IEEE 802.1Q Virtual VLAN (VLAN 태깅)라이

.

IEEE802.1 표준화(K802.1 WG)

1. 개요

IEEE 802.1은 High-Level Link Layer Interconnection (HILI)라고 부르며, MAC 상위계층 프로토콜들에 대한 표준화를 진행한다. 이 WG에서 다루는 분야와 표준문서 및 표준안들은 다음과 같다.

[Archived Standards]
802.1D(2004) - MAC bridges
802.1G - Remote MAC bridging
802.1Q - Virtual LANs
802.1p - Traffic Class Expediting and Dynamic Multicast Filtering
802.1t - 802.1D Maintenance
802.1u - 802.1Q Maintenance
802.1v - VLAN Classification by Protocol and Port
802.1w - Rapid Reconfiguration of Spanning Tree
802.1s - Multiple Spanning Trees
802.1x - Port Based Network Access Control
[Archiving Standards]
[Interworking]
802.1Q-REV - 802.1Q Revision
802.1AB - Station and Media Access Control Connectivity Discovery
802.1AC - Media Access Control Service revision
802.1ad - Provider Bridges (2006.05완료예정)
802.1ag - Connectivity Fault Management(CFM) (2007.07완료예정)
802.1ah - Provider Backbone Bridge (new PAR, 2007.09완료예정)
802.1aj - Two port MAC relay (new PAR, 2007.09완료예정)
802.1ak - MRP (new PAR, 2007.09완료예정)
[Link Security]
802.1aa - 802.1X Revision (early drafts)
802.1x-rev - 802.1x Revison (later drafts)
802.1ae - MAC Security (2006.05완료예정)
802.1af - Key Agreement(KeySec) (2006.12완료예정)
[PARs]
802.1Q-REV - 802.1Q Revision

이 표준안 중 2004년 최종보고서에서는 현재 표준화가 진행 중인 802.1AB - Station and Media Access Control Connectivity Discovery와 802.1ad - Provider Bridges에 대해 분석한다. 참고로, 웹 주소는 http://www.ieee802.org/1이며, username = p802.1, password=go_wildcats이다. 그리고, 의장은 Tony Jeffree이며, Paul, Mick, Allyn Nomm 등이 활동하고 있다.

2. 핵심기술

가. IEEE 802.1Q Virtual LAN

IEEE802.1Q는 1998년에 표준이 완료된 이후, 현재도 계속 개정이 진행중이다. 스위치나 브리지로 연결된 망에서는 ARP, RIP 같은 모든 브로드캐스트 프레임들은 이러한 L2 장비들을 통과하여, 불 필요한 곳에도 전달되어 망의 대역을 낭비할 수 있으며, 보안상 문제도 있다. 이러한 브로드캐스트 패킷들의 전달영역을 MAC 계층에서 제한하고, VLAN 그룹간 프레임 전달을 제한하는 기능들이 802.1D 브리지에 추가된 VLAN용 브리지로 구성된 망이 바로Virtual LAN (vLAN)이다. 즉, 이러한 VLAN의 개념은 <그림>과 같이 특정 VLAN에 속한 단말이나 장치들간에만 프레임이 전달되도록 하는 것이다. 이를 위하여, 각 프레임은 VLAN-ID가 수납된 VLAN Tag라고 불리우는 4바이트의 영역을 가진다.
VLAN은 단말들이 어떤 스위치에 접속되어 있던지 간에 이들을 여러 개의 논리적인 그룹으로 구분하고, 동일한 VLAN 그룹에 속하는 단말들간에만 프레임들이 전달되도록 한다.
그렇다면, VLAN 기능이 있는 스위치는 어떤 단말이 어떤 VLAN 그룹에 속하는 멤버인지 먼저 알아야 한다. 더욱이, 한 단말에 여러 개의 응용프로그램들이 동시에 수행 중이고, 이들이 각각다른 VLAN 그룹에 속한다면, VLAN 스위치는 이 단말이 송신하는 프레임단위로 VLAN 그룹을 구분할 수 있어야 한다.

<그림 4.5> VLAN의 기본 개념

이를 위하여, 스위치간 프레임의 전달시, VID 정보도 함께 전달하는 방법 중에 하나로, 태깅 방법이가장 많이 사용되는데, 각 스위치 제조회사별로 사용되던 상이한 태깅방식(Cisco ISL , Bay: Lattis span, 3Com: VLT 등)을 표준으로 만든 것이 IEEE802.1Q이다.
IEEE802.1Q에서, VLAN ID를 이더넷 프레임에 덧붙이는 태깅방식을 사용하는 이유는 다음과 같다.

