기업 VLAN 설계 모범 사례: 7계층 모델부터 실제 구성까지

왜 당신의 VLAN 설계는 늘 ‘불 끄기’에 쫓기는가

지난주 한 미디어 회사의 네트워크 장애를 점검하러 갔는데, 그들의 VLAN 구성은 어이가 없을 정도였습니다. 마케팅팀, 재무팀, 회의실, 프린터가 전부 VLAN 10에 몰려 있었고, 담당 엔지니어는 “어차피 다 통신되니 번거롭게 할 필요가 없다”고 당당하게 말했습니다. 결과는 뻔했습니다. 화상회의는 PPT처럼 끊겼고, 재무팀 PC는 랜섬웨어에 횡적으로 침투당했으며, 건물 전체가 세 시간 동안 네트워크가 끊겼습니다.

이것은 개별 사례가 아닙니다. 제가 처리한 프로젝트에서 네트워크 장애 원인의 60% 이상이 VLAN 설계 통제 실패에 있었습니다. 처음 설계를 너무 대충 해서 업무 확장 후 되돌리기 어려워진 경우도 있고, “VLAN 32개면 충분하다”는 말을 믿었다가 AP와 IP Phone이 주소를 두고 다투느라 난리가 난 경우도 있습니다. 오늘은 지난 10여 년간 겪은 시행착오와 체계적인 방법론, 그리고 Cisco와 Huawei의 구체적인 설정을 한 번에 정리해 드리겠습니다.

설계 논리: 먼저 계층을 나누고, 다음 구역을 나누고, 마지막에 주소를 정한다

많은 엔지니어가 VLAN 설계를 할 때 “VLAN이 몇 개 필요한가”부터 묻는데, 이는 본말이 전도된 것입니다. 올바른 순서는 먼저 업무 아키텍처를 이해하고, 다음 보안 경계를 결정하고, 마지막에 번호와 주소를 할당하는 것입니다.

우리는 일반적으로 ISO/IEC 7498-4의 계층 사상을 참고하여 기업 네트워크를 세 개의 평면으로 추상화합니다. 생산 평면(핵심 업무), 관리 평면(장비 제어), 보안 평면(방문자/격리 구역)입니다. 각 평면 내부는 다시 부서나 업무 시스템에 따라 수직으로 분할합니다. 예를 들어 제조 공장에서는 생산망, 사무망, CCTV망을 반드시 물리적으로 격리하거나 최소한 VLAN으로 격리해야 하며, 이것이 산업 제어 보안의 최소선입니다.

주소 설계는 서브넷 마스크와 함께 해야 하며, 통일해서 /24를 사용하고 특수한 경우 /25나 /26으로 대응할 것을 권장합니다. VLAN 번호와 IP 대역은 대응표를 만들어 두는 것이 좋습니다. 예를 들어 VLAN 40은 172.16.40.0/24에 대응한다고 하면 한눈에 파악되어 운영 시 문서를 절반은 덜 뒤지게 됩니다.

세 가지 전형적인 함정: 음성, 영상, IoT 기기

이 세 가지 시나리오는 VLAN 설계의 최대 취약 구역이며, 네트워크 엔지니어를 한밤중에 깨우는 가장 흔한 원인입니다.

함정 1: IP Phone과 PC를 같은 포트에 혼용하는 경우. 많은 중소기업이 번거로움을 피하려고 IP Phone을 일반 스위치처럼 사용하여 Phone 뒤에 PC를 연결합니다. 음성과 데이터가 VLAN을 공유하면 통화 품질이 나쁘고 지연이 높아지며, 패킷을 캡처해 보면 패킷이 뒤섞여 QoS가 전혀 작동하지 않습니다. 올바른 방법은 음성을 독립 VLAN으로 분리하고 802.1Q 트렁크 포트의 voice VLAN 기능을 사용하여 음성 트래픽에 더 높은 우선순위의 DSCP 값을 부여하는 것입니다.

함정 2: 영상 감시의 사설 프로토콜. Hikvision, Dahua 카메라는 554 포트의 RTSP 스트림을 즐겨 사용하는데, 많은 엔지니어가 기본적으로 모든 포트를 허용하여 사무망 전체를 카메라 네트워크에 노출시킵니다. 공격자 측에서 취약한 비밀번호의 카메라를 스캔하면 사무망으로 횡적 침투가 가능하며, 작년 한 스마트 커뮤니티 프로젝트가 바로 이렇게 랜섬웨어 공격을 당했습니다. 카메라는 별도 VLAN으로 분리하고 NVR의 IP만 관리 포트에 접근을 허용하며 나머지 포트는 모두 deny할 것을 권장합니다.

