Network Fundamentals - 03. VLAN과 STP

한 건물을 여러 층으로 나누는 기술 — VLAN과 STP

한 회사에 영업팀·개발팀·인사팀이 같은 사무실에 있다고 치자. 모두 같은 스위치에 연결돼 있는데 — 영업팀 컴퓨터가 인사팀 파일 서버에 접근하면 안 된다. 팀마다 네트워크를 분리해야 한다. 물리적으로 스위치를 나누고 케이블을 따로 깔 수도 있지만 — 비용이 들고 관리가 복잡해진다. VLAN(Virtual LAN) 은 — 하나의 물리 스위치를 여러 개의 논리적 네트워크로 나누는 기술이다. 한 스위치 안에서 영업팀 포트와 인사팀 포트를 논리적으로 격리한다. 케이블 추가 없이 소프트웨어 설정만으로 네트워크를 분리하는 것이다.

이 글은 VLAN과 STP(Spanning Tree Protocol)를 다룬다. VLAN이 "한 스위치를 여러 네트워크로 나누는 기술"이라면, STP는 "스위치들을 연결할 때 생기는 루프(무한 순환)를 막는 기술"이다. 둘 다 데이터센터·기업 네트워크의 L2 기반이다. 이전 글에서 본 이더넷·MAC 주소·스위치 동작 위에 — VLAN과 STP가 어떻게 더 큰 네트워크를 관리 가능하게 만드는지를 본다.

VLAN — 브로드캐스트 도메인을 나눈다

VLAN의 핵심 정의는 — 하나의 물리 스위치(또는 연결된 스위치 그룹)를 논리적으로 여러 개의 독립된 네트워크로 분할하는 기술이다. 여기서 "독립된 네트워크"란 — 브로드캐스트 도메인(broadcast domain) 이 분리된다는 뜻이다.

브로드캐스트 도메인이 뭔지 먼저 보자. 이전 글에서 — ARP 요청이 브로드캐스트(ff:ff:ff:ff:ff:ff)로 전송된다고 했다. 브로드캐스트는 같은 세그먼트의 모든 장치가 받는다. 100대의 서버가 같은 스위치에 꽂혀 있으면 — 한 서버가 ARP 브로드캐스트를 보낼 때마다 100대가 전부 처리해야 한다. 1000대가 되면 — 브로드캐스트 트래픽만으로 네트워크가 느려진다(브로드캐스트 스톰). VLAN이 없으면 — 물리 스위치 하나 = 브로드캐스트 도메인 하나다.

VLAN은 이 브로드캐스트 도메인을 나눈다. VLAN 10(영업팀)에 속한 포트에서 보낸 브로드캐스트는 — VLAN 10의 포트로만 전달된다. VLAN 20(인사팀) 포트에는 안 간다. 마치 — 한 건물을 층마다 나누고, 층간 방음을 해서 — 1층의 방송이 2층에 안 들리게 하는 것과 같다.

flowchart TD
    subgraph SWITCH["물리 스위치 1대"]
        subgraph V10["VLAN 10 (영업팀)"]
            P1["포트 1: PC-A"]
            P2["포트 2: PC-B"]
        end
        subgraph V20["VLAN 20 (인사팀)"]
            P3["포트 3: PC-C"]
            P4["포트 4: PC-D"]
        end
    end
    P1 -. 브로드캐스트 .-> P2
    P3 -. 브로드캐스트 .-> P4
    P1 -.x VLAN 다르면 전달 안 됨 .- P3

VLAN의 실제 이점

• 보안 격리 — 영업팀 네트워크와 인사팀 네트워크를 분리. 한쪽이 뚫려도 다른 쪽에 안 미침.
• 브로드캐스트 제어 — 브로드캐스트 트래픽을 VLAN 범위 안으로 제한. 대규모 네트워크에서 필수.
• 유연성 — 포트를 VLAN에 할당하는 건 소프트웨어 설정이다. PC를 다른 팀으로 옮기면 — 포트 VLAN만 바꾸면 된다. 케이블 재배선 불필요.
• 비용 절감 — 팀마다 물리 스위치를 살 필요 없이, 한 대의 스위치를 여러 VLAN으로 나눔.

