13년차의 서버실

서버, 인프라, 홈랩 기술 블로그

[태그:] VLAN 구성

  • [홈랩] 홈랩 관리형 스위치 비교: Ubiquiti UniFi vs TP-Link Omada vs MikroTik

    [홈랩] 홈랩 관리형 스위치 비교: Ubiquiti UniFi vs TP-Link Omada vs MikroTik

    [홈랩] 홈랩 관리형 스위치 비교: Ubiquiti UniFi vs TP-Link Omada vs MikroTik

    홈랩 관리형 스위치를 고르기 시작하면 생각보다 빨리 머리가 복잡해집니다. 저도 처음엔 그냥 포트 수만 보면 되는 줄 알았거든요. 그런데 막상 VLAN(가상 LAN, 논리적으로 분리한 네트워크), LACP(링크 집계, 여러 포트를 하나처럼 묶는 방식), STP(스패닝 트리, 루프 방지 프로토콜), 관리 UI까지 보기 시작하면 완전히 다른 이야기더라고요. 특히 홈랩 관리형 스위치는 단순히 인터넷만 되는 장비가 아니라, 서버/가상화/스토리지/무선 AP까지 묶어주는 중심 장비라서 선택을 잘해야 나중에 삽질을 줄일 수 있습니다.

    이번 글에서는 많이 비교되는 Ubiquiti UniFi, TP-Link Omada, MikroTik를 홈랩 관점에서 비교해보겠습니다. 제가 실제로 홈랩을 굴리면서 느낀 포인트 위주로 정리할게요. 숫자 스펙을 줄세우기보다는, 어떤 환경에서 어떤 제품군이 더 편했는지, 어디서 시간이 많이 들었는지, 그런 현실적인 이야기입니다.

    홈랩 관리형 스위치 중심의 전체 네트워크 아키텍처 다이어그램

    홈랩 관리형 스위치가 라우터, 서버, NAS, AP와 어떻게 연결되는지 한눈에 보여주는 개요 이미지입니다.

    1. 왜 홈랩 관리형 스위치 비교가 중요한가

    쉽게 말해 스위치는 네트워크의 바닥 공사 같은 존재입니다. 처음에 대충 깔아도 당장은 돌아가는데, 나중에 VM(가상 머신), Kubernetes, NAS 백업망, IoT 분리, 게스트 Wi-Fi까지 붙이기 시작하면 구조가 꼬이기 시작합니다. 그때부터는 스위치가 단순한 허브가 아니라 정책을 실어 나르는 장비가 됩니다.

    • UniFi 스위치는 전체 관리 경험이 깔끔한 편입니다.
    • Omada 스위치는 비교적 익숙한 관리 경험과 무난한 구성이 장점입니다.
    • MikroTik 스위치는 자유도가 높고, 이해한 만큼 세밀하게 만질 수 있습니다.

    여기서 중요한 포인트! 홈랩에서는 성능 숫자보다도 운영 피로도가 더 중요할 때가 많습니다. 제가 직접 써보니, 설정 화면이 직관적인 장비는 테스트 속도가 빨라지고, 반대로 자유도가 높은 장비는 구조를 정확히 이해하면 정말 강력했지만 초반 진입 비용이 있었습니다.

    2. UniFi vs Omada vs MikroTik, 핵심 개념부터 맞춰봅시다

    비교를 하기 전에 용어를 먼저 맞추는 게 좋습니다. 저도 처음엔 Tagged/Untagged가 머리로만 이해되고 손에 잘 안 붙었는데, 실제 포트에 물려보면 감이 옵니다.

    2-1. Access 포트와 Trunk 포트

    Access(액세스) 포트는 보통 한 개 VLAN만 쓰는 엔드포인트용 포트입니다. PC나 프린터, IP 카메라 같은 장비를 물릴 때 많이 쓰죠. Trunk(트렁크) 포트는 여러 VLAN 태그를 함께 실어 보내는 업링크용 포트입니다. 스위치 간 연결이나 AP, 가상화 호스트 연결에 자주 씁니다.

    2-2. 관리형 스위치에서 중요한 체크포인트

    • VLAN 관리: 네트워크 분리를 쉽게 할 수 있는지
    • LAG/LACP: NAS나 서버 업링크를 묶을 수 있는지
    • 관리 UI: 웹 UI가 직관적인지, 중앙 관리가 되는지
    • 로그와 모니터링: 문제 생겼을 때 어디를 봐야 하는지
    • 학습 곡선: 내가 지금 공부할 시간이 있는지

    이 세 브랜드의 차이는 결국 여기서 갈립니다. UniFi 스위치는 통합 관리, Omada 스위치는 무난한 운영, MikroTik 스위치는 깊은 제어가 핵심이라고 보시면 편합니다.