함정 3: IoT 기기 DHCP의 골칫거리. 스마트 조명, 센서, 온도 조절 패널 같은 기기는 전원이 켜지면 대개 DHCP로 IP를 받는데, Option 43/60을 지원하지 않아 사무망의 주소 풀을 자주 가득 채웁니다. 신입 직원의 PC를 랜선에 연결해도 IP를 받지 못하는 상황이 생깁니다. 저는 보통 IoT에 별도 VLAN을 할당하고 DHCP Snooping을 활성화하여 무단 공유기 브로드캐스트를 방지합니다.

Cisco와 Huawei: 두 벤더 설정 예시

베이징의 기업 환경에서는 Cisco와 Huawei 장비를 혼용하는 것이 일상입니다. 많은 고객의 전산실에는 구형 Cisco 2960/3750이 있고, 새로 도입한 코어는 Huawei S5720-SI를 사용합니다. 이런 ‘혼합 스타일’은 네트워크 엔지니어에게 현실이자 도전입니다. 아래에 고전적인 시나리오의 설정 템플릿을 제시합니다. 음성 VLAN과 사무 VLAN이 트렁크 포트를 통해 전달되고 QoS를 활성화하여 음성 트래픽을 보장합니다.

Cisco IOS 스위치 설정:

! VLAN 생성
vlan 20
 name Office_Data
!
vlan 40
 name Voice_VLAN
!
! 액세스 포트 설정 - IP Phone + PC 시나리오
interface GigabitEthernet0/1
 description "IP Phone + PC Access Port"
 switchport mode access
 switchport access vlan 20
 switchport voice vlan 40
 spanning-tree portfast
 spanning-tree bpduguard enable
!
! 트렁크 포트 설정 - 코어 상향 링크
interface GigabitEthernet0/24
 description "Uplink to Core"
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 20,40
!
! QoS 정책 - 음성 우선
mls qos
policy-map VOICE-POLICY
 class class-default
  set dscp ef
!
interface GigabitEthernet0/1
 service-policy output VOICE-POLICY

Huawei VRP 스위치 설정:

<!-- Huawei 설정 예시 -->
# VLAN 생성
vlan batch 20 40

# 음성 VLAN 설정 (LLDP 방식 자동 검색)
vlan 40
 description Voice_VLAN
#
vlan 20
 description Office_Data
#
# 액세스 포트 설정
interface GigabitEthernet0/0/1
 description "IP Phone + PC Access Port"
 port link-type hybrid
 port hybrid pvid vlan 20
 port hybrid tagged vlan 40
 port hybrid untagged vlan 20
 voice-vlan enable
 voice-vlan qos 46
 stp edgedport enable
#
# 코어 상향 트렁크 포트
interface GigabitEthernet0/0/24
 description "Uplink to Core"
 port link-type trunk
 port trunk allow-pass vlan 20 40
#
# QoS 큐 설정
qos queue-profile VOICE-QUEUE
 schedule pq 5 6 7 wfq 0 1 2 3 4
 qos wrr 5 6 7 0 to qos queue 5 queue 6 queue 7
#
interface GigabitEthernet0/0/1
 qos queue-profile VOICE-QUEUE

두 제조사의 구성 방식은 동일하며, 핵심 차이는 명령어 문법에 있습니다. Cisco는 switchport voice vlan을, Huawei는 voice-vlan enable을 사용합니다. Cisco는 mls qos로 전역 QoS를 활성화하고, Huawei는 qos queue-profile로 큐 정책을 정의합니다. 실제 프로젝트에서는 구성 템플릿을 매개변수화하고 Excel로 VLAN-포트-설명 대응표를 관리하면서, 변경 시에는 먼저 표를 수정한 뒤 스크립트를 일괄 배포할 것을 권장합니다.

마지막으로 한 가지 당부드립니다. 계획이 아무리 훌륭해도 문서가 없으면 아무 의미가 없습니다. VLAN을 변경할 때마다 네트워크 토폴로지도와 IP 주소 대장을 반드시 함께 갱신해야 하며, 이는 수많은 시행착오를 통해 얻은 경험입니다. 귀사의 네트워크가 이미 엉망이 되어 있다면, 저희에게 연락하여 네트워크 장비 패키지 서비스를 통해 아키텍처를 재정비하는 것을 고려해 보십시오. 계약 기간 내에는 장비 교체를 무상으로 제공해 드립니다.