사설 VLAN

이번 포스팅에서는 사설 VLAN에 대해서 이야기 해 보겠습니다.

먼저 사설 VALN에 대해 정의를 하자면, 엔지니어가 설정(사용 혹은 이용)할 수 있는 VLAN의 수는 한정되어 있습니다.

이 한정된 VLAN들을 가지고 더 효율적으로 포트들간의 통신을 제한(통제)하기 위해 사용하는 기술입니다.

피터전 샘의 책을 보면 사설 VLAN은 3가지로 나와있죠.

크게 주 VLAN과 부 VLAN으로 나눌 수 있습니다.

주 VLAN (Primary VLAN) : Promiscuous port (프로미스큐어스 포트), 부 VLAN에 접속된 장비와 외부를 연결하는 포트에 설정하는 VLAN입니다.

부 VLAN (Secondary VLAN)은 2가지가 있죠.

1. 독립 포트 (isolated port) : 다른 포트와는 통신이 안되는 특징이 있습니다.

2. 커뮤니티 포트 (community port) : 같은 커뮤니티 포트들간에는 통신이 가능합니다.

......... 이것이 무슨 말이냐?

그림을 보면서 설명을 드리는게 편하겠네요.

SW1에는 하나의 라우터와 9개의 PC가 연결되어 있습니다.

PC1 - PC3 까지는 isolated port에 연결되어 있고

PC4 - PC9 까지는 각각 다른 community port에 연결되어 있는 구조네요.

fa0/24는 게이트웨이 역할을 하는 라우터와 연결되어 있군요.

아무튼, 이 그림을 보면 위에서 설명을 했던 주 VLAN (promiscuous port)와 부 VLAN (isolated, community port)이 있습니다.

isolated port에 속해있는 PC1, PC2, PC3은 R1을 통해 인터넷 사용이 가능합니다.

하지만 PC1은 PC2 - PC9와 서로 통신이 불가능합니다. isolated port에 연결되어 있으니깐요.

하물며 같은 VLAN에 속한 PC2, PC3과도 통신이 불가능해집니다. 

PC4 - PC6 (VLAN 102)와 PC7 - PC9 (VLAN 103)은 조금 다릅니다.

기본적인건 isolated port와 비슷합니다. 차이점은 community port에 속한 클라이언트들은 같은 커뮤니티끼리는 통신이 가능하다는 점입니다.

PC4를 예로 보면, PC4는 promiscuous port를 통해서 인터넷 연결도 가능하고, 같은 커뮤니티에 속해있는 PC5, PC6과도 서로 통신이 가능합니다.

하지만 isolated port에 속한 PC1 - PC3과는 통신이 불가능하고, 또 다른 VLAN이 할당된 community port PC7 - PC9와도 통신이 안되는 것이죠.

이렇게 하면 isolated port와 community port는 설명이 된 것 같습니다.

promiscuous port는 간단합니다. 이 부 VLAN들 (isolated port, community port)이 사설 VLAN이 아닌 외부와 통신을 하기위한 게이트웨이라고 생각하시면 됩니다.

이 주 VLAN은 복수개로 설정 할 수 있습니다. 피터전샘 책을 보면 실습할 수 있는 config들이 있죠. 한번 유심히 보시면 알 수 있을 겁니다.

위 그림대로 SW1을 설정하기 위한 Config를 예로 적어보겠습니다.

SW1#conf t

SW1(config)#vtp mode transparent     //사설VLAN을 설정할 때는 transparent mode를 사용한다

SW1(config)#vlan 100

SW1(config-vlan)#name Primary(100)_for_101-103  //VLAN 이름 생성

SW1(config-vlan)#private-vlan primary                    //VLAN을 주 VALN(Primary VLAN)으로 지정

SW1(config-vlan)#private-vlan association 101-103 //주 VLAN에 속하는 부 VLAN들을 지정

SW1(config-vlan)#exit

SW1(config)#vlan 101

SW1(config-vlan)#name Isolated(101)_for_100

SW1(config-vlan)#private-vlan isolated                   //이 VLAN을 isolated VLAN으로 지정

SW1(config-vlan)#exit

SW1(config)#vlan 102

SW1(config-vlan)#name Community(102)_for_100

SW1(config-vlan)#private-vlan community              // 이 VLAN을 community VLAN으로 지정

SW1(config-vlan)#exit

SW1(config)#vlan 103

SW1(config-vlan)#name Community(103)_for_100

SW1(config-vlan)#private-vlan community

SW1(config-vlan)#exit

SW1(config)#interface fa0/24

SW1(config-if)#switchport mode private-vlan promiscuous       // 이 port를 사설 VLAN의 promiscuous mode로 지정

SW1(config-if)#switchport private-vlan mapping 100 101-103  // 주 VLAN과 부 VLAN을 맵핑한다

SW1(config-if)#exit

SW1(config)#interface range fa0/1 - 3

SW1(config-if-range)#switchport mode private-vlan host          // 이 port를 사설 VLAN의 부 VLAN 사용을 선언

SW1(config-if-range)#switchport private-vlan host-association 100 101   //사용될 주VLAN과 부VLAN 선언

SW1(config-if-range)#exit

SW1(config)#interface range fa0/4 - 6

SW1(config-if-range)#switchport mode private-vlan host

SW1(config-if-range)#switchport private-vlan host-association 100 102

SW1(config-if-range)#exit

SW1(config)#interfcae range fa0/7 - 9

SW1(config-if-range)#switchport mode private-vlan host

SW1(config-if-range)#switchport private-vlan host-association 100 103

SW1(config-if-range)#exit

사설VLAN을 설정할기 위한 config를 적어보았습니다.

사설 VLAN의 모드는 이미 vlan-config에서 선언을 하였기 때문에, 인터페이스 모드에서는 사용 될 VLAN mode를 선언하고 주 VLAN과 부 VLAN을 맵핑해주면 됩니다.

피터전샘의 책을 보면 사설VLAN에 대한 조건이나 특성들이 어렵게 적혀있습니다. 천천히 읽어보시길 권해드립니다.

저도 읽어보니 어려워서 잘...  -_-;;

이번 포스팅은 여기서 마치도록 하겠습니다.