VLAN을 구성할 때 Access 포트와 Trunk 포트를 혼동하면 생기는 일 — 현장 사례로 배우는 802.1Q
들어가며
VLAN 설정 실수로 가장 많은 장애를 일으키는 것이 무엇인지 아십니까?
저는 네트워크 구축 현장에서 VLAN 관련 장애를 수십 번 처리해왔는데, 그중 절반 이상이 Access 포트와 Trunk 포트를 혼동한 데서 비롯된 문제였습니다.
특히 기억에 남는 사례가 있습니다. 새 사무실 이전 공사를 마치고 네트워크를 구성했는데, 개발팀과 영업팀이 서로 통신이 안 된다는 문의가 들어왔습니다. 확인해보니 두 스위치 사이 업링크 포트를 Trunk가 아닌 Access로 설정해둔 것이 문제였습니다. 한 VLAN의 트래픽만 통과하고 나머지 VLAN은 모두 막혀 있었던 것입니다.
이 글에서는 그 경험을 토대로 Access 포트와 Trunk 포트의 차이, 802.1Q 태깅 구조, 그리고 Native VLAN 보안 문제까지 현장 중심으로 설명합니다
VLAN이 필요한 이유 — 물리적 분리 없이 논리적 분리
같은 스위치에 연결된 모든 장비는 기본적으로 같은 브로드캐스트 도메인에 속합니다. 한 장비가 브로드캐스트를 보내면 연결된 모든 장비가 받습니다.
기업 네트워크를 구축할 때 이 구조를 그대로 두면 두 가지 문제가 생깁니다. 첫째, 불필요한 브로드캐스트 트래픽이 전체 네트워크를 점유합니다. 둘째, 인사팀·개발팀·영업팀이 같은 네트워크에 노출되어 보안에 취약해집니다.
현장에서는 부서별로 VLAN을 분리하는 것이 기본 설계 원칙입니다. 예를 들어 개발팀 포트에는 VLAN 10, 영업팀 포트에는 VLAN 20을 할당하면, 같은 스위치에 연결됐어도 두 팀은 직접 통신할 수 없습니다. 라우터나 L3 스위치를 통해서만 부서 간 통신이 가능합니다
Access 포트 — PC·프린터 등 최종 장비가 연결되는 포트
Access 포트는 PC, 프린터, IP 전화기 등 최종 사용자 장비(End Device)가 연결되는 포트입니다.
Access 포트의 특징:
- 하나의 VLAN에만 속합니다
- 프레임에 VLAN 태그(Tag)가 붙지 않습니다
- 연결된 장비는 자신이 어느 VLAN에 속해 있는지 알지 못해도 됩니다
■ Cisco 스위치 설정 예시
interface FastEthernet0/1
switchport mode access
switchport access vlan 10
현장 팁: 신규 포트 설치 후 가장 먼저 확인해야 할 것이 이 Access VLAN 번호입니다. 잘못된 VLAN이 설정되어 있으면 장비는 네트워크에 연결되어 있어도 IP를 받지 못하거나, 다른 부서 네트워크에 올라가는 상황이 발생합니다.
Trunk 포트 — 여러 VLAN 트래픽을 한 링크로 전송
Trunk 포트는 스위치와 스위치 사이, 또는 스위치와 라우터 사이를 연결하는 포트입니다.
여러 VLAN이 존재하는 환경에서 스위치 간에 각 VLAN마다 물리적 케이블을 따로 연결하면 포트 낭비가 심합니다. Trunk 포트를 사용하면 하나의 물리적 링크로 여러 VLAN의 트래픽을 동시에 전달할 수 있습니다.
■ Cisco 스위치 설정 예시
interface GigabitEthernet0/1
switchport mode trunk
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 10,20,30
현장 팁: switchport trunk allowed vlan 설정을 생략하면 기본적으로 모든 VLAN이 허용됩니다. 보안 관점에서는 반드시 필요한 VLAN만 명시적으로 허용하는 것이 좋습니다. 불필요한 VLAN 트래픽이 Trunk를 타고 넘어가는 것을 막을 수 있습니다.