    3. 홈랩 관리형 스위치 비교표

    항목 Ubiquiti UniFi TP-Link Omada MikroTik
    관리 방식 중앙 컨트롤러 기반 관리 경험이 강점 컨트롤러 기반 운영 가능, 비교적 익숙한 UI 장비별 설정과 세밀한 제어에 강함
    초기 진입 난이도 낮은 편 낮은 편~중간 중간~높음
    설정 자유도 정해진 흐름 안에서 편함 무난함 매우 높음
    홈랩 적합성 통합 운영 선호 시 좋음 가성비와 익숙함을 원할 때 무난 학습과 세밀한 튜닝을 즐기면 강력
    삽질 포인트 컨트롤러 구조 이해 부족 메뉴 위치와 장비 역할 혼동 브리지/포트/VLAN 개념을 정확히 알아야 함

    표만 보면 너무 단순해 보이죠? 근데 실제로 써보면 이 차이가 꽤 큽니다. 예를 들어 AP, 스위치, 게이트웨이를 한 화면에서 보고 싶으면 UniFi가 정말 편합니다. 반대로 저는 MikroTik에서 구조를 다 이해하고 나서야 “아, 이래서 다들 재밌다고 하는구나” 싶었어요. 처음엔 이게 뭔가 싶었는데, 손에 익으면 꽤 매력 있습니다.

    4. 실전 구성: 같은 홈랩 토폴로지를 세 제품에 적용하는 방법

    브랜드별 메뉴 이름은 달라도 기본 설계는 같습니다. 비교를 공정하게 하려면 같은 요구사항으로 봐야 하거든요. 저는 보통 아래처럼 시작합니다.

    1. 관리 VLAN 하나를 분리합니다.
    2. 서버용 VLAN, 사용자용 VLAN, IoT용 VLAN을 나눕니다.
    3. 가상화 호스트와 AP가 연결되는 포트는 Trunk로 잡습니다.
    4. 일반 PC나 테스트 장비 포트는 Access로 고정합니다.
    5. 문제 생기면 Linux 호스트에서 태그가 제대로 들어오는지 먼저 검증합니다.

    4-1. 예시 VLAN 설계

    VLAN ID 용도 비고
    10 Management 스위치/AP/관리 인터페이스
    20 Server 하이퍼바이저, NAS, 백업망 일부
    30 Client 노트북, 데스크톱
    40 IoT 분리가 필요한 장치

    4-2. Linux에서 VLAN 테스트 인터페이스 만들기

    브랜드별 UI만 보고 있으면 진짜 스위치가 잘못됐는지, 서버 NIC 설정이 잘못됐는지 헷갈릴 때가 많습니다. 그럴 때는 끝까지 UI를 의심하지 말고, 패킷이 실제로 어떻게 들어오는지 확인해야 합니다.

    # 물리 NIC가 eno1이라고 가정
    sudo ip link add link eno1 name eno1.20 type vlan id 20
    sudo ip addr add 192.168.20.10/24 dev eno1.20
    sudo ip link set eno1 up
    sudo ip link set eno1.20 up
    
    # 연결 확인
    ip -d link show eno1.20
    ping -c 4 192.168.20.1

    이 명령은 대부분의 테스트 환경에서 바로 써먹기 좋습니다. 스위치 쪽에서 Trunk와 Allowed VLAN만 맞아 있으면, 서버에서 VLAN 서브인터페이스가 올라오거든요. 저는 이 단계에서 꽤 많이 살았습니다. 괜히 컨트롤러 화면만 보다가 한참 돌았던 적이 많아서요 ㅎㅎ

    홈랩 관리형 스위치의 VLAN 분리와 트렁크 포트 구성 예시

    관리 VLAN과 서버 VLAN, 사용자 VLAN, IoT VLAN이 포트별로 어떻게 나뉘는지 보여주는 구성 예시입니다.

    4-3. 트래픽이 태그되어 들어오는지 확인

    sudo tcpdump -eni eno1 vlan

    이거 진짜 편하더라고요. 태그가 안 보이면 스위치 포트 프로파일이 틀렸거나, Access/Trunk가 뒤집힌 경우가 많습니다. 네트워크 구성 비교를 할 때도 결국 이런 기본 검증 흐름이 있어야 브랜드 차이를 냉정하게 볼 수 있습니다.

