테크 랩

중소기업 네트워크 구축 – 07. Omada 백본 스위치: L2 VLAN과 트렁크 (SG3452X Standalone)

2026.07.02

OPNsense 편(01~06)에서 방화벽·라우터 쪽을 구성했습니다. 이제 그 아래에 붙는 L2 스위칭 인프라로 넘어옵니다. 이번 편은 백본 스위치 TP-Link Omada SG3452X(48포트 + 4×10G SFP+)를 Standalone 모드로 설정해, OPNsense가 만든 VLAN을 물리 포트로 분배하고 트렁크로 연결하는 과정을 다룹니다. OPNsense 2편(Interface/VLAN)의 스위치 짝에 해당합니다.

역할 분리: 누가 무엇을 하나

이 인프라는 L2와 L3의 역할을 명확히 나눕니다.

OPNsense (L3): VLAN 게이트웨이, 라우팅, DHCP, NAT, 방화벽
Omada 스위치 (L2): VLAN 태깅, 포트 멤버십, 트렁크, 물리 스위칭

OPNsense 2편에서 만든 VLAN(110 PRHQ ~ 910 MGHQ)은 “게이트웨이는 살아 있지만 아직 물리 포트로 안 나간” 상태였습니다. 그 VLAN들을 실제 랜선이 꽂히는 포트에 배정하고, 한 가닥 트렁크로 OPNsense와 연결하는 게 이 스위치의 일입니다.

이번 편 작업 순서:

Standalone vs Controller 모드 — 왜 백본은 Standalone인가
초기 접속과 관리 IP
포트 배정 설계
VLAN 생성 (802.1Q)
포트 멤버십(Tagged/Untagged)과 트렁크
PVID 설정
L3 관리 인터페이스 + 기본 경로
영구 저장과 VLAN 1 함정

이 프로젝트는 본사(HQ)와 IDC 두 곳에 같은 SG3452X를 썼습니다. HQ는 VLAN 6개, IDC는 2개로 개수만 다르고 절차는 동일합니다. 이 글은 HQ(6 VLAN)를 기준으로 하고, 차이가 나는 곳은 따로 표시합니다.

1. Standalone vs Controller 모드

Omada 장비는 두 가지로 운영할 수 있습니다.

Standalone 모드: 스위치 자체 웹 GUI에서 직접 설정. 컨트롤러 불필요.
Controller 모드: Omada 컨트롤러(OC200 등)가 중앙에서 입양(Adopt)해 관리.

이 프로젝트는 백본 스위치를 Standalone으로 운영합니다. 이유는 안정성입니다. 백본은 모든 트래픽이 지나는 핵심이라, 중앙 관리 시스템의 장애나 잘못된 일괄 변경에 영향받지 않도록 독립적으로 둡니다. (반면 AP와 PoE 스위치는 다음 편에서 다룰 OC200 컨트롤러로 통합 관리합니다 — 백본만 떼어 놓는 구조입니다.)

로그인했을 때 좌측에 SYSTEM / L2 FEATURES / L3 FEATURES / QoS / SECURITY / MAINTENANCE 메뉴 트리가 보이면 Standalone입니다. “Pending / Waiting for Adoption” 같은 메시지가 보이면 Controller를 찾는 상태이므로, “Switch to Standalone”으로 전환합니다.

2. 초기 접속과 관리 IP

공장초기화 상태의 스위치에 처음 접속하는 방법은 두 가지입니다.

PC 직결: PC를 192.168.0.x/24로 수동 설정 → 포트 1~47 중 아무 곳에 연결 → 브라우저로 기본 IP 접속.
임시 공유기(iptime 등) 경유: 스위치와 PC를 같은 공유기 LAN에 물려, 스위치가 DHCP로 받은 IP로 접속. (이 프로젝트는 이 방식으로 192.168.0.3 등을 받아 작업했습니다.)

첫 로그인은 admin / admin이고, 첫 접속 시 새 비밀번호 설정이 강제됩니다.

사전 설정 권장: 원격지(IDC)에 들어갈 스위치는 사무실에서 완전히 설정한 뒤 운반하는 게 안전합니다. 현장에서 한 번 잠기면 복구가 매우 어렵기 때문입니다. 실제로 IDC 스위치는 사무실에서 VLAN·트렁크·관리 IP·저장까지 다 마치고, 재부팅 테스트로 설정 유지를 확인한 뒤 가져갔습니다.

3. 포트 배정 설계

VLAN을 만들기 전에 어느 포트에 어느 VLAN을 둘지 먼저 종이에 그립니다. 이 프로젝트 HQ의 실제 배정입니다.