802.1Q — VLAN 태그

VLAN이 하나의 스위치 안에서 끝나면 간단하다. 하지만 — VLAN이 여러 스위치에 걸쳐야 할 때가 있다. 예를 들어, 랙 1의 스위치와 랙 2의 스위치를 연결하면서, 양쪽의 VLAN 10이 통신해야 한다면. 이때 필요한 것이 VLAN 트렁킹(trunking) 과 IEEE 802.1Q 태그다.

802.1Q는 — 이더넷 프레임에 4바이트의 VLAN 태그를 삽입하는 표준이다. 이전 글에서 본 프레임 구조에 태그가 추가된다.

802.1Q 태그가 있는 프레임:
┌──────────┬──────────┬──────────────┬───────┬─────────┬─────────┐
│ 목적지 MAC │ 출발지 MAC │ 802.1Q 태그   │ 타입   │ 페이로드 │ FCS     │
│ (6바이트)  │ (6바이트)  │ (4바이트)     │(2바이트)│         │ (4바이트)│
└──────────┴──────────┴──────────────┴───────┴─────────┴─────────┘
                          ↑
                    VLAN ID (12비트)
                    우선순위 (3비트)

태그 안의 핵심은 VLAN ID(12비트) 다. VLAN ID는 1 ~ 4094(0과 4095는 예약). 즉 하나의 네트워크에서 최대 4094개의 VLAN을 만들 수 있다.

액세스 포트(access port) 와 트렁크 포트(trunk port) 의 차이가 중요하다.

포트 타입	역할	태그	전형 연결
액세스 포트	하나의 VLAN에 속함	태그 없음 (untagged)	PC·서버·프린터 연결
트렁크 포트	여러 VLAN을 전달	802.1Q 태그 있음 (tagged)	스위치 간 연결, 서버-스위치(다중 VLAN 필요 시)

비유하자면 — 액세스 포트는 "한 층으로만 가는 엘리베이터", 트렁크 포트는 "모든 층으로 가는 엘리베이터"다. PC는 자기 층(VLAN)만 알면 되지만(액세스), 스위치 간 연결은 여러 층의 트래픽을 전달해야 하니까(트렁크) "이 프레임은 몇 층(VLAN) 건 건가?"를 태그로 표시한다.

STP — 루프를 막는 기술

스위치들을 연결할 때 — 이중화(redundancy) 를 위해 여러 경로를 만드는 게 일반적이다. 한 케이블이 끊어져도 다른 경로로 통신하려고. 하지만 — 여러 경로가 있으면 루프(loop) 가 생긴다. 루프가 생기면 — 브로드캐스트 프레임이 무한히 순환하고(브로드캐스트 스톰), 네트워크가 마비된다.

flowchart TD
    A["스위치 A"] -->|"경로 1"| B["스위치 B"]
    A -->|"경로 2"| C["스위치 C"]
    B --> C
    B -. 브로드캐스트가 순환 .-> A
    C -. 브로드캐스트가 순환 .-> A

이 루프 문제를 푸는 게 STP(Spanning Tree Protocol, IEEE 802.1D) 다. 1985년 Radia Perlman이 발명했다(DEC). STP의 핵심 아이디어는 — 루프가 있는 물리 토폴로지에서, 루프가 없는 논리 트리(spanning tree)를 만들어, 일부 포트를 차단(blocking)한다.

STP의 동작을 간단히 보자:

1. 스위치들 중에서 루트 브리지(root bridge) 를 하나 선출한다. 가장 낮은 브리지 ID(MAC + 우선순위)를 가진 스위치가 루트.
2. 각 스위치는 루트까지의 최단 경로를 찾는다. 그 경로상의 포트는 전달(forwarding) 상태로 둔다.
3. 최단 경로가 아닌 여분 경로의 포트는 차단(blocking) 상태로 둔다. 트래픽이 안 지나간다.
4. 정상 경로가 끊어지면 — 차단된 포트를 전달 상태로 전환해서 대체 경로를 활성화한다. 수십 초가 걸린다.

