VLAN, Inter-VLAN, VTP, Port-Security

VLAN은 논리적으로 영역을 구분해서 각각의 장치가 같은 VLAN에서만 통신하게 구성하는 기능이다. VLAN을 사용하면 아래와 같은 장점이 있다.

- 같은 장비지만, 논리적으로 분리하여 사용할 수 있음

- 네트워크 관리가 용이해짐

- 보안이 강화됨

- 트래픽이 분리되어 효율성이 증가함

---

VLAN은 VLAN Database에서 VLAN 정보를 관리한다. 아래 명령어로 VLAN Database를 확인할 수 있다.

Switch#show vlan brief

---

VLAN은 포트 모드를 설정하여 알맞게 설정할 수 있다.

- Access Mode : 하나의 VLAN만 속하며, PC 등을 연결할때 사용한다

- Trunk Mode : 여려 VLAN이 속하며, 스위치끼리 연결할때 사용한다

---

Trunk Mode에서는 여러 VLAN을 사용할 수 있다. 따라서 Trunking Protocol을 사용하여 여러 VLAN 트래픽을 서로 다른 장치에서도 사용하게 할 수 있다.

- 802.1Q : IEEE 표준 프로토콜, 최대 VLAN 갯수는 4096개

- ISL : Cisco 전용 프로토콜, 최대 VLAN 갯수는 1000개

- DTP : Cisco 전용 프로토콜, 보안상 안 좋음

---

Inter-VLAN은 라우터를 기준으로 VLAN 트래픽을 모아서, 서로 다른 VLAN 장치가 라우터를 거쳐 통신하게 하는 기능이다.

주로 interface g0/0뒤에 .숫자로 구분하며, 이로써 하나의 선에서 여러 Inter-VLAN을 설정할 수 있다.

---

VTP는 스위치들 사이에서 VLAN 정보를 공유하는 프로토콜이다. VTP에는 3가지 모드가 있다.

- Server (기본 모드) : VLAN 정보를 생성하고 전송한다

- Client : VLAN 정보를 수신한다

- Transparent : VLAN 정보를 다른 스위치로 전송한다

---

VTP는 여러가지 정보를 사용하여 VLAN 정보를 공유할때 해당 정보가 일치해야만 공유되게 할 수 있다.

1. VTP Domain : 서버와 클라이언트 도메인 정보가 같아야만 VLAN 정보를 공유

2. VTP Password : 서버와 클라이언트 비밀번호가 같아야만 VLAN 정보를 공유

---

Port-Security는 스위치가 포트에서 연결 가능한 장치를 제한하여 보안을 강화하는 기능이다.

Port-Security에서는 MAC주소를 3가지 방식으로 학습할 수 있다.

- Static : 수동으로 MAC 주소를 지정하며, NVRAM(write로 저장하는 위치)에 저장 가능

- Sticky : 자동으로 MAC 주소를 학습하며, NVRAM에 저장 가능

- Dynamic : 자동으로 MAC 주소를 학습하나, NVRAM에는 저장 불가

---

Port-Security에서는 MAC주소가 다를 경우(위반할 경우) 보안 정책을 설정하여 어떻게 대응할지 정할 수 있다.

- Shutdown (기본 설정) : 포트를 Error-disabled 상태로 차단

- Restrict : 위반한 MAC 주소의 트래픽만 차단하고, 로그에 기록함

- Protect : Restrict와 동일하나, 로그에 기록하지 않음