VID 정보를 프레임에 실어 전달할 수 있다.
MAC 주소형식정보(Canonical Form)를 전달한다.
MAC 계층에서의 priority 정보를 전달한다.

여기서, IEEE802.1Q는 위의 첫 두 가지 용도에 대한 표준이며, 우선순위 정보는 VLAN과 별개인 802.1P (802.1D에 포함됨) 규정에 속한다.
VLAN 스위치는 단말로부터 전달된 이더넷 프레임에 대하여, SA 영역 다음에 VLAN 태그가 새로 추가되었음을 알리는 새로운 ethertype = 0x8100을 추가하고, 이어서, 2바이트의 VLAN ID 영역을 추가하여, 이곳에VID값을 기록하여 다른 VLAN스위치로 이 프레임을 중계한다.

<그림 4.6> VLAN스위치의 VLAN Tag 부착 과정

새로이 추가 부착되는 4바이트의 VLAN 태그형식은 다음과 같다

<그림 4.7> VLAN태그의 형식

새로 부착된 0x8100 값의 ethertype을 Tag Protocol Identifier (TPID)라고 부르며, 다음에 2바이트의 VLAN 태그가 있음을 표시한다.
그리고 2바이트의 VLAN 태그는 Tag Control Information (TCI) 영역이라고 부르며, 다음과 같이 구성되어 있다.
Priority : 3비트의 값으로서, 이 MAC 프레임의 우선순위를 0~7까지 나타낸다. 7이 가장 높은 우선순위 값이다. 사실, 이 priority 값은 VLAN과는 의미가 없는 802.1p규정이다.
Canonical Format Indicator (CFI) : Canonical format이란 한 바이트 내에서의 비트순서(즉, big-endian이냐 little-endian이냐)를 표시한다. 이더넷에서는 canonical order(즉 little endian) 방식을 사용하고, token ring에서는 non-canonical 순서를 사용한다. 이러한 비트순서는 ARP와 같은 상위 프로토콜의 데이터 영역에 target 하드웨어 주소 등의 MAC 주소가 포함되는데 (embedded MAC 주소라고 부른다), 이러한 프로토콜이 이더넷과 토큰 링을 경유하게 되면, 순서가 어긋나서 상위 계층에서의 오류가 발생한다. 이러한 오류를 예방하기 위하여, CFI는 embedded MAC 주소의 bit 순서가 big-endian인지 little-endian인지를 표시한다. 사실, CFI는 의미가 틀리게 사용되는데, CFI가 항상 embedded MAC 주소의 비트순서가 big-endian인지 little-endian인지를 표시하지는 않는다. 더욱이, 일반적인 생각과 달리 CFI=0값이 canonical format이고, CFI = 1이 non-canonical format이다. 이더넷의 경우 CIF=0이다.
VID 값 : 12비트의 VLAN ID로서, 총 4096개 중에서 0과 0xFFF는 제외되어, 총 4094개의 VLAN을 명시적으로 식별하는데 사용된다.
VID = 0 : VLAN 태그에 3비트의 priority 정보만 전달하고자 할 때 VID 값은 0으로 코딩된다. 이때의 VLAN 태그는 802.1p 전용 priority 태그용으로 사용된다. 이러한 VID = 0인 패킷을 수신하여, 다른 포트로중계하는 VLAN스위치는 이 패킷의 중계시, 수신된 VID = 0 값에 대하여, 아예 이 VLAN 태그를 제거하거나, 수신시 결정되는 ingress rule에 의해 할당된 새로운 VID ? 0을 부착시켜 전송한다. 따라서, VLAN을 지원하는 VLAN스위치의 경우, VID = 0인 패킷은 항상 단말에서만 송신되고, VLAN 스위치에서는 송신되지 않음을 알 수 있다.
VID = 1 : Default Port VID(default PVID)로서, 수신된 포트에 대한 VID가 설정되어 있지 않은 경우, ingress rule에 의해 할당되는 기본적인 VID 값이다. 따라서, VID가 설정되지 않는 포트들은 모두 동일한 VID = 1를 가지는 동일한 그룹에 속하는 멤버들이다. 대부분의 상용화된 스위치의 경우에도, 시스템 초기화시, 모든 포트들의 PVID 값은 1로 설정된다. 물론, 이러한 default PVID값은 포트별로 다른 VID 값을 관리기능에 의해 변경 가능하다.
VID = 0xFFF = reserved

그리고, VLAN 브리지는 다음과 같은 세가지 종류의 프레임을 처리할 수 있어야 한다.