STP 포트 상태	동작	전형 지속 시간
Blocking	프레임 전달 안 함, BPDU만 수신	정상 상태 (여분 경로)
Listening	BPDU 송수신, 프레임 전달 안 함	15초 (전환 중)
Learning	MAC 학습만, 프레임 전달 안 함	15초 (전환 중)
Forwarding	정상적으로 프레임 전달	정상 상태 (주 경로)

STP의 치명적 단점은 — 수렴 시간(convergence time)이 길다는 것이다. 링크가 끊어지면 — 차단 포트가 전달 상태로 바뀌는 데 30 ~ 50초가 걸린다(Blocking → Listening → Learning → Forwarding). 이 30초 동안은 통신이 끊긴다. 이를 개선한 RSTP(Rapid Spanning Tree Protocol, IEEE 802.1w) 는 — 수렴 시간을 1 ~ 3초로 줄였다. 현대 네트워크는 RSTP 또는 MSTP(Multiple STP)를 쓴다.

데이터센터에서의 VLAN — VXLAN으로의 진화

데이터센터에서는 VLAN의 한계가 드러난다. 첫째, VLAN ID가 4094개까지만 가능하다(12비트). 대규모 클라우드에서는 수만 개의 테넌트(고객) 네트워크가 필요한데, 4094개로는 부족하다. 둘째, VLAN은 L2 브로드캐스트 도메인이기 때문에 — 대규모에서 브로드캐스트 트래픽이 문제가 된다. 셋째, VLAN 트렁크는 스위치 간 물리 연결이 필요한데, 대규모 데이터센터에서 모든 스위치 쌍에 케이블을 깔 수는 없다.

이를 해결하는 기술이 VXLAN(Virtual eXtensible LAN, RFC 7348) 이다. VXLAN은 VLAN ID 12비트 대신 24비트를 써서 1600만 개의 논리적 네트워크를 만들 수 있다. 또한 — L2 프레임을 UDP 패킷으로 캡슐화해서 L3 네트워크 위에서 전달하므로, 물리적 L2 제약을 넘어선다. 데이터센터 네트워크의 핵심 기술이지만 — 이 영역보다는 datacenter and cloud 영역에서 깊이 다룬다. 여기서는 "VLAN의 대규모 확장 버전이 VXLAN"이라는 점과, "VLAN의 4094 한계가 VXLAN을 만든 원인"이라는 점만 기억하자.

네이티브 VLAN과 태그되지 않은 트래픽

트렁크 포트에는 네이티브 VLAN(native VLAN) 이라는 개념이 있다. 트렁크 포트를 지나가는 프레임 중 — 802.1Q 태그가 없는 프레임은 네이티브 VLAN에 속하는 것으로 간주한다. 기본값은 보통 VLAN 1이지만, 보안상 변경하는 것이 권장된다.

네이티브 VLAN이 왜 중요한가 — 트렁크 포트에 잘못 연결된 장치(태그를 모르는 PC 등)가 보낸 프레임이 네이티브 VLAN으로 처리되기 때문이다. 공격자가 의도적으로 태그 없는 프레임을 보내면 — 네이티브 VLAN의 트래픽을 가로챌 수 있다(VLAN hopping 공격). 이를 막으려면 — 네이티브 VLAN을 사용하지 않는 VLAN(예: VLAN 999)으로 설정하거나, 트렁크 포트에서 네이티브 VLAN의 태깅을 강제하는 기능(802.1Q 태그를 항상 붙임)을 켠다.

VLAN 설정 실습 — Cisco 스위치 예시

데이터센터 스위치에서 VLAN을 설정하는 명령을 보자. Cisco IOS 기준이다(다른 벤더도 유사한 개념).

# VLAN 생성
switch(config)# vlan 10
switch(config-vlan)# name SALES

switch(config)# vlan 20
switch(config-vlan)# name HR

# 포트 1 ~ 2를 VLAN 10(액세스 포트)에 할당
switch(config)# interface range gigabitEthernet 0/1 - 2
switch(config-if-range)# switchport mode access
switch(config-if-range)# switchport access vlan 10

# 포트 24를 트렁크 포트로 설정 (스위치 간 연결)
switch(config)# interface gigabitEthernet 0/24
switch(config-if)# switchport mode trunk
switch(config-if)# switchport trunk allowed vlan 10,20

switchport trunk allowed vlan 10,20이 중요하다 — 트렁크가 허용된 VLAN만 전달하도록 제한한다. 이 설정 없으면 모든 VLAN(1 ~ 4094)의 트래픽이 트렁크를 타고 넘어가서 — 불필요한 트래픽과 보안 위험이 생긴다.

