[HomeLabs] MikroTik VLAN 설정 트러블슈팅: 홈랩 네트워크 분리 문제 해결

MikroTik VLAN 설정, 이거 처음 붙잡으면 생각보다 헷갈립니다. 저도 홈랩 네트워크를 분리하겠다고 신나게 시작했다가, 관리용 PC는 접속이 끊기고 AP에서는 DHCP가 안 붙고, 어떤 포트는 같은 VLAN인데도 서로 통신이 안 되더라고요. 특히 홈랩 네트워크에서 서버, 관리망, IoT 장비를 나누려다 보면 단순히 VLAN ID만 맞춘다고 끝나는 게 아니거든요. 브리지(Bridge), PVID, Tagged/Untagged, 그리고 CPU 포트 개념이 한 번에 얽히기 시작하면 정말 꼬입니다.

이번 글은 제가 실제로 겪었던 VLAN 문제 해결 관점으로 정리해보겠습니다. 제품 홍보성 사용기가 아니라, MikroTik 라우터에서 네트워크 분리를 할 때 어디서 꼬이는지, 그리고 어떻게 하나씩 확인하면 되는지 경험을 바탕으로 풀어드릴게요. 혹시 VLAN 만들었는데 인터넷이 안 된다, DHCP가 안 된다, 특정 포트만 죽는다는 경험이 있으신가요? 그럼 중간 어디선가 프레임(Frame, 이더넷 데이터 단위)이 조용히 버려지고 있을 가능성이 큽니다.

관리망, 서버망, IoT망으로 나뉜 홈랩 네트워크 분리 구조를 한눈에 보여주는 개요 이미지입니다.

MikroTik VLAN 설정, 쉽게 말해 뭐가 핵심일까요?

쉽게 말해 VLAN은 하나의 물리 스위치 안에서 여러 개의 논리 네트워크를 나누는 방법입니다. 케이블은 그대로인데, 네트워크를 분리해서 따로 노는 것처럼 만드는 거죠. 예를 들어 관리망은 VLAN 10, 서버망은 VLAN 20, IoT망은 VLAN 30으로 나누면 같은 스위치에 꽂혀 있어도 서로 기본적으로 분리됩니다.

근데 MikroTik VLAN 설정에서 자주 막히는 이유는, 단순히 VLAN 인터페이스만 만드는 것으로 끝나지 않기 때문입니다. 실제 트래픽은 브리지와 포트 정책을 따라 움직거든요. 여기서 중요한 개념 네 가지를 먼저 잡고 가면 훨씬 편합니다.

• Tagged(태그드, VLAN 태그가 붙은 프레임): 보통 스위치 간 업링크나 트렁크(Trunk, 여러 VLAN을 동시에 운반하는 링크)에 사용합니다.
• Untagged(언태그드, VLAN 태그가 없는 프레임): 일반 PC나 프린터처럼 VLAN 태그를 직접 넣지 않는 장비 쪽 액세스 포트에 주로 씁니다.
• PVID(포트 VLAN ID, 포트로 들어온 언태그드 트래픽에 붙일 기본 VLAN 번호): 이 값이 틀리면 장비는 멀쩡한데 엉뚱한 VLAN으로 들어가 버립니다.
• Ingress Filtering(인그레스 필터링, 허용되지 않은 VLAN 유입 차단): 보안에는 좋지만 설정이 덜 끝난 상태에서 켜두면 트래픽이 조용히 사라집니다.

정리하면 이렇습니다. VLAN ID를 만든다와 그 VLAN이 어느 포트를 통해 어떻게 들어오고 나가는지 정의한다는 완전히 다른 작업이거든요. 저도 처음엔 이 차이를 가볍게 봤다가 한참 돌았습니다.

Tagged와 Untagged 차이 한 번에 보기

홈랩 네트워크 분리를 위한 예시 구성

실전 예시를 하나 두고 설명해보겠습니다. 아주 복잡하게 가지 않고, 집에서 많이 쓰는 형태로요.

1. VLAN 10: 관리망(Management, 장비 관리용)
2. VLAN 20: 서버망(Server, NAS와 가상화 서버)
3. VLAN 30: IoT망(IoT, 카메라나 스마트홈 장비)
4. `ether1`: 상위 라우터 또는 인터넷 업링크
5. `ether2`: 관리자 PC 연결 포트, VLAN 10 전용
6. `ether3`: 서버 연결 포트, VLAN 20 전용
7. `ether4`: AP 또는 다른 스위치로 가는 트렁크 포트

이 구조에서 핵심은 `ether4`가 여러 VLAN을 태그드로 운반하고, `ether2`와 `ether3`는 각각 언태그드 액세스 포트처럼 동작해야 한다는 점입니다. 말은 쉬운데, 여기서 한 줄만 빠져도 통신이 안 됩니다.

