10장. 802.1Q VLAN 태깅 구성

VLAN over bonds의 경우 VLAN 인터페이스를 열기 전에 본딩에 포트와 포트가 있어야 합니다. “” 포트 없이 본딩에 VLAN 인터페이스를 추가할 수 없습니다.

VLAN 가상 장치는 상위 MAC 주소와 일치하도록 MAC 주소를 변경할 수 없기 때문에 fail_over_mac=follow 옵션을 사용하여 VLAN 포트를 구성할 수 없습니다. 이러한 경우 트래픽이 현재 잘못된 소스 MAC 주소와 함께 전송됩니다.

네트워크 스위치를 통해 VLAN 태그가 지정된 패킷을 전송하려면 스위치를 올바르게 구성해야 합니다. 예를 들어 Cisco 스위치의 포트는 하나의 VLAN에 할당하거나 여러 VLAN에서 태그가 지정된 패킷을 허용하도록 트렁크 포트로 구성해야 합니다. 일부 벤더 스위치에서는 기본 VLAN 의 태그되지 않은 프레임을 트렁크 포트에서 처리할 수 있습니다. 일부 장치를 사용하면 기본 VLAN 을 활성화하거나 비활성화할 수 있으며, 다른 장치에는 기본적으로 비활성화되어 있습니다. 이러한 차이로 인해 두 스위치 간에 기본 VLAN 의 구성이 잘못되어 보안 위험이 발생할 수 있습니다. 예를 들어 다음과 같습니다.

한 스위치는 기본 VLAN 1 을 사용하고 다른 스위치는 기본 VLAN 10 을 사용합니다. 프레임을 삽입하지 않고 전달할 수 있는 경우 공격자가 VLAN을 건너뛸 수 있습니다. 이 일반적인 네트워크 도입 기법을 VLAN 홉핑이라고도 합니다.

보안 위험을 최소화하려면 다음과 같이 인터페이스를 구성합니다.

일부 오래된 네트워크 인터페이스 카드, 루프백 인터페이스, Wimax 카드 및 일부 InfiniBand 장치는 VLAN 챌린지로 알려져 있으므로 VLAN을 지원할 수 없습니다. 이는 일반적으로 장치가 VLAN 헤더와 태그된 패킷과 연결된 더 큰 MTU 크기를 처리할 수 없기 때문입니다.