JD Securtiry Expert

VLAN

오늘은 VLAN을 실제로 설정해 보는 실습을 진행하도록 하겠습니다.

글에 앞서 VLAN에 대해서 아직 잘 모르시겠다면 아래 글을 읽고 와주세요!

https://jdcyber.tistory.com/53

오늘 실습에 이용해 볼 소프트웨어는 패킷트레이서(Packet tracer)입니다.

패킷 트레이서(Packet Tracer)는 Cisco에서 개발한 네트워크 시뮬레이션 도구로,

네트워크 설계, 구성, 테스트 등을 가상 환경에서 실습할 수 있게 해주는 프로그램입니다.

이 도구에 대해 모르신다면 아래 글을 참조해 주세요!

(작성 중)

오늘 실습의 목적은 VLAN 생성 및 관리의 기본을 배우고,

네트워크의 논리적 분리를 이해하며, 보안과 관리 효율성을 향상시키는 방법을 학습하기 위함입니다.

VLAN 생성하기

1. VLAN 생성 명령어 입력:
   • #conf t 명령어로 글로벌 구성 모드에 진입합니다.
   • (config)#vlan 11 명령어로 VLAN 11을 생성합니다.
   • (config-vlan)#name VLAN_A 명령어로 생성된 VLAN에 이름을 지정합니다.
   • 동일한 방식으로 VLAN 12와 VLAN 13을 생성하고 각각 VLAN_B, VLAN_C라는 이름을 부여합니다.
2. 생성된 VLAN 확인:
   • #show vlan brief 명령어를 통해 현재 스위치에 구성된 VLAN 목록과 상태를 확인할 수 있습니다. 이때, VLAN 11, 12, 13이 성공적으로 생성되었는지 확인합니다.

VLAN Access 설정하기

VLAN을 생성한 후, 각 VLAN에 특정 포트를 할당하여 네트워크 장비들이 해당 VLAN에 속하도록 설정할 수 있습니다.

1. VLAN Access 포트 설정 명령어 입력:
   • #conf t 명령어로 다시 글로벌 구성 모드에 진입합니다.
   • (config)#int fa0/1 명령어로 인터페이스 FastEthernet 0/1을 선택합니다.
   • (config-if)#switchport mode access 명령어로 이 포트를 액세스 모드로 설정합니다.
   • (config-if)#switchport access vlan 11 명령어로 이 포트를 VLAN 11에 할당합니다.
   • 동일한 방식으로 fa0/2 포트를 VLAN 12에 할당합니다.
2. 설정 확인:
   • #show run 명령어를 사용하여 현재 구성을 확인합니다.
   • #show vlan brief 명령어로 각 VLAN에 할당된 포트들을 확인합니다.

명령어 모음

실습을 진행함에 있어 아래와 같은 실수를 많이 하셔서 남겨둡니다.

• VLAN 설정이 반영되지 않는 경우:
  • 해결 방법: show vlan brief 명령어를 사용하여 현재 VLAN 설정을 확인합니다. 설정이 올바르게 반영되지 않았다면, 설정 과정을 다시 한번 점검하고, 오타나 누락된 부분이 없는지 확인합니다.
• 특정 포트에서 트래픽이 통과하지 않는 경우:
  • 해결 방법: 포트가 올바른 VLAN에 할당되었는지, 그리고 해당 포트의 switchport mode access 설정이 올바르게 적용되었는지 확인합니다. 또한, 해당 포트의 상태가 활성화되어 있는지 show interface [interface-id] 명령어를 통해 확인합니다.
• VLAN 간 통신 문제:
  • 해결 방법: VLAN 간 통신이 필요한 경우, Layer 3 장비를 통한 라우팅 설정이 필요합니다. 이는 VLAN 설정과는 별도의 고급 설정이며, 관련 지식이 필요합니다. 기본적으로 VLAN은 네트워크를 논리적으로 분리하기 때문에, VLAN 간 통신을 위해서는 추가적인 설정이 요구됩니다.

VLAN 생성과 포트 할당 과정을 통해,

각각의 VLAN에 특정 포트를 할당함으로써 네트워크의 논리적 분리를 실습해 보았습니다.

패킷 트레이서 같은 시뮬레이션 도구를 이용하면,

네트워크 구성과 관리 기술을 손쉽게 배우고 실습해 볼 수 있습니다.

가상의 공간에서 네트워크를 만들어내는 기술입니다.

이름에서 알 수 있듯이, '가상'의 '지역 네트워크'를 만들 수 있는데요,

이 기술 덕분에 물리적인 위치에 구애받지 않고 네트워크를 자유롭게 구성할 수 있습니다.

