 끝 단말의 VLAN 번호만 바꿔서는 VLAN이 스위치 사이에 저절로 이어지지 않는다.

03Trunk의 802.1Q 태그와 Native VLAN

• Access·Trunk일반적인 access 포트는 단말 트래픽을 설정된 VLAN에 분류하며 단말은 비태그 프레임을 사용할 수 있다. Trunk는 한 링크에서 여러 VLAN을 운반한다.

  • 태그의 VID는 어느 VLAN 소속인지 나타내며 IP 서브넷 마스크를 대신하지 않는다.
  • 스위치는 VLAN별로 MAC 학습과 전달 범위를 구분한다.
• Native VLAN802.1Q C-tag는 TPID와 TCI로 이루어진 4바이트다. TCI의 PCP·DEI·VID는 우선순위와 드롭 관련 표시, VLAN 식별의 역할을 나눈다.

  • Native VLAN은 비태그 트래픽을 어떻게 취급할지와 관련되며 태깅 여부를 바꾸는 설정도 있으므로 양 끝 조건을 맞춘다.
  • 'Trunk의 모든 프레임에는 반드시 태그가 있다'는 가정은 피한다.

04VLAN 태그의 필드와 사용 범위

• TPID·TCI단일 802.1Q C-tag는 출발지 MAC 뒤에 TPID 0x8100과 TCI를 추가한다. TCI에는 PCP3비트·DEI1비트·VID12비트가 들어가고 기존 EtherType은 그 뒤로 이동한다.

  • VID0은 우선순위 태그의 특별한 의미를 가지며 4095는 예약되어 있다.
  • 일반 VLAN ID는 1~4094지만 특정 장비의 예약 VLAN과 지원 개수는 별도 제한이다.
  • 2~1001 같은 제한은 특정 구형 플랫폼의 조건이며 전체 VLAN ID 범위를 뜻하지 않는다.
• 허용 VLANTrunk는 여러 VLAN을 하나의 링크로 운반하는 포트다. Native VLAN의 트래픽을 비태그로 다루는 일반적인 설정과 native tagging 옵션을 구분한다.

  • 양쪽 native VLAN이 다르면 같은 비태그 프레임을 서로 다른 VLAN으로 분류해 연결이 잘못 이어지거나 STP 불일치를 일으킬 수 있다.
  • 태그는 IP와 MAC을 숨기는 암호화가 아니며 분석기는 헤더 안의 주소를 그대로 읽을 수 있다.

06Access와 Trunk를 명시하는 설정

• 포트 구성 예아래 예시는 두 스위치 모두 VLAN10·20을 만들고, 한쪽 단말 포트는 10, 다른 단말 포트는 20으로 분류한다. 스위치 사이 uplink는 동일한 native VLAN999와 allowed 목록을 사용한다.

  • allowed 목록은 해당 trunk에서 통과를 허용한 VLAN이며 VLAN 자체의 생성 여부나 STP forwarding 상태까지 보장하지 않는다.
• CLI·목록 대체switchport trunk allowed vlan 10,20,999는 목록을 새로 대체한다. 기존 목록에 더할 때의 add와 구분한다.

  • IOS 계열에서도 구형 EtherSwitch 모듈의 vlan database·show vlan-switch brief와 일반 Catalyst의 전역 vlan·show vlan brief는 문법이 다르다.
  • 장비 계열과 명령 모드에 맞는 VLAN 구성 문법을 선택한다.

vlan 10
 name USERS
vlan 20
 name SERVERS
vlan 999
 name NATIVE-UNUSED
!
interface GigabitEthernet0/1
 switchport mode access
 switchport access vlan 10
!
interface GigabitEthernet0/2
 switchport mode access
 switchport access vlan 20
!
interface GigabitEthernet0/24
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,999
 switchport nonegotiate
!
show vlan brief
show interfaces trunk

상대 스위치 uplink에도 호환되는 정적 trunk 설정을 적용하는 IOS 문법 예.