VLAN 간 통신 — L3 스위치와 라우터

VLAN은 L2를 격리한다. VLAN 10의 PC와 VLAN 20의 PC는 — 같은 스위치에 있어도 직접 통신할 수 없다(브로드캐스트 도메인이 다르니까). 통신하려면 — L3(라우팅) 가 필요하다. 두 VLAN 사이에서 패킷을 중계하는 장치가 있어야 한다.

이 역할을 하는 것이 L3 스위치 또는 라우터다. L3 스위치는 — L2 스위치 기능에 라우팅(L3) 기능을 추가한 장치. 각 VLAN에 SVI(Switch Virtual Interface) 라는 가상 인터페이스를 만들어 — 그 인터페이스가 각 VLAN의 기본 게이트웨이(default gateway) 역할을 한다. VLAN 10의 PC가 VLAN 20으로 보내려면 — 먼저 VLAN 10의 게이트웨이(SVI)로 보내고, L3 스위치가 그걸 VLAN 20으로 라우팅한다.

이 "VLAN 간 라우팅(inter-VLAN routing)"은 — 다음 글(IP와 서브네팅)과 라우팅 글에서 다루는 L3 개념과 직결된다. "같은 네트워크 안"은 L2가 담당하고, "다른 네트워크로"는 L3가 담당한다. VLAN은 이 경계를 소프트웨어로 만드는 기술이다.

VLAN hopping — VLAN 경계를 우회하는 공격

VLAN은 보안 격리를 위해 쓰이지만 — 잘못 설정하면 공격자가 VLAN 경계를 우회(hopping) 할 수 있다. 두 가지 주요 공격이 있다.

Switch Spoofing — 공격자가 자기 포트를 트렁크 포트로 협상한다. 스위치의 기본 설정이 "트렁크 협상 수락(DTP, Dynamic Trunking Protocol)"으로 돼 있으면 — 공격자가 자기를 스위치로 속여, 모든 VLAN의 트래픽에 접근할 수 있다. 방어 — 모든 액세스 포트에서 DTP를 끈다(switchport nonegotiate).

Double Tagging — 공격자가 이더넷 프레임에 두 개의 802.1Q 태그를 붙인다. 첫 번째 태그(공격자의 VLAN)는 첫 스위치가 벗기고, 두 번째 태그(대상 VLAN)는 다음 스위치가 처리해서 — 대상 VLAN으로 프레임이 전달된다. 방어 — 네이티브 VLAN을 사용하지 않는 VLAN으로 설정하고, 트렁크에서 네이티브 VLAN의 태깅을 강제한다.

RSTP — STP의 빠른 버전

RSTP(Rapid Spanning Tree Protocol, IEEE 802.1w) 는 STP(802.1D)의 수렴 시간을 30 ~ 50초에서 1 ~ 3초로 줄인 버전이다. 핵심 개선:

• 포트 역할 추가 — STP의 3가지(Root/Designated/Blocking) 대신 5가지(Root/Designated/Alternate/Backup/Disabled)로 세분화. 대체 경로(Alternate)를 미리 파악해둬서 — 장애 시 즉시 전환.
• 빠른 전환(Fast Transition) — 링크가 켜지면 바로 전달 상태로 갈 수 있는 조건을 추가. 엣지 포트(end-host 연결)는 Learning/Listening 단계를 건너뛴다.
• BPDU 향상 — 스위치 간에 더 많은 정보를 BPDU에 실어서, 토폴로지 변화를 더 빨리 전파.

현대 네트워크는 거의 다 RSTP(또는 MSTP, Multiple STP)를 쓴다. STP(802.1D)는 레거시다.

실습 — VLAN 상태 직접 확인

클라우드 VM에서는 VLAN을 직접 설정할 수 없지만(하이퍼바이저가 관리), VLAN 태그가 붙은 인터페이스는 볼 수 있다.