    4-4. 문서화 예시

    vlans:
      - id: 10
        name: management
        ports:
          tagged: [uplink1, hypervisor1, ap1]
          untagged: [mgmt-pc]
      - id: 20
        name: server
        ports:
          tagged: [uplink1, hypervisor1]
          untagged: [nas1]
      - id: 30
        name: client
        ports:
          tagged: [uplink1, ap1]
          untagged: [desk1, desk2]
      - id: 40
        name: iot
        ports:
          tagged: [uplink1, ap1]
          untagged: [camera1]

    이런 식으로 간단한 YAML(야믈, 사람이 읽기 쉬운 설정 형식) 문서라도 남겨두면 나중에 장비 바꿀 때 엄청 편합니다. UniFi에서 Omada로, 혹은 Omada에서 MikroTik으로 넘어가더라도 논리는 그대로 가져갈 수 있거든요.

    5. 브랜드별로 직접 운영해보면 느끼는 차이

    5-1. UniFi 스위치가 편한 경우

    무선 AP, 게이트웨이, 스위치를 한 흐름으로 보고 싶다면 UniFi 스위치 쪽 만족도가 높을 가능성이 큽니다. 포트 프로파일 개념이 익숙해지면 반복 작업이 줄고, 토폴로지 시각화도 운영 피로를 낮춰줍니다. 홈랩을 “관리 제품”처럼 다루고 싶은 분들께 잘 맞습니다.

    5-2. Omada 스위치가 무난한 경우

    Omada 스위치는 비교적 무난하게 접근하기 좋습니다. 인터페이스가 아주 특이하지 않고, 필요한 기능을 단계적으로 올리기 좋다는 인상이 있었습니다. 특히 “너무 복잡한 건 싫은데, 그렇다고 비관리형은 아쉽다”는 분들에겐 균형이 괜찮습니다.

    5-3. MikroTik 스위치가 강한 경우

    MikroTik 스위치는 이해한 만큼 보상을 주는 타입입니다. 브리지, VLAN 필터링, 포트 역할을 정확히 알고 들어가면 세밀하게 설계할 수 있습니다. 반대로 말하면, 감으로 만지면 바로 꼬입니다. 저도 처음엔 관리망이 갑자기 안 붙어서 식은땀 좀 났습니다. 결국 구조를 다시 그리고 나서야 풀렸어요.

    6. ⚠️ 실제로 많이 겪는 문제와 트러블슈팅

    이 섹션은 좀 중요합니다. 비교 글은 다들 장점만 말하는데, 실제 운영에서는 어디서 막히는지가 더 중요하거든요.

    • 관리 VLAN을 잘못 바꿔서 장비 접속이 끊김
      해결: 변경 전 현재 접속 포트와 관리 IP가 어느 VLAN에 물려 있는지 먼저 적어두세요. 가능하면 콘솔 접근 경로를 확보하고 바꾸는 게 좋습니다.
    • AP 업링크 포트를 Access로 잡아서 SSID VLAN이 안 올라감
      해결: AP 연결 포트는 여러 VLAN이 지나가야 하므로 Tagged VLAN 허용 상태를 먼저 확인하세요.
    • 하이퍼바이저에서 VLAN은 만들었는데 통신이 안 됨
      해결: 스위치 Trunk 허용 목록, 서버 NIC 본딩 여부, 게이트웨이 서브인터페이스를 같이 확인해야 합니다.
    • 브랜드별 용어 차이 때문에 같은 설정을 다르게 이해함
      해결: 메뉴 이름보다 포트 역할을 기준으로 문서화하세요. Tagged/Untagged, PVID 같은 개념으로 통일하면 덜 헷갈립니다.

    혹시 이런 경험 있으신가요? “분명 VLAN 20인데 왜 통신이 안 되지?” 하면서 한 시간 넘게 본 적이요. 저는 대부분 케이블 문제가 아니라 포트 모드 문제였습니다. 드디어 됐다! 싶어서 보면 결국 Access/Trunk 하나 잘못 잡은 거였어요.

    홈랩 관리형 스위치 설정 오류를 점검하는 트러블슈팅 장면

    관리 VLAN 변경 실수나 태그 누락 같은 흔한 문제를 점검하는 트러블슈팅 흐름을 보여주는 이미지입니다.

    7. 검증 방법: 구성 후 무엇을 확인해야 하나

    스위치는 설정하는 것도 중요하지만, 검증 루틴을 만들어두는 게 더 중요합니다. 저는 아래 순서로 확인합니다.

