VLAN (Virtual Local Area Network)과 서브넷(subnet)은 네트워크의 세분화와 관리에 중요한 역할을 하지만, 목적과 동작 원리는 다르다. 이 차이를 스위치와 라우터, 그리고 브로드캐스트 트래픽을 이용한 예시를 통해 설명하겠다.
VLAN (Virtual LAN)
VLAN은 스위치에서 동작하며, 물리적인 네트워크를 논리적으로 나누는 기술이다. 같은 물리적 네트워크에 연결된 장치들이 있어도 서로 다른 VLAN에 속하는 장치들은 서로 통신할 수 없다. VLAN은 레이어 2(Layer 2, 데이터 링크 계층)에서 작동하며, 주로 스위치 포트를 기반으로 네트워크를 논리적으로 분리한다.
Subnet (서브넷)
서브넷은 IP 주소를 기반으로 네트워크를 나누는 방식이다. 레이어 3(Layer 3, 네트워크 계층)에서 동작하며, 같은 IP 서브넷에 속한 장치들끼리만 직접 통신이 가능하다. 라우터가 서브넷 간의 트래픽을 중계한다
스위치에 4개의 컴퓨터가 연결되어 있다 가정하자. 컴퓨터가 이 네트워크에 있는 다른 컴퓨터와 통신하려고 할때 먼저 전체 네트워크를 통해 브로드캐스트 메시지를 보내게되고 이 컴퓨터에 연결된 모든 컴퓨터가 브로드캐스트를 수신하게 된다. 이를 브로드캐스트 도메인이라고 한다. 소규모의 네트워크 구성에선 딱히 문제가 되지않는다.
하지만 위 처럼 디바이스가 추가될수록 브로드캐스트 트래픽의 양이 증가하게 되고 네트워크 속도가 느려지게 될 수 있다. 이를 방지하는 방법중 하나가 서브넷을 만드는 것이다.
위처럼 서브넷을 만들면 네트워크가 분리되는데, 물리적으로 더 작은 네트워크로 분할되며, 라우터를 사용하여 분리 할 수 있다. 이렇게 되면 브로드캐스트가 라우터를 통과하지 않고 네트워크 내에서만 유지되기 때문에 트래픽 초과 문제가 완화된다. 서브넷은 라우터로 분리되어 있으며 각 서브넷에는 다른 네트워크를 방해하지 않는 자체 브로드캐스트 도메인이 있다.
네트워크를 분리 하는 또 다른 이유로 보안의 문제도 있다.
기업에 영업, 판매, 기획부서가 있다고 가정하자. 각 부서에는 서버가 존재한다. 이 네트워크에서 모든 장치가 하나의 스위치를 통해 연결되어있단 것은 모든 부서의 사람이 타 부서의 모든 컴퓨터와 서버에 접근 할 수 있다는 것을 의미한다. 따라서 각 부서별로 네트워크 트래픽을 분리하면, 각 부서에서는 타 부서의 컴퓨터와 서버에 접근 할 수 없게된다. 각 부서 별로 서브넷을 어떻게 나눌수있을까?
방금 설명한 것 처럼 라우터를 사용해서, 네트워크를 세 개의 서브넷으로 나눌 수 있다. 각 부서마다 자체 네트워크가 생기는 것이다. 각 부서는 자신의 컴퓨터와 서버에만 접근 할 수 있게된다.
또 하나의 방법은 VLAN이 존재한다. VLAN도 네트워크를 분리하지만, VLAN은 논리적으로 분리하고, VLAN을 지원하는 스위치에서 사용가능하다. VLAN을 사용하면, 라우터나 방화벽을 추가할 필요가 없다. 스위치에 몇개의 VLAN만 구성해주면 된다.
VLAN
스위치에서 여러 VLAN을 구성하면, 각 VLAN은 물리적으로 동일한 네트워크 상에 있어도 독립적인 네트워크처럼 작동한다. VLAN은 브로드캐스트 도메인을 분리하는 데 도움이 된다. 예를 들어, 스위치에서 VLAN 10에 속한 장치들이 브로드캐스트 트래픽을 보내면, 이 트래픽은 VLAN 10 내의 장치들에게만 전달되고, VLAN 20이나 VLAN 30에 속한 장치들은 이를 수신하지 않는다. 하지만 VLAN 간 통신을 하기 위해서는 라우터 또는 Layer 3 스위치가 필요하다. 이때 라우팅을 통해 서로 다른 VLAN 간의 트래픽을 제어할 수 있다.
Subnet
서브넷은 IP 주소 블록을 나누는 방법이다. 예를 들어, 192.168.1.0/24라는 서브넷을 192.168.1.0/25와 192.168.1.128/25로 나누면, 이 두 서브넷 간의 통신은 라우터를 통해 이루어져야 한다. 같은 서브넷 내의 장치들은 서로 직접 통신할 수 있으며, 브로드캐스트 트래픽이 서브넷 내의 모든 장치들에게 전달된다. 그러나, 서브넷을 다르게 나누면 브로드캐스트는 각 서브넷 내에서만 한정된다.
VLAN의 예시
스위치에 다음과 같이 VLAN을 설정했다고 가정해 보자.
- VLAN 10: 영업
- VLAN 20: 판매
- VLAN 30: 기획
스위치의 각 포트는 특정 VLAN에 할당된다. 포트 2, 4, 6, 8은 VLAN 10에, 포트 1, 3, 9, 11, 13, 16, 18은 VLAN 20에 속해 있습니다. 영업부에서 컴퓨터가 브로드캐스트 트래픽을 발생시키면 이 트래픽은 포트 2, 4, 6, 8에 연결된 장치로만 전달되고, 판매 부서의 VLAN 20에 속한 포트 1, 3, 9, 11, 13, 16, 18의 장치들은 이를 수신하지 않는다. 이때 VLAN 10과 VLAN 20 간에 통신이 필요하다면, 라우터 또는 Layer 3 스위치를 통해야 한다.
서브넷의 예시
두 서브넷, 192.168.1.0/25 (영업부)와 192.168.1.128/25 (판매 부서)가 있다고 가정하자. 영업부의 장치들은 192.168.1.0/25에 속한 IP 주소를 사용하고, 판매 부서는 192.168.1.128/25에 속한 IP 주소를 사용합니다. 같은 서브넷에 속한 장치들은 라우터 없이 직접 통신이 가능하다. 그러나 192.168.1.0/25 서브넷에서 192.168.1.128/25 서브넷으로 통신을 하려면 라우터가 필요하며, 이 라우터는 서브넷 간의 트래픽을 중계한다.
VLAN과 Subnet의 결합된 예시
VLAN과 서브넷을 결합하여 보안성과 네트워크 효율성을 높이는 예를 들어보겠다. 한 회사에서 VLAN 10은 192.168.1.0/24 서브넷을 사용하고, VLAN 20은 192.168.2.0/24 서브넷을 사용한다. VLAN 10에 속한 장치가 다른 VLAN에 속한 장치로 데이터를 전송하려면, Layer 3 스위치 또는 라우터가 VLAN 10과 VLAN 20 간의 라우팅을 처리해야 한다. 이렇게 VLAN과 서브넷을 결합하면, 네트워크를 물리적으로 분리하지 않고도 트래픽을 효율적으로 분배하고, 각 부서 간의 보안성을 강화할 수 있다.