만약 집에 스위치가 두 개 있고 각 스위치에 10개의 포트가 있고

이 포트에는 총 10대의 컴퓨터가 연결되어 있다고 가정합시다.

일반적인 상황에서는 이 10대의 컴퓨터 모두가 하나의 큰 네트워크를 형성하겠지만,

VLAN 기술을 사용하면 이야기가 달라집니다.

VLAN은 마법처럼 이 10대의 컴퓨터를 필요에 따라 작은 그룹으로 나누어

각기 독립적인 네트워크를 만들 수 있게 해줍니다.

예를 들어, 2대의 컴퓨터는 가족용 네트워크를,

3대는 작업용 네트워크를,

4대는 게임용 네트워크를,

그리고 마지막 1대는 개인용 네트워크를 구성할 수 있습니다.

이렇게 VLAN을 통해 각각의 네트워크는 서로 독립적으로 운영되면서도,

물리적으로는 같은 공간에 위치한 하드웨어를 공유할 수 있습니다.

조금 더 쉬운 예로 한번 더 설명해볼까요?

당신의 집에는 여러 방이 있고 각 방에는 다양한 목적의 물건들이 있습니다.

하지만 모든 물건들이 하나의 큰 방에 모여 있다면 찾기도 어렵고 관리하기도 힘들겠죠?

VLAN은 마치 이러한 문제를 해결하기 위해 각각의 물건들을

특정 방(즉, 독립된 네트워크)에 배치하는 것과 같습니다.

이를 통해 물건들을 더 쉽게 찾고 관리할 수 있게 해줍니다.

VLAN이 필요한 이유

컴퓨터 네트워크의 발전 과정을 살펴보면,

초기에는 모든 컴퓨터와 장비들이 한 덩어리로 연결되어 있었습니다.

이러한 방식은 관리가 쉽고 설치 비용이 낮다는 장점이 있었지만,

보안 문제, 데이터 처리의 비효율성 등 여러 문제점을 내포하고 있었습니다.

이를 해결하기 위해, VLAN이라는 개념이 도입되었습니다.

VLAN은 기본적으로 스위치 같은 네트워크 장비를 통해 구현됩니다.

네트워크 관리자는 스위치의 각 포트를 특정 VLAN에 할당합니다.

이렇게 함으로써, 해당 포트를 통해 통신하는 모든 데이터는 지정된 VLAN 내에서만 이동하게 됩니다.

마치, 여러 개의 소규모 네트워크가 하나의 큰 네트워크 장비 안에서 독립적으로 운영되는 것처럼 말이죠.

적용 사례

• 기업 환경: 부서별로 독립된 네트워크를 구성하여 데이터 보안을 강화하고 네트워크 트래픽을 최적화합니다.
• 학교: 학생, 교직원, 관리자 네트워크를 분리하여 보안과 네트워크 관리 효율성을 높입니다.
• 공공 장소: Wi-Fi 서비스 제공 시, 공용 네트워크와 내부 관리 네트워크를 분리하여 공용 네트워크의 안전을 보장합니다.

VLAN은 네트워크 설계와 관리에 혁명을 일으킨 기술로, 보안, 성능, 관리 효율성 측면에서 막대한 이점을 제공합니다. 복잡해 보일 수 있는 VLAN의 개념과 운용 방법을 이해하고 적절히 적용한다면, 네트워크 인프라의 유연성과 효율성을 대폭 향상시킬 수 있습니다.

다음 글에서는 패킷 트레이서를 이용하여 VLAN을 직접 설정해보도록 하겠습니다.

https://jdcyber.tistory.com/54

ACL (Access Control List) 정의 및 개념

ACL (Access Control List) 은 네트워크 보안의 핵심 구성 요소로,

네트워크 장비에서 데이터 패킷의 흐름을 제어하는 데 사용되는 일련의 지침입니다.

이 규칙들은 특정 조건에 따라 네트워크 트래픽을 허용하거나 차단합니다.

ACL은 주로 라우터와 스위치와 같은 네트워크 장비에 구성되며,

네트워크 보안을 강화하고 데이터 흐름을 관리하는 데 중요한 역할을 합니다.

ACL 구성 시 고려해야 할 사항
네트워크 요구 사항 파악: ACL을 구성하기 전에, 네트워크의 요구 사항과 목적을 명확히 이해해야 합니다.
어떤 트래픽을 차단하거나 허용해야 하는지, 그리고 그 이유에 대해 정확히 알고 있어야 합니다.