    1. 각 VLAN 대역에서 게이트웨이 핑이 되는지 확인합니다.
    2. 분리해야 하는 네트워크끼리 정말 차단되는지 확인합니다.
    3. AP를 통해 무선 클라이언트가 의도한 VLAN에 붙는지 봅니다.
    4. NAS나 서버 업링크가 기대한 대로 동작하는지 확인합니다.
    5. 관리 UI에서 포트 업/다운, 오류 카운터를 확인합니다.
    # 인터페이스 상태 확인
    ip addr
    ip route
    
    # VLAN별 연결 확인 예시
    ping -c 4 192.168.10.1
    ping -c 4 192.168.20.1
    ping -c 4 192.168.30.1
    
    # 분리 검증 예시: IoT 대역에서 서버 대역 차단 확인
    nc -zv 192.168.20.10 22

    이렇게 검증하고 나면 장비 브랜드보다 설계가 더 중요하다는 걸 느끼게 됩니다. 좋은 홈랩 관리형 스위치를 고르는 것도 중요하지만, 결국 운영 안정성은 구조와 검증 습관에서 나오더라고요.

    홈랩 관리형 스위치 구성 검증 결과를 보여주는 대시보드

    VLAN별 연결 상태, 포트 상태, 테스트 결과를 한눈에 확인하는 검증 이미지입니다.

    8. 어떤 사람에게 어떤 선택이 맞을까

    • UniFi 추천: AP, 스위치, 게이트웨이를 통합된 경험으로 관리하고 싶은 분
    • Omada 추천: 너무 어렵지 않으면서도 관리형 기능을 충실히 쓰고 싶은 분
    • MikroTik 추천: 네트워크 구조를 깊게 이해하고 세밀한 제어를 원하는 분

    제 기준으로 정리하면 이렇습니다. UniFi 스위치는 운영 경험이 부드럽고, Omada 스위치는 접근성이 좋고, MikroTik 스위치는 공부할수록 재미가 커집니다. 어느 쪽이 무조건 우위라기보다, 내가 원하는 운영 스타일이 무엇인지가 핵심입니다.

    9. 정리와 다음 단계

    오늘 비교를 한 줄로 줄이면 이렇습니다. 네트워크 구성 비교에서 중요한 건 스펙표보다 운영 방식입니다. 홈랩에서 반복적으로 만질 장비라면 UI와 문서화 흐름이 중요하고, 반대로 구조를 파고드는 재미와 제어력을 원하면 학습 곡선도 받아들일 만합니다.

    저는 개인적으로 처음 홈랩을 세팅하는 분이라면 관리 VLAN, 서버 VLAN, 사용자 VLAN 정도만 먼저 분리해서 시작해보시라고 말씀드립니다. 처음부터 너무 많은 정책을 넣으면 나중에 어디서 꼬였는지 찾기 어려워지거든요. 작은 성공을 여러 번 만드는 쪽이 훨씬 낫습니다.

    다음 글에서는 홈랩 관리형 스위치를 실제 라우터와 하이퍼바이저에 연결해서, VLAN 간 라우팅과 방화벽 정책을 어떻게 가져가는지 다뤄볼 예정입니다. 이전 글에서 다룬 홈랩 IP 주소 설계 편이 있다면 같이 보셔도 흐름 잡는 데 도움이 됩니다.

    세 브랜드의 운영 스타일과 추천 사용자 유형을 간단히 정리한 요약 인포그래픽입니다.

    자주 묻는 질문

    Q1. 처음 홈랩을 시작할 때 가장 무난한 선택은 뭔가요?

    통합 관리와 쉬운 시각화를 원하면 UniFi 계열이 편하고, 너무 복잡하지 않은 균형형을 원하면 Omada도 괜찮습니다. 다만 이미 네트워크를 공부할 마음이 있다면 MikroTik도 충분히 좋은 선택입니다.

    Q2. MikroTik은 초보자에게 너무 어렵지 않나요?

    어렵긴 합니다. 다만 “불친절해서 못 쓴다”보다 “구조를 이해해야 제대로 쓴다”에 가깝습니다. 저도 처음엔 헷갈렸는데, VLAN과 브리지 개념을 잡고 나니 훨씬 수월했습니다.

    Q3. 브랜드를 섞어 써도 되나요?

    됩니다. 실제로 홈랩에서는 스위치, AP, 라우터를 서로 다른 브랜드로 운영하는 경우도 많습니다. 중요한 건 UI 통일성보다 VLAN 설계와 검증 루틴입니다.