MikroTik VLAN 설정 실전 구현 순서

이제 실전으로 들어가 보겠습니다. 아래 예시는 RouterOS CLI 기준의 기본 예제입니다. 실제 장비마다 포트 이름이나 기존 브리지 구성은 다를 수 있으니, 운영 중인 장비라면 바로 붙여넣기 전에 현재 설정을 꼭 확인하세요. 저도 처음엔 생각 없이 적용했다가 관리 접속이 끊겨서 콘솔로 복구한 적이 있습니다.

1. 브리지와 포트부터 정리

/interface bridge
add name=bridge1 vlan-filtering=no

/interface bridge port
add bridge=bridge1 interface=ether2 pvid=10
add bridge=bridge1 interface=ether3 pvid=20
add bridge=bridge1 interface=ether4

여기서 포인트는 `vlan-filtering=no` 상태에서 먼저 틀을 잡는 겁니다. 처음부터 필터링을 켜버리면 어디서 막히는지 확인이 어려워지거든요. `ether2`는 VLAN 10, `ether3`는 VLAN 20의 액세스 포트가 되도록 PVID를 지정했습니다.

2. 브리지 VLAN 테이블 정의

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether4 untagged=ether2
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether4 untagged=ether3
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether4

이 부분이 진짜 중요합니다. `bridge1` 자체를 tagged 목록에 넣는 것을 빼먹는 경우가 정말 많아요. 이걸 왜 넣느냐고요? CPU 포트 역할을 하는 브리지에서 VLAN 인터페이스를 처리할 수 있게 해줘야 하기 때문이죠. 저는 예전에 이 줄을 빼먹고 DHCP도 안 붙고 라우팅도 안 돼서 한참 헤맸습니다.

브리지, tagged 포트, untagged 포트, PVID 관계를 보여주는 설정 구조 이미지입니다.

3. VLAN 인터페이스 생성

/interface vlan
add interface=bridge1 name=vlan10-mgmt vlan-id=10
add interface=bridge1 name=vlan20-server vlan-id=20
add interface=bridge1 name=vlan30-iot vlan-id=30

이제 라우터가 각 VLAN을 L3 레벨에서 인식할 수 있게 인터페이스를 만듭니다. 흔히 여기까지만 하고 왜 통신이 안 되지 하시는 분들이 있는데, 실제 패킷 경로는 앞에서 설정한 브리지 VLAN 테이블에 더 크게 좌우됩니다.

4. IP 주소 할당

/ip address
add address=192.168.10.1/24 interface=vlan10-mgmt
add address=192.168.20.1/24 interface=vlan20-server
add address=192.168.30.1/24 interface=vlan30-iot

이제 각 VLAN의 게이트웨이(Gateway, 기본 경로)가 생깁니다. 홈랩 네트워크에서 관리망과 서버망을 분리하려면, 여기서 서브넷도 명확히 나눠주는 게 좋습니다.

5. DHCP가 필요하면 VLAN별로 분리

/ip pool
add name=pool10 ranges=192.168.10.100-192.168.10.200
add name=pool20 ranges=192.168.20.100-192.168.20.200
add name=pool30 ranges=192.168.30.100-192.168.30.200

/ip dhcp-server
add name=dhcp10 interface=vlan10-mgmt address-pool=pool10
add name=dhcp20 interface=vlan20-server address-pool=pool20
add name=dhcp30 interface=vlan30-iot address-pool=pool30

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1
add address=192.168.30.0/24 gateway=192.168.30.1

여기까지 끝났다면 마지막으로 필터링을 켭니다.

6. 마지막에 VLAN Filtering 활성화

/interface bridge
set bridge1 vlan-filtering=yes

드디어 여기서 네트워크 분리가 실제로 적용됩니다. 근데 솔직히 말씀드리면, 문제도 보통 이 시점부터 드러나더라고요. 설정 직후 접속이 끊기면 당황하지 말고, 다음 트러블슈팅 항목대로 차근차근 보면 됩니다.

⚠️ MikroTik VLAN 설정에서 자주 겪는 문제 6가지

이 섹션은 제가 직접 해보니 가장 많이 틀렸던 부분들입니다. 문서로 보면 쉬워 보이는데, 실제 배선과 장비가 섞이면 여기서 많이 꼬입니다.

문제 1. 관리 IP가 갑자기 안 붙습니다

가장 흔합니다. 보통 원인은 두 가지예요.

• 관리 PC가 연결된 포트의 PVID가 예상과 다름
• 브리지 VLAN 테이블에 해당 포트가 untagged로 안 들어감

예를 들어 `ether2`를 관리망 VLAN 10으로 쓰는데, PVID는 10으로 줬지만 VLAN 테이블에서 `untagged=ether2`를 빼먹으면 통신이 안 됩니다. 저도 이거 때문에 “왜 분명히 VLAN 10인데 안 되지?” 하고 한참 봤었네요.