Untagged Frame
Priority-Tagged Frame
VLAN-Tagged Frame

Untagged Frame은 4바이트의 VLAN 태그가 없는 일반적인 프레임이고, Priority-Tagged Frame 은 VLAN 태그가 있기는 하지만, VID=0인 프레임으로서, VID 값을 프레임에 명시적으로 표시하지 않은 것이다. 이러한 프레임들은 포트기반의 경우, 수신된 포트에 할당된 PVID 값으로 VLAN 그룹을 구분하거나, 802.1Q 표준에는 없지만 다른 방법 (즉, MAC 주소기반, layer 3 protocol ID 등)을 사용하여 VID를 할당할 수 있다.
반면에, VLAN-Tagged Frame은 명시적인 VLAN 식별자가 있는 것으로서, 이 식별자는 VLAN브리지가 부착하거나, VLAN 기능이 있는 단말이 부착한다.

그리고, VLAN그룹 등록 프로토일인 GARP VLAN Registration Protocol (GVRP)는 VLAN 멤버쉽 등록용 프로토콜로서, GARP의 한 응용이다. 원래, GARP (그룹 Address Registration Protocol)는 802.1p에서 멀티캐스팅 서비스의 지원을 위해 만든 것 이었다.

<그림 4.8> GARP, GVRP, GMRP의 관계

즉, 멀티캐스트를 위하여, 멀티캐스트 그룹에 속하고자 하는 단말이나 스위치들이 자신의 멤버쉽 정보를 등록하고 해제하는 기능이 구현되고 있었다. 그런데 VLAN에서도 VID에 따른 VLAN 멤버쉽을 등록하고 해제하는 기능이 필요하게 되어, 802.1p가 표준화하고 있던 GARP가 필요하게 되었다. 결국, 원래의 GARP의 이름을 Generic Attribute Registration Protocol로 바꾸어, 원래의 GARP는 GARP Multicast Registration Protocol(GMRP) with Priority Operation로 만들어, 802.1d 표준에 흡수시키고, VLAN용 GARP는GARP VLAN registration Protocol(GVRP)로 이름이 붙여져 802.1Q 표준에 포함되게 되었다. 따라서, 수신부는 GMRP, GVRP 등을 구분하기 위해서는 다음과 같은 기능을 수행하는 parser가 프레임의 수신부에 있어야 한다. 이러한 GVRP는 VLAN 기능이 있는 스위치나 단말이 자신의 멤버쉽 정보를 다른 스위치나 단말에게 알리는데 사용되는 프토토콜로서, 이것을 수신한 스위치는 다른 스위치에게도 이 프레임을 전달한다. GVRP에 있는 VID 값은 이것을 수신하는 측에게 "너의 출력포트에 이러한 VID를 가진 멤버가 있다"라는 것을 등록하는 것이다.
예를 들어, 스위치 1에 연결된 단말이 GVRP(VID = 1)인 등록요청을 보내왔다면, 스위치 1은 자신의 포트 1의 출력부에 VID = 1멤버가 있으니, 이쪽으로 향하는 패킷이 다른 스위치나 다른 포트로부터 수신되면, 이단말에게 전달하도록 한다. 또한, 이 요청은 스패닝 트리에 있는 이웃 스위치에게도 전달된다. 이 요청을 받은 스위치는 이것이 수신된 포트2의 출력부를VID = 1로 설정하여, 자신의 다운스트림에 VID=1인 멤버가 있음을 등록한다.
따라서, 이러한 GVRP를 사용하여, VLAN 멤버쉽을 등록하는 과정은 멀티캐스트그룹을 등록할 때 사용하는 GMRP의 동작과 유사하다. 하지만, GMRP의 애트리뷰트 값으로는 멀티캐스트용 MAC주소가 사용되었지만, GVRP의 경우 12 비트의 VID 값이 사용되는 점이 다르다. 이러한 GVRP는 VLAN 기능이 있는 스위치 뿐만 아니라, VLAN기능이 있는 단말도 자신의 VLAN 멤버쉽을 알릴 때 사용한다.

<그림 4.9> GVRP의 활용 예

이 GVRP를 수신한 브리지는 자신의 FDB의 Dynamic VLAN Registration Entry에 수신포트측에 해당 VID가 있는 것으로 등록한다.

<그림 4.10> GVRP 프레임 형식