포트	개수	VLAN	이름	용도
1~4	4	110	PRHQ	운영 서버
5~8	4	210	STG	검증 서버
9~12	4	310	DEV	개발 서버/PC
13~30	18	—	예비	미할당
31~36	6	410	USR	직원 PC
37~40	4	510	TEL	IP 폰
41~47	7	910	MGHQ	관리(Proxmox/PBS 등)
48	1	트렁크	—	OPNsense igb0 연결 (전 VLAN tagged)
49~52	4	SFP+	—	향후 10G 확장 예비

IDC는 VLAN 2개라 배정이 단순합니다: 포트 1~20 = VLAN 120(PRDC), 21~40 = VLAN 920(MGDC), 48 = 트렁크, 41~47/49~52 = 예비.

핵심은 48번을 트렁크로 비워두고, 나머지를 역할별 액세스 포트로 묶는 것입니다. 예비 포트를 넉넉히 남겨 향후 확장에 대비합니다.

4. VLAN 생성 (802.1Q)

L2 FEATURES → VLAN → 802.1Q VLAN

기본 상태에는 VLAN 1(System VLAN)만 있고 모든 포트가 그 멤버입니다. 여기서 + Add로 VLAN을 하나씩 만듭니다.

VLAN ID	Name
110	PRHQ
210	STG
310	DEV
410	USR
510	TEL
910	MGHQ

팁: VLAN을 만들 때 포트 멤버십은 일단 비워두고 ID/이름만 먼저 등록하는 게 깔끔합니다. 멤버십은 다음 단계에서 한 번에 정리합니다. 6개를 같은 방식으로 찍어내듯 만듭니다.

5. 포트 멤버십과 트렁크

이제 각 VLAN에 포트를 배정합니다. 여기서 Tagged와 Untagged의 구분이 핵심입니다.

Untagged (액세스 포트): 일반 단말(서버·PC·전화)이 꽂히는 포트. 태그를 모르는 장치를 위해 스위치가 태그를 떼고 전달.
Tagged (트렁크 포트): 여러 VLAN을 태그를 단 채로 함께 실어 보내는 포트. OPNsense가 태그를 보고 VLAN을 구분.

배정 규칙은 이렇습니다.

각 액세스 포트는 자기 VLAN에 Untagged로 넣습니다(예: 포트 1~4 → VLAN 110 Untagged). 그리고 트렁크 포트 48번은 모든 VLAN에 Tagged로 넣습니다(110·210·310·410·510·910 전부 Tagged). 이렇게 하면 48번 한 가닥으로 6개 VLAN이 태그를 단 채 OPNsense로 올라갑니다.

포트 1~4    → VLAN 110 Untagged
포트 5~8    → VLAN 210 Untagged
...
포트 41~47  → VLAN 910 Untagged
포트 48     → VLAN 110/210/310/410/510/910 전부 Tagged  (트렁크)

각 VLAN 행을 Edit해서 Tagged/Untagged 멤버를 지정하고 Save합니다.

6. PVID 설정

L2 FEATURES → VLAN → 802.1Q VLAN → Port Config

PVID(Port VLAN ID)는 그 포트로 들어온 태그 없는 트래픽을 어느 VLAN으로 넣을지를 정합니다. 액세스 포트는 자기 VLAN ID를 PVID로 줍니다.

포트 1~4    → PVID 110
포트 5~8    → PVID 210
...
포트 41~47  → PVID 910
포트 48     → PVID 1   (트렁크는 1 유지)
예비 포트    → PVID 1   (기본값 유지)

⚠️ 트렁크 포트의 PVID는 반드시 1

가장 주의할 점입니다. 트렁크 포트(48)의 PVID는 1로 유지해야 합니다. 만약 48번 PVID를 110이나 910 같은 값으로 바꾸면, 트렁크로 들어오는 Untagged 트래픽이 엉뚱한 VLAN으로 분류되어 통신이 꼬입니다. (이 Untagged 채널이 OPNsense 2편의 “임시 관리 LAN”과 짝을 이룹니다.)

페이지네이션 팁: Port Config 화면은 한 페이지에 일부 포트만 보일 수 있습니다. 우하단 “Items per page”를 100으로 두면 한 화면에 다 보여 작업이 편합니다. 한 번에 다 바꾸지 말고 그룹별로(1~20 먼저, 그 다음 21~40…) 적용하며 확인하는 게 안전합니다.

