VLAN

LAN은 같은 지역에 있는 노드들의 집합

기존의 의미 Ethernet의 범위, 즉 CSMA/CD의 범위를 말함

현재 Broadcast를 통해 통신을 구현할 수 있는 범위

네트워크의 범위가 커지면서 하나의 Broadcast Domain에 너무 많은 호스트들을 연결함으로 성능 상 저하를 초래

해결방법 : Router를 이용하여 Broadcast Domain을 나누기 시작

결    과 : 라우터는 CPU에 의존하는 스위칭을 구현함으로 속도 면에 상당한 저하

라우터 단점을 극복하기 위해서 출현 한 것이 바로 VLAN이다

해결방법 : VLAN 라우터의 Broadcast Domain 분리기능을 스위치에서 구현

결    과 : 속도 면에서 큰 발전 이룸

VLAN의 장점

․ Boradcast의 제한

․ 향상된 네트워크 대역폭

․ 물리적인 제약의 해소

․ 관리의 용이성

․ Security

VLAN은 Logical Broadcast Domain이다 하나의 스위치에서 VLAN을 구성하여 Broadcast의 범위를 줄임으로써, Broadcast로 인한 네트워크 자우의 소모를 줄이게 되었고, 그 결과 네트워크의 대역폭을 효율적으로 사용할 수 있게 되었다.

VLAN은 물리적으로 떨어진 호스트들의 집합을 정의할 수 있다

따라서 사용자의 위치에 따른 제약이 대폭 해소되었다고 할 수 있다.

일반 스위치에서 VLAN이 없을 경우에 Broadcast를 통한 정보의 공유를 쉽게 구현 할 수 있지만 이것은 보안측면에서 보면 오히려 반대 개념을 갖는 기능이 될 수 있다.

따라서 같은 네트워크에서 임의의 접근을 막기 위해 VLAN을 사용한다면, 정보의 보안 측면에서 여러 가지 효과를 볼 수 있다.

VLAN의 특성

VLAN의

VLAN의 종류

․ Port Based VLAN

․ MAC Address Based VLAN

․ Protocol Based VLAN

․ IP Subnet Based VLAN

․ Which VLAN

1. Port Based VLAN : Port를 기준으로 VLAN을 구분 하는 방식.

2. MAC Address Based VLAN : 모든 호스트들은 MAC Address를 기조기 있으므로 MAC Address를 가지고 VLAN을 구성 하는 방법.

3. Protocol Based VLAN : 호스트들이 사용하는 Protocol에 따라 VLAN을 구성하는 방법.

4. IP Subnet Based VLAN : TCP/IP를 전용으로 사용하는 네트워크에서 사용 가능한 방식으로 Subnet별로 VLAN을 달리 주는 것.

5. Dynamic하게 MAC Address Based VLAN을 구성하는 경우에는 많은 MAC Address의 VLAN 정보를 저장하고 관리 할 수 있는 VMPS(VLAN Membership Policy Server)를 필요로 한다.

Trunk Port

Trunk 포트는 모든 VLAN에 속하는 포트로 규정할 수 있다.

구성상 -> 라우터와 연결된 스위치 포트와 라우터의 Interface는 둘 모두 지나다니는 Frame이 과연 어느 VLAN의 Frame인지를 판별해야 한다.

결과 -> 라우터는 라우팅 기능을 수행할 수 있고, 스위치는 라우터가 다시 뿌려주는 Frame을 받아서 어느 VLAN으로 가는 Frame인지를 확인 할 수 있다.

Trunk Port를 구성하는 프로토콜 : Trunking Protocol이라 함.

이러한 프로토콜 2종류 : IEEE802.1q와 시스코의 ISL

Inter-Switch Link(ISL)

ISL(Inter Switch Link) : 시스코 스위치들 간에 Traffic이 전송 될 때, VLAN 정보를 함RP 보내 상대편 스위치가 어느 VLAN으로 전송해야 할지를 구별 한다.

따라서 ISL Trunking이 활성화된 포트끼리는 어떠한 VLAN의 정보도 주고 받을 수 있다.

- DA : 48Bit의 Multicast Address로 Destination Address를 말함.

- Type : Encapsulation 된 Frame의 Type을 말한다. Ethernet(0000),

Token - Ring (0001), FDDI(0010), ATM(0011)으로 표시됨.

- User : Priority값을 가진다. 0에서 3까지의 값을 가질 수 있음.

- SA : 전송하는 스위치의 MAC Address로 Source Address다.

- LEN : 전송하는 Frame의 길이를 나타낸다. 16Bit로 구성됨.

- AAAA03 :표준 SNAP 802.2. LLC Header

- HSA : SA의 처음 3Byte로 구성되며, 제조사의 ID를 나타냄.

- VLAN : 15Bit로 구성된 VLAN ID다. 이중에서 하위 10bit만을 VLAN ID로 사용함.

- BPDU : 이 Frame이 BPDU Frame 인지를 나타냄. CDP일 경우에도 세팅됨.

- Index : Transmitting Port ID이며, 16Bit로 구성됨.

- RES : 부가적인 정보를 표현하는 Field다.

IEEE 802.1Q

IEEE 802.1Q : ISL과 다른 Frame 구조를 갖는다.

새로이 삽입 되는 정보 TPID(Tag Protocol Identifier)와 TCI(Tag Control Information)

이러한 Field를 삽입한 이후 새로이 계산된 CRC 정보를 기존의 FCS를 떼어내고 붙인다

ISL과 IEEE 802.1Q의 다른점

- ISL의 경우 새로운 Frame의 Header와 CRC를 붙여 사용했지만, IEEE 802.1Q에서는 기존의 Frame에 VLAN 정보를 삽입해서 Frame을 만드는 방식을 사용함.

- TPID(Tag Protocol Identifier) : 0 X 8100의 고정된 값을 가지는 Field다

이 Field로 Frame이 802.1Q Frame이라는 사실을 상대편 장비에게 알리게 됨

- TCI(Tag Control Information) : 실질적인 VLAN 정보가 들어 있는 Field다.

VLAN Trunk Protocol(VTP)

VTP는 스위치로 구성된 네트워크에 VLAN 관련 정보를 생성하고 전파하며 유지하는 프로토콜이다.

VTP Mode의 종류

VTP를 운영하는 네트워크의 모든 스위치는 세 가지 모드 중 하나로 동작한다.

․ Server Mode : Server Mode로 동작하는 스위치는 VTP Domain의 모든 CLAN 관련 정보를 생성 할 수 있다.

․ Client Mode : Client Mode로 동작하는 스위치는 VLAN을 만들거나 수정 또는 삭제 할 수 없다.

․ Transparent Mode : VLAN을 만들고 수정하고 지울 수 있지만 여기서 만들어지는 VLAN은 VTP Domain과 관련이 없는 Local VLAN이다 따라서 자신이 만든 정보를 Advertising하지 않는 특징이 있다.

VLAN Configuration 절차

․ VTP를 활성화 시킨다.

․ Trunking을 활성화 시킨다.

․ VLAN을 생성한다.

․ 각 VLAN에 Port를 할당한다.