최소 권한 원칙: 네트워크 보안에서 항상 최소 권한 원칙을 따르는 것이 중요합니다.
즉, 필요한 최소한의 트래픽만 허용하고, 나머지는 기본적으로 차단하는 방식으로 ACL을 구성합니다.

ACL 순서의 중요성: ACL 규칙은 순차적으로 처리되므로, 규칙의 순서가 매우 중요합니다.
더 구체적인 규칙을 먼저 배치하고, 더 일반적인 규칙을 나중에 배치해야 합니다.

테스트 및 검증: ACL을 적용하기 전에는 반드시 테스트를 거쳐야 합니다.
잘못 구성된 ACL은 네트워크 성능에 부정적인 영향을 미칠 수 있으며, 심지어 중요한 네트워크 트래픽을 차단할 수도 있습니다.

문서화 및 관리: 구성된 ACL은 문서화하여 관리하는 것이 좋습니다.
이는 나중에 네트워크 변경이나 문제 해결 시 유용하게 사용될 수 있습니다.

ACL (Access Control List) 설정 예제

1. 표준 ACL 구성:
   • access-list 1 deny ip 192.168.1.100 : IP 주소가 192.168.1.100인 호스트의 모든 트래픽을 차단합니다.
   • access-list 1 permit any : 위 조건을 제외한 모든 트래픽을 허용합니다.
2. 라우터 인터페이스에 ACL 적용:
   • interface GigabitEthernet0/1
   • ip access-group 1 out : GigabitEthernet0/1 인터페이스에서 나가는 트래픽에 대해 ACL 1을 적용합니다.

확장 ACL 구성 예제:

외부 네트워크에서 특정 서버로의 SSH 접근을 차단하고자 할 때 확장 ACL을 사용할 수 있습니다.

1. 확장 ACL 구성:
   • access-list 100 deny tcp any host 192.168.1.200 eq 22 : 모든 출발지에서 IP 주소가 192.168.1.200인 서버로의 TCP 포트 22(SSH) 접근을 차단합니다.
   • access-list 100 permit ip any any : 위 조건을 제외한 모든 트래픽을 허용합니다.
2. 라우터 인터페이스에 ACL 적용:
   • interface GigabitEthernet0/0
   • ip access-group 100 in : GigabitEthernet0/0 인터페이스로 들어오는 트래픽에 대해 ACL 100을 적용합니다.

ACL 구성과 관련된 일반적인 실수 및 해결 방법

1. 규칙 순서 실수:
실수: ACL 규칙은 순차적으로 처리되므로, 순서를 잘못 설정하면 트래픽이 의도하지 않은 방식으로 필터링될 수 있습니다.
해결 방법: 규칙을 추가하기 전에, 각 규칙이 어떻게 트래픽을 처리할지 철저히 계획하고, 더 구체적인 규칙을 먼저 배치합니다.

2. 너무 광범위한 차단 규칙 설정:
실수: 너무 광범위한 트래픽을 차단하는 규칙을 설정함으로써 필요한 트래픽까지 차단하는 경우가 있습니다.
해결 방법: 필요한 트래픽과 차단해야 할 트래픽을 명확히 구분하고, 트래픽을 차단하기 전에 그 영향을 면밀히 고려합니다.

3. 테스트와 모니터링의 부족:
실수: 새로운 ACL을 적용한 후 적절한 테스트와 모니터링을 하지 않아 예상치 못한 문제가 발생하는 경우가 있습니다.
해결 방법: ACL을 네트워크에 적용한 후, 즉시 테스트를 실시하고 정기적으로 네트워크 트래픽을 모니터링하여, 필요한 조정을 즉시 수행합니다.

4. 문서화 및 업데이트 미흡:
실수: 구성된 ACL의 문서화를 소홀히 하여 나중에 설정을 이해하거나 변경하기 어려운 경우가 있습니다.
해결 방법: 모든 ACL 설정을 문서화하고, 변경사항이 있을 때마다 이를 업데이트하여 관리합니다.

ACL은 네트워크의 보안과 데이터 흐름 관리에 매우 중요합니다.

올바르게 구성되고 적용된 ACL은 네트워크를 보호하고,

불필요한 트래픽으로 인한 네트워크 성능 저하를 방지하는 데 도움이 됩니다.

하지만, 잘못 구성된 ACL은 네트워크의 정상적인 운영을 방해할 수 있으므로,

신중한 계획과 테스트가 필요합니다.

아래는 이해를 돕기 위하여 실습 내용을 담았으니 참고 해주세요

https://jdcyber.tistory.com/16

ACL 트래픽 필터링 실습 #2

ACL 트래픽 필터링 실습 #3

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

구독 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!