YoutubeVLAN이란? 센서망·사무망 분리 방법과 설정 예시
요약
VLAN(Virtual LAN)은 스위치 한 대를 논리적으로 여러 개의 네트워크로 나누는 기술입니다.
센서·게이트웨이 같은 산업 IoT 장비를 사무용 PC와 다른 망에 두면 사무망에서 들어온 악성코드나 실수가 계측 장비까지 번지는 길을 막을 수 있습니다.
이 글은 IEEE 802.1Q 태그(4바이트, VLAN ID 1~4094)로 망이 나뉘는 원리와 태그(트렁크)·언태그(액세스) 포트의 차이를 설명합니다.
센서망과 사무망 사이에 어떤 통신만 허용할지 정하는 접근 규칙 예시도 표로 정리했습니다.
모니터링 시스템을 새로 들일 때 가장 흔한 배선은 이미 있는 사무실 스위치 빈 포트에 센서 게이트웨이를 꽂는 방식입니다. 처음에는 문제가 없어 보이지만 시간이 지나면 사무용 PC와 온도 센서, 프린터, CCTV가 한 망 안에서 서로를 그대로 볼 수 있는 상태가 됩니다.
이렇게 되면 PC 한 대가 랜섬웨어에 걸렸을 때 같은 망의 게이트웨이와 데이터로거도 검색 대상이 되고 누군가 IP를 겹치게 설정하면 센서 데이터가 몇 시간씩 빠지는 일도 생깁니다. 스위치를 따로 사서 물리적으로 나누면 확실하지만 배선과 비용이 늘어납니다. 같은 스위치 안에서 망을 나누는 방법이 VLAN입니다.
1. VLAN이란?
VLAN은 물리적으로 같은 스위치에 연결된 장비들을 논리적으로 다른 네트워크에 속하게 만드는 기술입니다. 스위치는 포트마다 어느 VLAN에 속하는지 기억하고 같은 VLAN 번호를 가진 포트끼리만 프레임을 전달합니다.
그래서 VLAN 10에 속한 사무용 PC는 VLAN 20에 속한 온도 센서 게이트웨이를 직접 볼 수 없습니다. 브로드캐스트(망 전체에 뿌리는 신호)도 VLAN 안에서만 퍼지기 때문에 장비가 많은 현장에서는 불필요한 트래픽이 줄어드는 효과도 있습니다. 두 VLAN 사이 통신이 필요하면 라우터·L3 스위치·방화벽처럼 3계층 장비를 거쳐야 하고 이 지점에서 허용할 통신만 골라 열 수 있습니다.
2. 같은 스위치 안에서 망이 나뉘는 원리는?
2-1. IEEE 802.1Q 태그 구조
VLAN 표준은 IEEE 802.1Q입니다. 스위치끼리 여러 VLAN의 데이터를 한 케이블로 주고받을 때 이더넷 프레임의 출발지 MAC 주소 뒤에 4바이트 태그를 끼워 넣어 "이 프레임은 몇 번 VLAN 소속"이라고 표시합니다.
| 필드 | 크기 | 내용 |
|---|---|---|
| TPID (태그 식별자) | 16비트 | 값 0x8100 — 태그가 붙은 프레임임을 알림 |
| PCP (우선순위) | 3비트 | 0~7 단계 우선순위 (QoS) |
| DEI | 1비트 | 혼잡할 때 먼저 버려도 되는 프레임 표시 |
| VID (VLAN 번호) | 12비트 | 0~4095 중 0과 4095는 예약, 실제 사용은 1~4094 |
VID가 12비트이므로 이론상 4,096개 번호가 나오고 예약된 0과 4095를 빼면 4,094개의 VLAN을 만들 수 있습니다. 공장 하나에서 쓰는 VLAN은 보통 몇 개에서 수십 개 수준이라 번호가 모자랄 일은 거의 없습니다.
2-2. 태그(트렁크) 포트와 언태그(액세스) 포트의 차이
VLAN 설정에서 가장 많이 헷갈리는 부분이 포트 종류입니다. 센서·PC 같은 일반 장비는 VLAN 태그를 모르기 때문에 스위치가 태그를 떼고 붙이는 일을 대신합니다.
| 구분 | 언태그 포트 (액세스 포트) | 태그 포트 (트렁크 포트) |
|---|---|---|
| 속하는 VLAN 수 | 1개 | 여러 개 |
| 프레임에 태그 | 없음 (스위치가 들어올 때 붙이고 나갈 때 뗌) | 있음 (802.1Q 태그를 단 채로 전달) |
| 연결 대상 | 센서 게이트웨이, PC, 프린터 등 끝단 장비 | 스위치와 스위치, 스위치와 방화벽·L3 스위치 |
| 제조사별 다른 이름 | Access, Untagged, PVID 포트 | Trunk, Tagged 포트 |
예를 들어 2층 스위치 3번 포트를 VLAN 20 언태그로 설정하고 센서 게이트웨이를 꽂으면 게이트웨이는 평소처럼 일반 프레임을 보냅니다. 스위치가 이 프레임에 VLAN 20 태그를 붙여 1층 코어 스위치로 가는 트렁크 포트로 내보내고 코어 스위치는 태그를 보고 VLAN 20 쪽으로만 전달합니다.