  • [홈랩] 홈랩 VLAN 설정 완벽 가이드: 스위치와 라우터 연동

    [홈랩] 홈랩 VLAN 설정 완벽 가이드: 스위치와 라우터 연동

    [홈랩] 홈랩 VLAN 설정 완벽 가이드: 스위치와 라우터 연동

    홈랩 VLAN 설정, 한 번 제대로 잡아두면 네트워크가 정말 편해집니다. 서버는 서버끼리, IoT는 IoT끼리, 게스트 Wi-Fi는 내부망과 분리해서 굴릴 수 있거든요. 저도 처음 홈랩을 키울 때는 스위치에 선만 꽂으면 끝인 줄 알았는데, VM 하나 늘고 NAS 하나 붙고 카메라까지 들어오니까 금방 복잡해지더라고요. 결국 VLAN 구성으로 정리하고 나서야 드디어 됐다 싶었습니다. 특히 네트워크 분리와 보안 강화를 같이 챙기고 싶다면, 관리형 스위치와 라우터 VLAN 연동은 거의 필수에 가깝습니다.

    홈랩 VLAN 설정 전체 아키텍처를 보여주는 다이어그램

    관리형 스위치, 라우터, 서버, IoT, 게스트망이 VLAN별로 분리된 전체 구성 예시입니다.

    왜 홈랩 VLAN 설정이 중요한가요

    쉽게 말해 VLAN은 하나의 물리 네트워크를 여러 개의 논리 네트워크로 쪼개는 방식입니다. 선은 같은 스위치에 꽂혀 있어도, VLAN ID가 다르면 서로 다른 네트워크처럼 동작합니다. 이게 왜 좋으냐면요.

    • 관리망(Management)을 따로 빼서 스위치나 하이퍼바이저 관리 페이지를 안전하게 둘 수 있습니다.
    • 서버망(Server Network)과 개인 PC망을 분리해서 사고 범위를 줄일 수 있습니다.
    • IoT망을 따로 두면 카메라나 스마트 플러그가 내부 서버에 함부로 접근하지 못합니다.
    • 게스트망(Guest Network)을 만들면 손님 Wi-Fi를 줘도 마음이 좀 편해집니다.

    여기서 중요한 포인트! VLAN은 만능 보안 장비가 아니라 분리의 기본 단위입니다. 즉, 나누는 것만으로 끝나는 게 아니라 라우터에서 VLAN 간 통신 정책까지 같이 잡아야 진짜 의미가 있습니다.

    VLAN 구성 개념, 쉽게 말해 이렇게 이해하시면 됩니다

    저도 처음엔 태그니 언태그니 하면서 머리가 좀 아팠습니다 ㅎㅎ 그런데 아래 두 가지만 잡으면 금방 감이 옵니다.

    Tagged(태그드)와 Untagged(언태그드)

    Tagged(태그드)는 패킷에 VLAN 번호를 붙여서 보내는 방식입니다. 보통 스위치와 라우터 사이, 스위치와 하이퍼바이저 사이처럼 여러 VLAN을 한 선으로 같이 보낼 때 씁니다. 이 연결을 흔히 Trunk(트렁크)라고 부릅니다.

    Untagged(언태그드)는 패킷에 VLAN 태그를 붙이지 않는 방식입니다. PC 한 대, 프린터 한 대처럼 한 포트에서 한 네트워크만 쓰는 경우에 일반적으로 사용합니다. 이 포트를 흔히 Access(액세스) 포트라고 부르죠.

    PVID와 Native VLAN

    PVID(Port VLAN ID)는 태그 없이 들어온 트래픽을 어떤 VLAN으로 볼지 정하는 값입니다. 관리형 스위치에서 액세스 포트 설정할 때 자주 보게 됩니다. 제조사마다 표현은 조금 달라도 개념은 비슷합니다.

    항목 의미 주로 쓰는 곳
    Tagged VLAN 태그 포함 라우터-스위치, 스위치-서버 업링크
    Untagged VLAN 태그 없음 PC, 프린터, 단일 장비 연결 포트
    PVID 태그 없는 프레임의 기본 VLAN 액세스 포트 기본 소속 설정
    Trunk 여러 VLAN을 한 링크로 전달 업링크 포트

    실제로 써보니까, 홈랩 VLAN 설정에서 가장 많이 꼬이는 부분이 바로 여기였습니다. 스위치에서는 태그드로 보냈는데 라우터는 언태그드만 받고 있다거나, PVID가 엉뚱하게 남아 있다거나요. 증상은 인터넷 안 됨 하나로 보이는데 원인은 꽤 다양합니다.