07DTP는 Trunk 협상이고 VTP는 VLAN 정보 배포다

• DTP 협상DTP는 Cisco의 동적 trunk 협상이다. dynamic desirable은 능동적으로 trunk를 제안하고 dynamic auto는 상대의 제안에 반응한다.

  • auto끼리는 서로 시작하지 않으므로 trunk가 형성되지 않는 대표 조합이다.
  • 명시적인 access·trunk와 협상 모드를 구분해야 실제 포트 상태를 예측할 수 있다.
• 협상 비활성화switchport nonegotiate는 지원 플랫폼의 고정 trunk에서 DTP 프레임 전송을 억제하는 설정이며 상대도 명시적으로 trunk여야 한다. DTP가 꺼져도 수동 trunk는 동작할 수 있고 VTP를 사용하지 않아도 VLAN 태그를 운반할 수 있다.

  • DTP·VTP·802.1Q는 각각 포트 모드 협상, VLAN 데이터 관리, 프레임 구분이라는 다른 기능이다.

08Router-on-a-stick의 VLAN 간 전달

• 구성 조건물리 인터페이스가 활성이고 스위치 연결 포트는 VLAN 10·20을 허용하는 trunk여야 한다. 서브인터페이스 번호 .10 자체가 태그를 정하지 않으며 encapsulation dot1Q 10이 연결한다.
• 주소와 경로단말의 게이트웨이는 각각 192.0.2.1·198.51.100.1이다. NAT 없는 격리 예제에서 두 연결 경로가 라우팅 테이블에 C로 나타난다.

1. 다른 서브넷 판정단말이 목적지 IP를 자신의 프리픽스와 비교한다. 다른 서브넷이면 게이트웨이 MAC을 ARP로 구한다.
2. 수신 VLAN의 프레임단말이 게이트웨이 MAC으로 전송하면 스위치는 해당 VLAN을 trunk로 운반한다. 라우터는 태그에 대응하는 서브인터페이스에서 받는다.
3. L3 경로 선택라우터가 IP 목적지의 경로를 찾아 출력 VLAN을 선택한다. VLAN 분리만으로 이 라우팅이 자동 생성되는 것은 아니다.
4. 목적지 VLAN으로 출력라우터가 출력 링크에 맞는 Ethernet 프레임을 새로 만든다. NAT가 없으므로 종단 IP는 유지되고 다음 링크의 MAC 헤더가 달라진다.

interface GigabitEthernet0/0
 no ip address
 no shutdown
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.0.2.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 198.51.100.1 255.255.255.0
!
show ip interface brief
show ip route connected

문서용 두 서브넷을 라우터 서브인터페이스로 연결하는 예.

09SVI와 Routed Port는 또 다른 L3 연결 방식

• SVIL3 스위치에서는 interface Vlan10 같은 SVI에 게이트웨이 주소를 주고 ip routing을 활성화해 VLAN 사이를 라우팅할 수 있다. SVI는 논리적인 VLAN 인터페이스다.

  • 관리용 IP만 둔 L2 스위치의 SVI와 사용자 트래픽을 라우팅하는 L3 스위치의 SVI를 기능상 구분한다.
  • SVI의 line protocol은 VLAN 존재와 해당 VLAN의 활성 전달 포트 등 플랫폼 조건에 영향을 받는다.
• Routed Portno switchport를 적용한 routed port는 특정 access VLAN의 구성원이 아니라 독립 L3 인터페이스다. VLAN이 필요 없는 라우터 간 연결과 여러 단말의 VLAN 게이트웨이는 역할이 다르다.

  • 실습의 라우터 서브인터페이스·스위치 SVI·개별 물리 포트 주소를 모두 ‘가상 인터페이스라서 같은 것’으로 합치지 않는다.

10VTP 모드와 Configuration Revision

• VTP 역할·모드VTP의 정확한 이름은 VLAN Trunking Protocol이다. VLAN 데이터베이스 정보를 광고하는 관리 프로토콜이지 vlan.dat 파일 전체를 그대로 복사하거나 trunk를 생성하는 기능은 아니다.