3. 산업 IoT 장비를 따로 떼어 둬야 하는 이유는?
산업용 센서와 게이트웨이는 사무용 PC와 보안 조건이 다릅니다. 펌웨어 업데이트 주기가 길고 백신을 설치할 수 없는 장비가 많으며 Modbus TCP처럼 인증 기능이 없는 프로토콜을 쓰는 경우도 흔합니다. Modbus TCP 구조는 Modbus TCP 산업용 통신 프로토콜 글에서 자세히 다룹니다.
- 감염 확산 차단 : 사무망 PC가 악성코드에 감염되면 같은 망의 장비를 검색해 퍼지려 합니다. 센서망이 분리돼 있으면 이 경로가 끊깁니다.
- 무단 조작 방지 : 인증이 없는 프로토콜은 같은 망에 있기만 하면 값을 읽거나 설정을 바꿀 수 있습니다. 센서망에 들어올 수 있는 장비를 줄이면 이런 위험이 줄어듭니다.
- 장애 분리 : 사무망의 IP 충돌이나 브로드캐스트 폭주가 센서 데이터 수집을 멈추게 하지 않습니다.
- 기록 신뢰성 : GMP·HACCP 현장은 온도 기록이 빠지지 않았다는 점을 설명할 수 있어야 하는데 망 분리와 접근 규칙 문서가 그 근거 자료가 됩니다.
산업 제어 시스템 보안 표준인 IEC 62443 시리즈도 보안 요구가 같은 장비를 묶은 구역(Zone)과 구역 사이의 통로(Conduit)를 나누고 통로에서 필요한 통신만 허용하라는 개념을 씁니다. VLAN은 이 구역을 현장에서 구현하는 가장 기본적인 수단입니다.
4. 센서망과 사무망은 어떻게 나눌까?
4-1. VLAN·IP 대역 설계 예시
VLAN마다 서로 다른 IP 대역을 하나씩 정하는 것이 기본입니다. 같은 대역을 두 VLAN에 걸쳐 쓰면 라우팅이 되지 않습니다. 대역 계산이 익숙하지 않다면 서브넷 마스크와 /24 같은 망 계산법을 먼저 보면 좋습니다.
| VLAN | 이름 | IP 대역 (예) | 연결 장비 |
|---|---|---|---|
| 10 | 사무망 | 192.168.10.0/24 | 업무용 PC, 프린터 |
| 20 | 센서망 | 192.168.20.0/24 | 센서 게이트웨이, 데이터로거, 신호 변환기 |
| 30 | 서버망 | 192.168.30.0/24 | 모니터링 서버, NTP 서버 |
| 99 | 관리망 | 192.168.99.0/24 | 스위치·방화벽 관리 화면 |
그림 1. 센서 게이트웨이는 VLAN 20 언태그 포트로 붙고, 방화벽에서 허용된 통신만 서버망으로 넘어갑니다.
그림 1은 센서 게이트웨이가 VLAN 20 언태그 포트로 현장 스위치에 붙고, 현장 스위치가 트렁크로 방화벽(또는 L3 스위치)에 올라간 뒤, 허용된 통신만 VLAN 30 서버망의 모니터링 서버로 가는 구성을 보여 줍니다. 사무망 PC는 방화벽에서 허용된 웹 화면 조회만 할 수 있습니다.
4-2. 스위치 설정 순서
- VLAN 생성 : 스위치 관리 화면에서 VLAN 10·20·30·99를 만들고 이름을 붙입니다.
- 액세스 포트 지정 : 센서 게이트웨이가 꽂힌 포트를 VLAN 20 언태그로, 사무용 PC 포트를 VLAN 10 언태그로 지정합니다. 이때 포트 기본 VLAN(PVID)도 같은 번호로 맞춥니다.
- 트렁크 포트 지정 : 상위 스위치나 방화벽으로 올라가는 포트를 태그 포트로 두고 필요한 VLAN만 허용합니다.
- VLAN 간 라우팅 : 방화벽이나 L3 스위치에 VLAN별 게이트웨이 주소(예: 192.168.20.1)를 만듭니다.
- 접근 규칙 적용 : 아래 5절 표처럼 허용 규칙을 넣고 마지막에 "나머지 모두 차단"을 둡니다.