    실전 설계: 먼저 VLAN 번호부터 정리해보겠습니다

    제가 홈랩에서 자주 쓰는 방식은 아래처럼 역할별로 VLAN을 나누는 겁니다. 꼭 이 숫자를 따라야 하는 건 아니지만, 일단 규칙을 정해두면 나중에 훨씬 덜 헷갈립니다.

    1. VLAN 10: 관리망 (스위치, 라우터, 하이퍼바이저 관리)
    2. VLAN 20: 서버망 (NAS, VM, 컨테이너 호스트)
    3. VLAN 30: IoT망 (카메라, 센서, 스마트 기기)
    4. VLAN 40: 게스트망 (외부 사용자용 Wi-Fi)

    예시 주소 체계도 같이 정해두면 좋습니다.

    vlans:
      10:
        name: mgmt
        subnet: 192.168.10.0/24
        gateway: 192.168.10.1
      20:
        name: servers
        subnet: 192.168.20.0/24
        gateway: 192.168.20.1
      30:
        name: iot
        subnet: 192.168.30.0/24
        gateway: 192.168.30.1
      40:
        name: guest
        subnet: 192.168.40.0/24
        gateway: 192.168.40.1

    이렇게 해두면 문서화도 쉽고, 방화벽(Firewall, 네트워크 접근 제어 장치) 규칙 만들 때도 편합니다.

    관리형 스위치와 라우터 VLAN 연동, 단계별로 해보겠습니다

    여기서는 특정 제조사 화면이 아니라, 대부분의 관리형 스위치와 Linux 기반 라우터에서 공통으로 이해할 수 있는 흐름으로 설명드릴게요. 모델마다 메뉴 이름은 달라도 핵심은 같습니다.

    1. 라우터 쪽에 VLAN 인터페이스 만들기

    라우터의 물리 인터페이스가 <code>eth0라고 가정해보겠습니다. 802.1Q(이더넷 VLAN 태깅 표준) 기반 서브인터페이스를 생성합니다.

    ip link add link eth0 name eth0.10 type vlan id 10
    ip link add link eth0 name eth0.20 type vlan id 20
    ip link add link eth0 name eth0.30 type vlan id 30
    ip link add link eth0 name eth0.40 type vlan id 40
    
    ip addr add 192.168.10.1/24 dev eth0.10
    ip addr add 192.168.20.1/24 dev eth0.20
    ip addr add 192.168.30.1/24 dev eth0.30
    ip addr add 192.168.40.1/24 dev eth0.40
    
    ip link set eth0 up
    ip link set eth0.10 up
    ip link set eth0.20 up
    ip link set eth0.30 up
    ip link set eth0.40 up

    이 작업은 재부팅해도 유지되도록 배포판 설정 파일이나 라우터 UI에 반영해야 하더라고요. CLI로 테스트한 뒤 영구 설정으로 옮기는 방식이 여러 번 배웠던 삽질을 줄여줍니다.

    2. DHCP 범위도 VLAN별로 분리하기

    라우터가 DHCP 서버 역할도 한다면, 네트워크별로 주소 풀을 따로 나눠서 줘야 합니다.

    dhcp:
      - interface: eth0.10
        range: 192.168.10.100-192.168.10.199
      - interface: eth0.20
        range: 192.168.20.100-192.168.20.199
      - interface: eth0.30
        range: 192.168.30.100-192.168.30.199
      - interface: eth0.40
        range: 192.168.40.100-192.168.40.199

    저는 예전에 이걸 빼먹어서, VLAN은 잘 나뉘었는데 IP가 안 붙는 바람에 한참 헤맸습니다. 핑도 안 되고, 장비는 링크 업인데 네트워크는 죽어 있고… 이런 경우 DHCP부터 보시면 됩니다.

    홈랩 VLAN 설정에서 관리형 스위치 포트 구성을 설명하는 이미지

    라우터-스위치 업링크는 트렁크, 단말 포트는 액세스 형태로 나뉘는 구성을 보여주는 예시입니다.

    3. 관리형 스위치 포트 역할 정하기

    예를 들어 포트 1번은 라우터와 연결, 포트 2번은 하이퍼바이저, 포트 3번은 NAS, 포트 4번은 IoT AP, 포트 5번은 관리용 PC라고 가정해보겠습니다.

