포트 VLAN 설정: Tag / Untag / PVID 조합 정리

스위치 포트 하나에서 각 VLAN에 대해 가질 수 있는 상태는 Tagged(T), Untagged(U), 미포함(No Member) 세 가지이며, 여기에 포트 전체에 하나만 존재하는 PVID 값이 어떤 VLAN을 가리키느냐에 따라 실제 동작이 달라집니다. 실무에서 자주 만나는 조합 6가지를 정상 구성과 오류 구성으로 나누어 정리합니다.

요약 표

상세 설명

1. Untagged(U) + PVID = 같은 VLAN — 표준 액세스 포트

PC, 프린터처럼 태그를 모르는 단말을 연결할 때 사용합니다. 들어오는 무태그 프레임은 PVID 값에 따라 그 VLAN으로 분류되고, 그 VLAN 트래픽은 나갈 때도 무태그로 나가므로 단말과 정상적으로 통신합니다.

2. Tagged(여러 개) + Untagged(1개) + PVID = 그 Untagged VLAN — 네이티브 VLAN 트렁크

스위치 간 업링크, 여러 SSID를 쓰는 AP 연결 등에 사용됩니다. 여러 VLAN은 태그를 붙여 함께 전달하고, 관리용 VLAN 하나만 무태그로 보내며 PVID도 그 VLAN에 맞춥니다.

3. Tagged만 여러 개, Untagged VLAN 없음 — 순수 트렁크 포트

무태그 트래픽을 받을 계획이 없는 포트입니다. PVID 값은 필수 항목이라 남겨두긴 하지만(보통 기본 VLAN 1) 실제로는 쓰이지 않습니다. 다만 실수로 무태그 프레임이 들어오면 PVID가 가리키는 VLAN으로 분류되는데, 포트가 그 VLAN의 멤버라면 예상치 못한 트래픽이 섞일 수 있고, 멤버가 아니라면(인그레스 필터링 동작 시) 프레임이 폐기됩니다. 어느 쪽이든 의도한 동작이 아니므로, 가능하면 PVID를 실제로 쓰지 않는 격리용 VLAN으로 지정해 두는 것이 안전합니다.

4. Untagged(U)인데 PVID가 다른 VLAN — 비대칭 오류 구성

나가는 트래픽은 VLAN A로 무태그 처리되지만, 들어오는 무태그 프레임은 PVID가 가리키는 VLAN B로 분류됩니다. 단말이 보낸 트래픽과 받는 트래픽의 VLAN이 어긋나 통신이 깨지는 경우가 많아 피해야 할 설정입니다.

5. 미포함 VLAN을 PVID로 지정한 경우

포트가 속하지 않은 VLAN을 PVID로 설정하면, 들어오는 무태그 프레임이 그 VLAN으로 분류되지만 포트가 해당 VLAN 멤버가 아니라 프레임이 폐기됩니다. 사실상 통신 불가 상태이며, 대부분의 스위치는 애초에 이런 설정을 허용하지 않거나 경고를 표시합니다.

6. 특정 VLAN만 Tagged로 제한 — 보안 목적의 제한된 트렁크

특정 VLAN(예: VLAN 10, 20)만 태그로 통과시키고 나머지는 이 포트를 지나가지 못하게 막는 구성입니다. 무태그 트래픽을 기대하지 않으므로 PVID는 형식적으로만 존재합니다.

핵심 정리

• Untagged VLAN은 포트당 1개만 두는 것이 원칙이며, PVID와 일치시키는 것이 정상 구성입니다. 일부 스위치는 여러 VLAN에 Untagged 멤버십을 동시에 설정하는 것을 허용하지만, 이는 VLAN 간 트래픽 누수를 일으키는 오구성이므로 피해야 합니다.
• Tagged VLAN은 포트당 여러 개를 동시에 설정할 수 있으며, 트렁크/업링크처럼 다중 VLAN을 동시에 실어 나를 때 사용합니다.
• 무태그 프레임의 소속 VLAN을 결정하는 것은 오직 PVID이며, Untagged 멤버십은 "나갈 때 태그를 뗄지"만 결정합니다. 이 둘이 어긋나면(4, 5번 사례) 대부분 통신 오류로 이어지므로 실무에서는 1, 2, 3, 6번 유형을 표준 구성으로 사용합니다.