문제 2. 트렁크 포트로 여러 VLAN이 안 넘어갑니다

이 경우는 `ether4` 같은 업링크 포트를 tagged 목록에 VLAN별로 모두 넣었는지 확인해야 합니다. VLAN 10만 넣고 VLAN 20, 30을 빠뜨리면 그 VLAN은 건너가지 않죠.

그리고 연결된 반대편 장비도 봐야 해요. MikroTik 쪽만 맞아도 반대편 스위치나 AP가 같은 VLAN을 허용하지 않으면 결국 막힙니다. VLAN 문제 해결에서 중요한 포인트는 항상 양 끝 장비를 같이 본다는 겁니다.

문제 3. DHCP Discover는 보이는데 IP를 못 받습니다

이건 L2는 어느 정도 열려 있는데, L3 또는 서비스 바인딩이 꼬인 경우가 많습니다.

• DHCP 서버가 올바른 VLAN 인터페이스에 붙어 있는지
• 해당 서브넷의 `gateway` 설정이 맞는지
• 방화벽(Firewall, 트래픽 제어 규칙)이 브로드캐스트나 관련 트래픽을 막지 않는지

특히 인터페이스를 헷갈려서 DHCP 서버를 브리지에 직접 붙이는 실수를 하기도 합니다. VLAN 분리 환경에서는 대개 VLAN 인터페이스 단위로 확인하는 습관이 정말 중요해요.

문제 4. 같은 VLAN인데도 장비끼리 통신이 안 됩니다

이 경우는 포트가 같은 VLAN에 있다고 생각하지만 실제로는 하나는 태그드, 하나는 언태그드 처리 방식이 다르거나, PVID가 엇갈린 경우가 많습니다. AP에 SSID별 VLAN을 태그드로 넘기는 환경에서는 더욱 자주 보입니다.

제가 자주 하는 확인 순서는 이렇습니다.

1. 포트가 브리지에 들어가 있는지 확인
2. PVID가 기대한 값인지 확인
3. 브리지 VLAN 테이블에 tagged/untagged가 맞는지 확인
4. 반대편 장비도 동일한 VLAN 정책인지 확인

문제 5. 브리지에 `bridge1`을 tagged로 넣지 않아 CPU가 VLAN을 못 봅니다

이건 MikroTik VLAN 설정에서 정말 많이 놓치는 부분입니다. 라우터가 VLAN 인터페이스를 통해 IP 처리, DHCP, 라우팅을 하려면 CPU 포트 역할 경로가 열려 있어야 하거든요. 브리지 VLAN 설정에서 `bridge1`이 빠지면 패킷이 하드웨어 스위칭 영역 안에서만 맴돌고 라우터 기능으로 못 올라오는 상황이 생깁니다.

처음엔 이게 뭔가 싶었는데, 한 번 이해하고 나니까 구조가 딱 보이더라고요. 이후부터는 VLAN 구성할 때 제일 먼저 보는 항목이 됐습니다.

문제 6. 설정은 맞는 것 같은데 특정 장비만 안 됩니다

그럴 땐 장비 특성을 의심해보셔야 합니다. 일부 장비는 VLAN 태깅을 직접 못 하고, 일부 AP나 스위치는 관리 VLAN 설정이 따로 있거든요. 특히 “포트는 트렁크인데 끝단 장비는 액세스처럼 기대”하는 경우가 많아요. 네트워크 분리 구조에서는 장비 역할을 명확히 정하는 게 중요합니다.

트래픽이 어느 포트와 어느 VLAN 단계에서 막히는지 추적하는 흐름을 시각화한 이미지입니다.

실전에서 바로 보는 점검 명령어

문제가 생기면 설정만 계속 보지 말고, 현재 상태를 확인해야 합니다. 저는 아래 항목들을 많이 봅니다.

/interface bridge port print
/interface bridge vlan print
/interface vlan print
/ip address print
/ip dhcp-server print
/ip dhcp-server network print

출력에서 확인할 포인트는 명확합니다.

• 포트가 예상 브리지에 들어가 있는지
• PVID가 의도한 VLAN과 맞는지
• 각 VLAN ID에 tagged/untagged 포트가 정확한지
• VLAN 인터페이스가 브리지 위에 생성됐는지
• IP와 DHCP가 올바른 인터페이스를 바라보는지

가능하다면 한 번에 전체를 바꾸지 말고, VLAN 10 하나만 먼저 살린 뒤 나머지를 추가하는 방식이 정말 좋습니다. 이게 별거 아닌 것 같아도 장애 범위를 확 줄여줍니다.

검증: 네트워크 분리가 제대로 됐는지 확인하는 방법

설정이 끝났다고 바로 안심하면 안 됩니다. 진짜 중요한 건 검증이거든요. 제가 최종 확인할 때 보는 기준은 아래와 같습니다.