    포트 연결 대상 설정 비고
    1 라우터 VLAN 10/20/30/40 Tagged 트렁크
    2 하이퍼바이저 VLAN 10/20 Tagged VM별 VLAN 사용
    3 NAS VLAN 20 Untagged, PVID 20 서버망 전용
    4 무선 AP VLAN 30/40 Tagged, VLAN 10 Untagged 또는 Tagged SSID 분리
    5 관리 PC VLAN 10 Untagged, PVID 10 관리망 접속

    여기서 중요한 포인트! 스위치 관리 IP를 어느 VLAN에 둘지 먼저 정하셔야 합니다. 저는 보통 관리망 VLAN 10에 둡니다. 나중에 장비 찾기가 훨씬 쉽거든요.

    4. 스위치에 VLAN 멤버십 적용하기

    제조사마다 화면은 다르지만 보통 이런 순서로 진행합니다.

    1. VLAN 10, 20, 30, 40 생성
    2. 포트 1을 각 VLAN의 Tagged 멤버로 추가
    3. 포트 3은 VLAN 20의 Untagged 멤버로 설정하고 PVID 20 지정
    4. 포트 5는 VLAN 10의 Untagged 멤버로 설정하고 PVID 10 지정
    5. AP 연결 포트는 SSID 설계에 맞춰 Tagged VLAN 추가

    혹시 메인 SSID는 직원망, 게스트 SSID는 손님망처럼 나누고 싶다면 여기서 라우터 VLAN과 무선 SSID 매핑까지 함께 설계하면 됩니다.

    5. VLAN 간 접근 정책 만들기

    VLAN을 나누는 것만으로는 부족합니다. 라우터에서 어디까지 통신을 허용할지 정해야 진짜 보안 강화가 됩니다. 저는 보통 이렇게 시작합니다.

    # 예시 개념
    # guest(40) -> internet only
    # iot(30) -> internet allowed, mgmt(10) blocked
    # servers(20) -> mgmt(10) from admin PC only
    
    iptables -A FORWARD -s 192.168.40.0/24 -d 192.168.10.0/24 -j DROP
    iptables -A FORWARD -s 192.168.40.0/24 -d 192.168.20.0/24 -j DROP
    iptables -A FORWARD -s 192.168.30.0/24 -d 192.168.10.0/24 -j DROP
    iptables -A FORWARD -s 192.168.10.50 -d 192.168.20.0/24 -j ACCEPT

    물론 실제 환경에서는 기본 정책, 상태 기반(Stateful) 허용, DNS/NTP 예외도 같이 보셔야 합니다. 다만 처음에는 차단 먼저, 필요한 것만 허용 이 원칙으로 가는 게 훨씬 안전합니다.

    ⚠️ 제가 직접 겪은 트러블슈팅 포인트

    홈랩 VLAN 설정에서 많이 겪는 문제를 정리해보겠습니다. 이건 진짜 현장에서, 아니 제 방 서버실에서 삽질하면서 얻은 체크리스트입니다.

    • 인터넷은 되는데 내부 장비가 안 보임: 방화벽 규칙이 너무 강하거나, 반대로 라우팅은 됐는데 DNS가 VLAN별로 안 열려 있을 수 있습니다.
    • 아예 IP를 못 받음: DHCP가 해당 VLAN 인터페이스에 바인딩되지 않았거나, 스위치 포트 PVID가 틀렸을 가능성이 큽니다.
    • 스위치 관리 페이지 접속 불가: 스위치 관리 IP가 속한 VLAN과 접속 포트 VLAN이 안 맞는 경우가 많습니다. 이거 한 번 꼬이면 공장 초기화 유혹이 엄청 강해집니다.
    • 하이퍼바이저 VM만 통신 안 됨: 가상 스위치(vSwitch)나 브리지에서 VLAN 태깅을 따로 켜야 하는 경우가 있습니다.
    • 무선 AP의 게스트 SSID 분리가 안 됨: AP 업링크 포트가 트렁크가 아니거나, SSID별 VLAN ID 매핑이 다를 수 있습니다.

    저도 처음엔 라우터 문제인 줄 알고 라우터만 계속 봤었는데, 알고 보니 스위치 포트 하나가 Untagged로 남아 있더라고요. 이런 건 진짜 허무합니다. 그래서 저는 이제 변경할 때마다 포트별 역할을 메모해둡니다.

    빠르게 확인하는 점검 명령어

    ip -d link show
    ip addr show
    ip route show
    ping 192.168.10.1
    ping 192.168.20.1
    arp -n

    ip -d link show는 VLAN 서브인터페이스가 제대로 올라왔는지 볼 때 꽤 유용합니다. 태그 ID까지 보여서 실수 잡기 좋습니다.