1. VLAN 인터페이스 확인

# VLAN 태그가 붙은 인터페이스가 있는지
ip -d link show | grep -A 2 'vlan'
# 802.1Q 태그 정보
ip -d link show eth0.100 2>/dev/null

확인할 것: vlan protocol 802.1Q id 100이면 — eth0 위에 VLAN ID 100인 서브 인터페이스가 있다는 뜻. 클라우드에서는 이런 구성이 드물지만, 베어메탈이나 사내 네트워크에서는 흔하다.

2. STP 상태 (스위치 관리 권한이 있는 경우)

# Linux 브리지의 STP 상태
brctl showstp br0 2>/dev/null || bridge link show 2>/dev/null

확인할 것: 각 포트의 state가 forwarding 또는 blocking인지. 데이터센터 스위치(Cisco·Arista·Juniper)에서는 show spanning-tree 명령으로 확인.

3. 브로드캐스트 트래픽 관찰

# tcpdump로 브로드캐스트 프레임 관찰
sudo tcpdump -i eth0 -n broadcast -c 20

확인할 것: ARP 요청(arp who-has)이 가장 흔한 브로드캐스트. 같은 VLAN 안의 다른 장치들이 ARP를 보내는 게 보인다. 다른 VLAN의 ARP는 안 보여야 정상(VLAN이 격리하고 있으니까).

미검증: VLAN·STP 명령은 관리 권한이 있는 스위치 또는 Linux 브리지 환경에서만 동작. 클라우드 VM은 VLAN 설정이 벤더에게 숨겨져 있어 직접 확인이 어려움. 베어메탈·사내 네트워크 스위치에서 실습 권장.

판단 표 — VLAN 분할 기준

환경	권장 VLAN 분할	이유
소규모 사무실 (< 50대)	VLAN 불필요 (단일 L2)	분할 오버헤드가 이익보다 큼
중규모 기업 (50 ~ 500대)	부서별 VLAN (영업·개발·인사)	보안 격리 + 브로드캐스트 제어
대규모 기업 (500대+)	부서별 + 게스트 + 관리망 VLAN	보안 + 브로드캐스트 + 네트워크 관리
데이터센터	테넌트별 VLAN 또는 VXLAN	멀티테넌시 + 대규모 격리
클라우드 VPC	서브넷(=VLAN과 유사) 분리	AWS VPC 서브넷·GCP 서브넷

VLAN은 "논리적 경계"를 만드는 기술이다

VLAN과 STP는 — 물리적 케이블을 재배선하지 않고 소프트웨어로 네트워크 경계를 만들고, 그 경계가 안전하게 동작하게 하는 기술이다. VLAN이 "나누기"를 담당한다면, STP는 "나눈 네트워크가 루프로 마비되지 않게" 하는 안전망이다. 둘이 함께 — 현대 L2 네트워크의 기반을 이룬다.

다음 글에서는 L2를 넘어 L3로 올라간다 — IP 주소와 서브네팅. "192.0.2.0/24"에서 "/24"가 뭔지, 같은 네트워크인지 다른 네트워크인지를 어떻게 판단하는지, IP 주소를 어떻게 효율적으로 나눠 쓰는지(CIDR)를 다룬다. 우편번호 시스템이 동네를 나누는 것과 같다.

PVST+와 MSTP — VLAN별 트리

시스코의 PVST+(Per-VLAN Spanning Tree Plus) 는 — VLAN마다 별도의 spanning tree를 만드는 방식이다. VLAN 10의 루트 브리지와 VLAN 20의 루트 브리지를 다르게 설정할 수 있어 — 트래픽 부하 분산이 가능하다. 단점은 — VLAN 수만큼 BPDU가 발생해서 대역폭을 소비한다.

MSTP(Multiple Spanning Tree Protocol, IEEE 802.1s) 는 이 문제를 해결한다 — 여러 VLAN을 하나의 인스턴스(instance) 로 묶어, 인스턴스별로 spanning tree를 만든다. 인스턴스 수가 VLAN 수보다 훨씬 적으니 — BPDU 트래픽이 줄어든다. 현대 대규모 네트워크의 표준이다.