1. 관리 PC가 VLAN 10 대역 주소를 받는지 확인
2. 서버 포트 장비가 VLAN 20 대역 주소를 받는지 확인
3. IoT 장비가 VLAN 30 대역으로만 붙는지 확인
4. 서로 다른 VLAN 간 통신이 의도대로 제한되는지 확인
5. 인터넷 연결과 내부 게이트웨이 응답이 정상인지 확인

예를 들어 관리망에서는 라우터 관리 페이지와 NAS 관리 IP에 접근되지만, IoT망에서는 관리망으로 직접 못 들어가게 설계하는 식이죠. 이런 식으로 통신 허용과 통신 차단을 둘 다 확인해야 진짜 분리가 끝난 겁니다.

테스트는 간단합니다.

ping 192.168.10.1
ping 192.168.20.1
ping 192.168.30.1

그리고 각 VLAN에 연결된 장비에서 IP 대역과 게이트웨이를 확인해보세요. 여기서 기대와 다르면 거의 항상 PVID, tagged/untagged, 또는 DHCP 바인딩 쪽 문제입니다.

각 VLAN의 주소 대역, 게이트웨이 응답, 통신 차단 여부를 검증한 결과를 보여주는 이미지입니다.

💡 제가 정리한 운영 팁

• 운영 중 장비는 세이프 모드(Safe Mode, 문제 시 롤백을 돕는 작업 모드)를 고려: 원격 접속 중 VLAN 필터링을 켰다가 관리망이 끊기면 복구가 정말 번거롭습니다.
• 포트 역할을 먼저 종이에 적어두기: 액세스 포트인지, 트렁크 포트인지 헷갈리면 설정도 같이 꼬입니다.
• VLAN 하나씩 추가하기: 처음부터 5개, 6개 만들면 어디서 잘못됐는지 찾기 어렵습니다.
• 이름을 명확하게 짓기: `vlan10-mgmt`, `vlan20-server`처럼 쓰면 나중에 봐도 덜 헷갈립니다.
• 반대편 장비 설정도 꼭 같이 보기: MikroTik만 맞춰서는 절반입니다.

자주 묻는 질문

Q1. VLAN 인터페이스만 만들면 네트워크 분리가 끝나나요?

아닙니다. 브리지 VLAN 테이블과 포트별 tagged/untagged 정책이 같이 맞아야 해요. 실무에서도 이 둘을 따로 생각하면 거의 꼭 한 번은 막힙니다.

Q2. 액세스 포트와 트렁크 포트를 어떻게 구분하나요?

끝단 장비가 VLAN 태그를 직접 이해하지 못하면 보통 액세스 포트죠. 여러 VLAN을 한 링크로 넘겨야 하면 트렁크 포트라고 보면 됩니다.

Q3. 홈랩에서 꼭 VLAN을 써야 하나요?

필수는 아니지만, 서버와 IoT를 분리하고 관리망을 따로 두면 장애 범위와 보안 리스크를 줄이기 정말 좋습니다. 홈랩 네트워크가 커질수록 그 체감이 큽니다.

마무리: MikroTik VLAN 설정은 구조를 이해하면 갑자기 쉬워집니다

MikroTik VLAN 설정은 처음엔 메뉴도 많고 개념도 겹쳐 보여서 어렵습니다. 저도 처음엔 VLAN ID만 만들면 끝인 줄 알았는데, 실제로는 브리지, PVID, tagged/untagged, CPU 경로까지 다 연결해서 봐야 하더라고요. 근데 한 번 구조를 이해하고 나면 그 다음부터는 진짜 편합니다. 장애가 나도 어디를 봐야 할지 감이 생겨요.

이번 글의 핵심을 한 줄로 정리하면 이겁니다. VLAN은 번호를 만드는 작업이 아니라, 포트별 트래픽 흐름을 설계하는 작업이거든요. 여기서 중요한 포인트! 문제가 생기면 설정을 외우려 하지 말고, “이 포트로 들어온 프레임이 어느 VLAN으로 분류되고 어디로 나가야 하는가”를 따라가 보세요. 그럼 생각보다 빨리 답이 나옵니다.

다음 글에서는 MikroTik 방화벽(Firewall) 규칙으로 관리망, 서버망, IoT망 사이 통신을 어디까지 허용할지 다뤄볼 예정입니다. 이전 글에서 스위치 기본 구조를 정리해두셨다면 같이 보시면 더 이해가 잘 되실 겁니다. 드디어 됐다 싶은 순간이 분명 옵니다. 저도 그 맛에 홈랩 계속 굴리고 있거든요 🎉

MikroTik VLAN 설정 시 꼭 확인해야 할 체크포인트를 요약한 인포그래픽 이미지입니다.