    홈랩 VLAN 설정 검증을 위한 라우터 VLAN 상태 점검 이미지

    라우터에서 VLAN 서브인터페이스와 접근 제어 정책을 점검하는 장면을 표현한 이미지입니다.

    검증: 네트워크 분리와 통신 결과는 어떻게 확인할까요

    구성이 끝나면 아래 순서로 검증해보시면 됩니다. 이 과정을 건너뛰면 나중에 어디가 잘못됐는지 찾기가 더 어려워집니다.

    1. 관리 PC를 VLAN 10 포트에 연결하고 스위치/라우터 관리 페이지 접속 확인
    2. 서버 장비가 VLAN 20 주소를 정상적으로 받는지 확인
    3. IoT 장비가 VLAN 30 대역에서 인터넷만 되는지 확인
    4. 게스트망 장비가 내부 NAS나 관리 페이지에 접근되지 않는지 확인
    5. 필요한 예외 통신만 허용되는지 로그로 점검

    예를 들어, 게스트망에서 아래 테스트를 해보는 식입니다.

    ping 192.168.10.1
    ping 192.168.20.10
    ping 8.8.8.8
    nslookup example.com

    정상이라면 관리망/서버망 핑은 막히고, 외부 인터넷과 DNS는 동작해야겠죠. 이런 식으로 시나리오 기반으로 확인해보면 설정이 눈에 잘 들어옵니다. 🎉

    정리 표: 어떤 식으로 나누면 운영이 편한가요

    VLAN 용도 권장 정책 운영 팁
    10 관리망 관리자 PC만 접근 허용 장비 관리 IP 일관성 유지
    20 서버망 필요 포트만 외부/내부 허용 서비스별 방화벽 로그 확인
    30 IoT망 인터넷 허용, 내부망 최소화 제조사 클라우드 의존성 주의
    40 게스트망 인터넷 전용, 내부 접근 차단 DNS/NTP만 예외 허용 검토
    홈랩 VLAN 설정 결과와 네트워크 분리 상태를 요약한 이미지

    각 VLAN 간 허용/차단 관계와 인터넷 접근 여부를 한눈에 보여주는 요약 이미지입니다.

    자주 묻는 질문

    Q1. VLAN 하나만 써도 되는데 굳이 나눠야 하나요?

    장비가 3~4대 수준이면 당장은 괜찮을 수 있습니다. 근데 홈랩은 보통 점점 커지거든요. NAS 붙고, 미니 PC 붙고, AP 붙고, 카메라 들어오면 그때부터 한 네트워크에 다 섞여 있는 게 더 불편해집니다.

    Q2. 관리형 스위치가 꼭 필요한가요?

    홈랩 VLAN 설정을 제대로 하려면 사실상 필요합니다. 비관리형 스위치는 VLAN 태그 처리나 포트별 정책이 안 되니까, 라우터 VLAN만으로는 한계가 있습니다.

    Q3. 라우터 한 대로도 가능한가요?

    가능합니다. 라우터가 802.1Q VLAN 인터페이스와 방화벽 정책을 지원하면 됩니다. 다만 포트 수나 무선 SSID 분리까지 생각하면 관리형 스위치와 AP까지 같이 보는 편이 현실적입니다.

    마무리: 홈랩 VLAN 설정은 귀찮지만, 한 번 해두면 오래 갑니다

    처음엔 이게 뭔가 싶었는데, 막상 구성해두면 체감 차이가 큽니다. 관리망은 깔끔해지고, 서버는 좀 더 안전해지고, IoT 장비 때문에 찝찝한 마음도 줄어들거든요. 제가 직접 해보니 핵심은 딱 세 가지였습니다. VLAN 번호 규칙 통일, 스위치 포트 역할 문서화, 라우터 방화벽 정책 분리입니다.

    혹시 지금 홈랩이 점점 복잡해지고 있다면, 이번 기회에 VLAN 구성부터 정리해보셔도 좋겠습니다. 다음 글에서는 VLAN 위에 얹는 Inter-VLAN Routing(인터 VLAN 라우팅) 정책과 홈랩 방화벽 룰 설계 팁도 다뤄볼 예정입니다. 이전 글에서 다뤘던 백업 네트워크 분리 구성과도 연결되는 내용이라 같이 보시면 이해가 더 잘 되실 거예요. 💡

    구축 후 점검해야 할 체크리스트와 다음 확장 단계 아이디어를 담은 마무리 이미지입니다.