- 시험 : 사무망 PC에서 센서 게이트웨이로 ping 과 설정 화면 접속이 막히는지, 서버에서 데이터 수집이 되는지 확인합니다.
센서 장비는 IP가 바뀌면 수집이 끊기므로 센서망에서는 고정 IP를 쓰는 편이 안전합니다. 이유는 DHCP vs 고정 IP 차이 글에 정리돼 있습니다.
5. 센서망과 사무망 사이 접근 규칙 예시
접근 규칙은 필요한 통신만 하나씩 열고 나머지는 모두 막는 방식(기본 차단)으로 만듭니다. 규칙은 위에서부터 차례로 검사되므로 마지막 줄에 전체 차단 규칙이 있어야 합니다. 아래 표는 4절의 VLAN 설계를 기준으로 한 예시이고 실제 포트 번호는 쓰는 장비와 프로토콜 설정에 맞춰 바꿉니다.
| 순서 | 출발 | 도착 | 서비스 (포트) | 처리 | 용도 |
|---|---|---|---|---|---|
| 1 | 서버망 모니터링 서버 | 센서망 게이트웨이 | Modbus TCP (502) | 허용 | 센서값 수집 |
| 2 | 센서망 게이트웨이 | 서버망 모니터링 서버 | MQTT over TLS (8883) | 허용 | 센서가 서버로 보내는 방식일 때 |
| 3 | 센서망 전체 | 서버망 NTP 서버 | NTP (UDP 123) | 허용 | 기록 시각 맞춤 |
| 4 | 사무망 전체 | 서버망 모니터링 서버 | HTTPS (443) | 허용 | 담당자가 화면 조회 |
| 5 | 지정된 관리자 PC 1대 | 관리망 | HTTPS (443) | 허용 | 스위치·방화벽 설정 |
| 6 | 사무망 전체 | 센서망 전체 | 모든 서비스 | 차단 | 사무망에서 센서 직접 접근 금지 |
| 7 | 센서망 전체 | 인터넷·사무망 | 모든 서비스 | 차단 | 센서가 바깥으로 나가는 길 막음 |
| 8 | 모두 | 모두 | 모든 서비스 | 차단 | 기본 차단 |
이 구성에서 사무망 직원은 센서 장비를 직접 건드리지 않고 모니터링 서버 화면으로만 데이터를 봅니다. 클라우드 서비스나 LTE 게이트웨이를 쓰는 현장이라면 7번 규칙에 해당 서비스 주소만 예외로 여는 줄을 앞에 추가합니다. 바깥에서 센서망으로 들어오는 포트포워딩은 가급적 만들지 않는 편이 좋은데 위험한 이유는 포트포워딩과 NAT 원리 글을 참고하면 됩니다.
6. VLAN 설정에서 자주 생기는 문제와 해결
| 증상 | 흔한 원인 | 해결 |
|---|---|---|
| 게이트웨이를 꽂았는데 통신이 전혀 안 됨 | 액세스 포트를 태그 포트로 잘못 설정, PVID 불일치 | 끝단 장비 포트는 언태그, PVID를 VLAN 번호와 같게 |
| 같은 VLAN인데 다른 층 장비와 연결 안 됨 | 스위치 사이 트렁크에 해당 VLAN이 허용되지 않음 | 트렁크 양쪽 허용 VLAN 목록 확인 |
| VLAN은 나눴는데 사무망에서 센서가 보임 | L3 스위치가 VLAN 간 라우팅을 모두 허용 | VLAN 간 ACL 또는 방화벽 규칙 추가 |
| 센서 기록 시각이 조금씩 틀어짐 | 분리 후 NTP 통신이 막힘 | NTP(UDP 123) 허용 규칙 추가 |
| 관리 화면에 아무나 접속 | 스위치 관리 IP가 기본 VLAN 1에 있음 | 관리 IP를 관리망으로 옮기고 접속 PC 제한 |
기본 VLAN 1은 모든 포트가 처음부터 속해 있는 경우가 많아 장비를 그대로 꽂으면 의도와 다른 망에 붙을 수 있습니다. 쓰지 않는 포트는 비활성화하거나 아무 장비도 없는 빈 VLAN에 넣어 두면 누군가 노트북을 아무 포트에나 꽂는 상황도 막을 수 있습니다.
7. 현장 운영 시 점검할 것
- 포트 대장 : 스위치별 포트 번호, VLAN, 연결 장비, 설치 위치를 표로 남깁니다. 장비 교체 때 가장 먼저 찾는 자료입니다.
- 규칙 문서 : 5절 같은 접근 규칙표를 문서로 두고 바뀔 때마다 날짜와 변경 사유를 적습니다. 품질 감사에서 망 분리 근거로 쓸 수 있는 자료입니다.