STP 버전	표준	트리 수	수렴 시간	전형 환경
STP (802.1D)	1985	전체 1개	30 ~ 50초	레거시
RSTP (802.1w)	2001	전체 1개	1 ~ 3초	소규모
PVST+	Cisco	VLAN별	1 ~ 3초 (RSTP 기반)	Cisco 환경
MSTP (802.1s)	2002	인스턴스별	1 ~ 3초	대규모 다중 VLAN

VLAN과 STP는 — 데이터센터·기업 네트워크의 L2 기반이다. VLAN이 "논리적 분할"을 담당하고, STP가 "루프 방지"를 담당한다. 이 둘이 함께 — 대규모 L2 네트워크를 관리 가능하게 만든다. 클라우드 환경에서는 — VLAN의 한계(4094개)를 넘어 VXLAN이 대안이 되지만, 기본 원리는 같다.

정리 — VLAN과 STP의 역할 분담

VLAN과 STP는 — L2 네트워크의 두 기둥이다. VLAN이 브로드캐스트 도메인을 분할해 — 보안 격리와 브로드캐스트 제어를 담당하고, STP가 루프를 방지해 — 이중화 경로에서 무한 순환을 막는다. 이 둘이 함께 — 현대 데이터센터·기업 네트워크의 L2 기반을 이룬다.

VLAN 없으면 — 한 스위치 = 하나의 거대한 브로드캐스트 도메인이 되고, 모든 ARP·DHCP 브로드캐스트가 전체로 퍼진다. STP 없으면 — 이중화를 위해 만든 여러 경로가 브로드캐스트 스톰을 일으켜 네트워크를 마비시킨다. 둘 중 하나라도 없으면 — 대규모 L2 네트워크를 운영할 수 없다. 클라우드 환경에서는 VXLAN이 VLAN의 한계를 넘어서지만, 기본 원리 — "논리적 분할(VLAN)"과 "루프 방지(STP)" — 는 변하지 않는다.

VLAN은 "논리적 경계"를, STP는 "루프 방지"를 담당한다. 두 기술이 함께 — 한 스위치를 여러 네트워크로 나누고, 여러 스위치를 안전하게 연결하는 것을 가능하게 한다. 이게 없으면 — 현대 데이터센터·기업 네트워크의 L2를 운영할 수 없다. 다음 글에서는 L3로 올라간다 — IP와 서브네팅. 우편번호 시스템이 동네를 나누는 것처럼, IP 주소가 네트워크를 나눈다.

VLAN과 STP의 역사는 — Radia Perlman이 STP를 발명한 1985년으로 거슬러 올라간다. 그녀의 유명한 시 "Algorhyme"이 STP의 핵심 알고리즘을 요약한다. VLAN은 1998년 IEEE 802.1Q로 표준화됐고, VXLAN은 2014년 RFC 7348으로 VLAN의 4094 한계를 넘어섰다. L2의 진화는 계속되고 있다.

VLAN과 STP의 핵심 정리

VLAN은 브로드캐스트 도메인을 분할하고(보안 격리, 브로드캐스트 제어), STP는 루프를 방지한다(이중화 경로에서 무한 순환 방지).
802.1Q 태그로 여러 VLAN을 트렁크 포트로 전달하고, 액세스 포트는 하나의 VLAN에 속한다. RSTP(802.1w)가 STP의 수렴 시간을 30초에서 1 ~ 3초로 줄였다.
데이터센터 규모에서는 — VLAN의 4094 한계를 VXLAN이 해결한다(24비트, 1600만 VLAN).
VLAN과 STP의 이해는 — L2 네트워크 설계의 기본이다.
보안 격리(VLAN)와 루프 방지(STP)가 함께 작동해 대규모 네트워크를 안정적으로 운영할 수 있게 한다.

---

참고

• IEEE 802.1Q-2022, "IEEE Standard for Local and Metropolitan Area Networks — Bridges and Bridged Networks" — VLAN 태깅 표준. 접근 2026-07-21
• IEEE 802.1D-2004 / 802.1w (RSTP) — STP/RSTP 표준. 접근 2026-07-21
• Perlman, R. <Interconnections: Bridges, Routers, Switches, and Internetworking Protocols> 2nd ed, Addison-Wesley, 1999 — STP 원저자의 정론. 접근 2026-07-21
• RFC 7348, Mahalingam, M. et al. "Virtual eXtensible Local Area Network (VXLAN)", 2014 — VXLAN 표준. 접근 2026-07-21
• Clark, K. , Cisco Press, 2004 — VLAN·트렁킹 실무. 접근 2026-07-21