  • v1/v2의 server는 로컬 VLAN을 변경하고 광고할 수 있고 같은 도메인의 유효한 더 높은 revision 정보에 동기화될 수도 있다.
  • client는 일반적으로 로컬 VLAN 변경이 제한되고 수신 데이터베이스를 적용한다.
• 버전·RevisionTransparent는 로컬 VLAN을 독립 관리하고 받은 데이터베이스를 자기 VLAN 정보에 적용하지 않는다. 광고 전달 동작은 버전에 따라 다르며 v2에서는 trunk를 통해 전달할 수 있다.

  • 지원 플랫폼의 off는 전달까지 억제하는 별도 모드다.
  • v3는 primary server에 의한 변경 통제와 지원 데이터베이스 범위를 확장한다.
  • 이를 단순히 ‘버전이 높으면 산업용 VLAN 개수가 많다’고 설명하지 않는다.

11VTP 출력과 Pruning을 다시 해석하기

• VTP 출력 사례실습 캡처의 show vtp status는 server에서 VLAN100 생성 후 revision0→1, VLAN개수 5→6을 보였다.

  • Transparent에서 로컬 VLAN을 만들어도 revision은 0으로 남았고, client의 vlan database 입력은 exit 후 실제 VLAN 생성으로 반영되지 않았다.
  • 이는 모드별 데이터베이스 변경 역할의 차이를 관찰한 것이다.
  • VTP Domain 문자열은 DNS 도메인처럼 등록하거나 해석되는 이름이 아니라 관리 영역 식별자다.
• Revision·Pruning 위험v1/v2에서 잘못된 높은 revision을 가진 장비를 같은 도메인에 연결하면 정상 VLAN 정보가 바뀔 수 있다. server라는 이름만으로 외부 변경을 무조건 거부하는 것이 아니다.

  • Pruning은 필요 없는 VLAN의 broadcast·unknown unicast 등의 flooding을 downstream trunk에 덜 보내는 기능이며 VLAN 데이터베이스가 없으면 모든 데이터를 단순히 버린다는 뜻이 아니다.
  • 수동 allowed VLAN 제한과도 별개이며 버전별 지원·eligible VLAN 조건이 있다.

13연결 오류를 출력으로 찾기

• 배선·논리 경로실습 사례에서는 실제 포트가 도면과 교차되어 다른 VLAN끼리 연결된 상태였고, 예상한 L2 루프와 blocked 포트가 나타나지 않았다. 이때 장치 이름만 보고 STP가 실패했다고 판단하면 원인을 놓친다.

  • 물리 인접 포트, 포트 모드, ingress VLAN, trunk allowed 목록, VLAN별 STP 상태를 순서대로 연결하면 프레임이 어디에서 다른 전달 영역으로 분류됐는지 설명할 수 있다.
• 허용 목록·STPshow interfaces trunk의 allowed, allowed and active, forwarding and not pruned는 같은 목록이 아니다. 허용된 VLAN이더라도 로컬에 없거나 STP가 막고 있으면 실제 전달하지 못한다.

  • 같은 VLAN의 단말끼리 먼저 직접 ARP가 되는지, 그 다음 다른 VLAN으로 갈 때 게이트웨이 MAC을 사용하는지 나누어 관찰하면 태그 전달과 라우팅을 따로 검증할 수 있다.

show interfaces GigabitEthernet0/24 switchport
show interfaces trunk
show mac address-table vlan 10
show spanning-tree vlan 10
show vtp status

단말의 직접/간접 전달 비교:
같은 VLAN·서브넷 → 상대 단말 IP를 ARP
다른 서브넷     → 선택된 게이트웨이 IP를 ARP

읽기 명령과 전달 판독 기준. VTP 비밀번호가 포함될 수 있는 상세 출력은 공개하지 않는다.

수업 원본 자료

허용·활성·실제 전달 목록의 차이

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. Port Fa1/14는802.1Q trunk이며 native VLAN4다.
2. allowed는1-1005지만 로컬 active는1-2,4이고 forwarding/not pruned는1-2다. 이 화면은‘3을명시적으로allowed에서제외’했다는증거가아니라active여부차이를보여준다.