7. L3 관리 인터페이스와 기본 경로

스위치 자체에 관리 IP를 줘서 GUI/SSH로 접근할 수 있게 합니다. 이 IP는 관리 VLAN(MGHQ 910)에 둡니다.

관리 IP 부여

L3 FEATURES → Interface → IPv4 Interface → + Add

필드	값
Interface(VLAN)	`910`
Status	Enable
IP Address Mode	Static
IP Address	`10.0.91.2`
Subnet Mask	`255.255.255.0`
Description	`MGHQ` (선택)

게이트웨이 .1은 OPNsense가, 스위치는 .2를 쓰는 IP 컨벤션을 따릅니다(IDC는 10.0.92.2).

기본 경로

스위치가 자기 대역 밖(인터넷, 다른 VLAN)으로 나갈 수 있도록 기본 경로를 줍니다.

L3 FEATURES → Routing → Static Routing

필드	값
Destination	`0.0.0.0`
Subnet Mask	`0.0.0.0`
Next Hop	`10.0.91.1` (OPNsense MGHQ 게이트웨이)
Distance	`1`

트렁크가 OPNsense에 아직 연결되지 않았다면 관리 IP의 Status가 Down으로 보입니다. 정상입니다. 포트 48이 OPNsense와 연결되는 순간 Up이 됩니다.

8. 영구 저장과 VLAN 1 함정

우상단 Save — 반드시

우상단 Save 버튼 클릭 → startup-config로 영구 저장

이걸 누르지 않으면 재부팅 시 설정이 전부 날아갑니다. 가장 흔하고 뼈아픈 실수입니다. 모든 작업 후 반드시 Save하고, 가능하면 재부팅 테스트로 설정 유지를 확인합니다(VLAN 목록·PVID·L3 인터페이스·라우트가 그대로 남는지).

VLAN 1 L3 인터페이스 정리 (DNS 오염 함정)

실제로 겪은 함정입니다. 초기 접속을 임시 공유기(iptime) DHCP로 했다면, VLAN 1에 L3 인터페이스가 자동 생성되어 공유기 대역 IP(예: 192.168.0.x)와 그 DNS를 물고 있을 수 있습니다. 이걸 그대로 두면 스위치의 DNS가 공유기(192.168.x.1)로 오염되어, 이후 도메인 해석이 엉뚱하게 동작합니다.

해결은 모든 검증이 끝난 뒤 VLAN 1의 L3 인터페이스만 삭제하는 것입니다.

L3 FEATURES → Interface → VLAN 1 인터페이스 행 선택 → Delete → Save

주의할 점 두 가지. 첫째, L2 VLAN 1 자체는 그대로 둡니다 — 삭제하는 건 VLAN 1의 L3 인터페이스(IP)뿐입니다. 둘째, 지금 접속 중인 경로가 VLAN 1일 수 있으므로(공유기 경유 192.168.0.x), 이 삭제는 트렁크 연결과 관리망(VLAN 910) 접근이 확립된 뒤에 해야 합니다. 안 그러면 자기 접속을 끊습니다. 정리하면 VLAN 910 인터페이스(10.0.91.2)만 남아 DNS 오염이 사라집니다.

이번 편 체크포인트

백본 SG3452X가 Standalone 모드로, OPNsense의 VLAN과 동일한 ID로 802.1Q VLAN을 보유
액세스 포트는 Untagged, 트렁크 포트 48은 전 VLAN Tagged — 한 가닥으로 OPNsense와 연결
PVID가 액세스=자기 VLAN, 트렁크=1로 정확히 설정
관리 IP(10.0.91.2)와 기본 경로가 잡혀 GUI 접근 가능
startup-config 영구 저장 완료, VLAN 1 L3 인터페이스 정리로 DNS 오염 제거

이로써 OPNsense(L3)와 Omada 백본(L2)이 트렁크 한 가닥으로 맞물려, VLAN 트래픽이 물리 포트까지 깔끔하게 흐릅니다.

다음 편 예고

08. Omada 컨트롤러와 무선: OC200·AP·PoE 통합 관리 — 백본은 Standalone으로 뒀지만, AP와 PoE 스위치는 Omada 컨트롤러(OC200)로 중앙 관리합니다. 컨트롤러 초기 설정, 장비 입양(Adopt), PoE 스위치(SG2210XMP)와 AP들의 고정 IP·SSID, MAC 화이트리스트와 게스트망, 그리고 컨트롤러를 Caddy+ACME로 도메인·인증서에 연동하는 과정을 다룹니다.

다른 글 보기

뉴스

프로젝트 문의 환영합니다

기획부터 개발, 운영까지 함께 만들어 드립니다.