- 정기 확인 : 사무망 PC에서 센서 게이트웨이 접속이 막혀 있는지 분기마다 한 번 정도 실제로 시험해 보면 설정이 몰래 풀린 경우를 잡을 수 있습니다.
- 설정 백업 : 스위치·방화벽 설정 파일을 변경할 때마다 저장해 두면 장비 고장 시 같은 구성으로 빨리 되돌릴 수 있습니다.
- 무선 연결 : 무선 센서용 AP는 센서망 VLAN에 연결하고 사무용 무선과 SSID를 따로 씁니다.
8. 관련 산업용어
■ IEEE 802.1Q
VLAN 태그 형식과 VLAN 브리지 동작을 정한 IEEE 표준입니다. 현재판은 IEEE 802.1Q-2022입니다.
■ PVID (Port VLAN ID)
태그 없이 들어온 프레임에 스위치가 붙여 줄 VLAN 번호입니다. 액세스 포트의 소속 VLAN과 같게 맞춥니다.
■ L3 스위치
VLAN 간 라우팅을 할 수 있는 스위치입니다. ACL을 걸지 않으면 모든 VLAN이 서로 통하므로 규칙 설정을 같이 해야 합니다.
■ ACL (Access Control List)
출발지·도착지·포트 번호로 통신 허용과 차단을 정하는 규칙 목록입니다. 위에서부터 순서대로 검사합니다.
■ 구역과 통로 (Zone and Conduit)
IEC 62443에서 보안 요구가 같은 장비 묶음을 구역, 구역 사이 통신 경로를 통로라고 부릅니다.
9. 자주 묻는 질문
Q. VLAN만 나누면 보안이 충분한가요?
아니요. VLAN은 망을 나누는 역할만 하고 VLAN 사이 통신을 무엇까지 허용할지는 방화벽이나 L3 스위치의 접근 규칙으로 정해야 합니다. 규칙 없이 L3 스위치가 라우팅만 하면 분리 효과가 거의 없습니다.
Q. VLAN은 몇 개까지 만들 수 있나요?
IEEE 802.1Q 기준으로 1~4094번, 최대 4,094개입니다. 다만 스위치 제품마다 동시에 쓸 수 있는 VLAN 수가 이보다 적을 수 있어 사양서를 확인합니다.
Q. 저가형 스위치에서도 VLAN을 쓸 수 있나요?
관리형(매니지드) 또는 스마트 스위치라면 대부분 가능합니다. 설정 화면이 없는 비관리형 스위치는 VLAN을 지원하지 않으므로 센서망 분리에는 쓸 수 없습니다.
Q. 센서 게이트웨이도 VLAN 설정을 해야 하나요?
보통은 필요 없습니다. 게이트웨이는 언태그 포트에 꽂고 센서망 IP 대역의 고정 IP와 게이트웨이 주소만 맞추면 되고 태그 처리는 스위치가 합니다.
Q. 트렁크와 액세스 포트를 반대로 설정하면 어떻게 되나요?
통신이 끊깁니다. 끝단 장비는 태그가 붙은 프레임을 이해하지 못하고 트렁크로 가야 할 데이터는 한 VLAN만 넘어가 다른 VLAN 장비가 연결되지 않습니다.
10. 마무리
VLAN은 스위치 한 대를 여러 개의 논리적인 망으로 나누는 기술이고 프레임에 붙는 4바이트 802.1Q 태그로 소속 VLAN을 구분합니다. 끝단 장비는 언태그(액세스) 포트, 스위치 사이 연결은 태그(트렁크) 포트로 설정하는 것이 기본입니다. 망을 나눈 뒤에는 VLAN 사이 접근 규칙을 기본 차단으로 두고 수집·시각 동기화·화면 조회처럼 필요한 통신만 하나씩 여는 것이 센서망을 지키는 실제 방법입니다. 포트 대장과 규칙 문서를 함께 남겨 두면 장애 대응과 품질 감사 때 바로 쓸 수 있습니다.
참고 기준 : IEEE Std 802.1Q-2022 「Bridges and Bridged Networks」, IEC 62443 시리즈 「Industrial communication networks – Security for industrial automation and control systems」 (구역·통로 개념, IEC 62443-3-2)
태그 : VLAN, 802.1Q, 망분리, 센서망, 사무망, 트렁크포트, 액세스포트, 태그VLAN, 언태그, PVID, L3스위치, ACL, 방화벽규칙, IEC62443, 산업IoT보안, 네트워크분리
- 이전글Wi-Fi 2.4GHz 5GHz 차이와 산업 현장 IoT 센서 선택 기준 26.11.13
- 다음글급속냉각 기준과 블라스트 칠러 냉각 시간, 중심온도 기록 방법 26.11.12