802.1Q 태깅이란 무엇인가 — 프레임 안에 VLAN 정보를 심는 방법
Trunk 링크를 통해 프레임이 전달될 때, 스위치는 원래 이더넷 프레임에 4바이트짜리 VLAN 태그를 삽입합니다. 이것이 IEEE 802.1Q 표준입니다.
■ 802.1Q 태그 구조 (4바이트)
[TPID 2바이트] [PCP 3비트] [DEI 1비트] [VID 12비트]
- TPID: 0x8100 고정값 → “이 프레임에는 VLAN 태그가 있다”는 표시
- PCP: QoS 우선순위 정보 (0~7)
- DEI: 혼잡 시 드롭 우선순위
- VID: 실제 VLAN 번호 (1~4094)
태그는 이더넷 프레임의 출발지 MAC 주소 필드 바로 뒤에 삽입됩니다. 태그가 붙은 프레임을 Tagged Frame, 태그가 없는 것을 Untagged Frame이라 합니다.
현장 팁: Wireshark로 Trunk 포트 트래픽을 캡처하면 802.1Q 태그가 붙어 있는 것을 눈으로 확인할 수 있습니다. 처음 보면 낯설지만, VLAN ID 필드 값을 보는 습관을 들이면 VLAN 장애 분석 속도가 크게 빨라집니다.
- Native VLAN — 반드시 양쪽 설정을 맞춰야 하는 이유
Trunk 포트에는 Native VLAN이라는 특별한 개념이 있습니다. Native VLAN으로 설정된 VLAN의 트래픽은 Trunk 링크를 통과할 때 태그가 붙지 않습니다. 기본값은 VLAN 1입니다.
실제 사고 사례를 하나 소개합니다. 두 스위치를 Trunk로 연결했는데 한쪽은 Native VLAN 1, 반대쪽은 Native VLAN 10으로 다르게 설정된 경우가 있었습니다. VLAN 1 트래픽이 태그 없이 전송되면 상대 스위치는 이를 VLAN 10으로 인식합니다. 결과적으로 VLAN 1에 속한 장비들이 VLAN 10 네트워크에 접근하는 VLAN Hopping 보안 사고가 발생했습니다.
■ 보안 권장 설정
- Native VLAN을 사용하지 않는 번호(예: VLAN 999)로 변경
- switchport trunk native vlan 999
- Access·Trunk 혼동 시 실제 발생하는 장애 유형
■ 케이스 1: 스위치 간 업링크를 Access로 설정한 경우
한 VLAN 트래픽만 통과하고 나머지 VLAN의 장비들은 스위치를 넘어서 통신 불가.
현장 대응: show interfaces [포트명] switchport 로 포트 모드 먼저 확인.
■ 케이스 2: PC 포트를 Trunk로 설정한 경우
일반 PC는 802.1Q 태그를 처리할 수 없어 네트워크 연결 자체가 불안정해집니다.
의도치 않게 Trunk 모드로 설정되는 경우, DTP(Dynamic Trunking Protocol) 자동 협상이 원인인 경우가 많습니다.
현장 팁: 보안을 위해 End Device 포트에는 반드시 switchport nonegotiate 명령어로 DTP를 비활성화하는 것을 권장합니다.
■ 케이스 3: Trunk Allowed VLAN 목록 누락
신규 VLAN을 추가했는데 통신이 안 된다면, Trunk allowed VLAN 목록에 새 VLAN이 추가되지 않은 경우가 많습니다.
show interfaces trunk 명령어로 허용 VLAN 목록을 반드시 확인합니다.
마무리 — VLAN 설정은 포트 유형 파악이 출발점
VLAN 관련 장애를 분석할 때 저는 항상 같은 순서로 접근합니다. 먼저 해당 포트가 Access인지 Trunk인지 확인하고, 다음으로 VLAN 번호가 의도한 대로 설정되어 있는지, 마지막으로 Trunk라면 allowed VLAN 목록을 확인합니다.
show interfaces [포트명] switchport 명령어 하나로 이 세 가지를 한 번에 확인할 수 있습니다. VLAN 설정의 논리를 이해하고 나면, 복잡해 보이던 기업 네트워크 구성도가 명확하게 읽히기 시작합니다.
