802.1Q VLAN 심화

802.1Q는 이더넷 프레임에 VLAN 태그를 넣어 L2 도메인을 분리하는 IEEE 표준입니다. 이 문서는 Linux 커널의 8021q 모듈 내부 구현, vlan_dev 구조체, VLAN 필터링, Q-in-Q(802.1ad), bridge VLAN filtering, 하드웨어 오프로드, 네트워크 네임스페이스 연동, 디버깅까지 실전 운영에 필요한 전 영역을 깊이 있게 다룹니다.

802.1Q VLAN 태그 구조

IEEE 802.1Q 프레임 포맷

IEEE 802.1Q는 이더넷 프레임의 소스 MAC 주소와 EtherType/Length 필드 사이에 4바이트 VLAN 태그를 삽입합니다. 이 4바이트는 2바이트 TPID(Tag Protocol Identifier)와 2바이트 TCI(Tag Control Information)로 구성됩니다. 태그 삽입으로 인해 최대 프레임 크기가 기존 1518바이트에서 1522바이트로 증가합니다.

TPID(Tag Protocol Identifier)

TPID는 프레임에 VLAN 태그가 존재함을 수신 측에 알려주는 2바이트 식별자입니다. 표준 802.1Q VLAN의 TPID 값은 0x8100이며, 이 값은 원래 EtherType 필드 위치에 놓입니다. 수신 NIC이나 커널 스택은 EtherType 위치에서 0x8100을 발견하면 다음 2바이트를 TCI로 해석하고, 그 뒤의 2바이트를 실제 EtherType(또는 Length)로 처리합니다.

TCI(Tag Control Information) 상세

TCI 16비트는 세 개의 서브필드로 나뉩니다.

PCP 우선순위 레벨 매핑

태그 삽입/제거 커널 경로

커널의 VLAN 태그 처리는 NIC 오프로드 지원 여부에 따라 크게 두 갈래로 나뉩니다.

• 하드웨어 오프로드(HW VLAN): NIC이 RX 시 태그를 프레임에서 분리해 skb->vlan_tci에 저장하고, TX 시 skb->vlan_tci를 읽어 프레임에 태그를 삽입합니다. CPU에 도달하는 패킷에는 VLAN 태그가 없어 파싱 비용이 절감됩니다.
• 소프트웨어 처리: NIC이 오프로드를 지원하지 않으면 커널이 __vlan_insert_tag()/__vlan_hwaccel_put_tag()로 직접 태그를 추가/제거합니다.

/* include/linux/if_vlan.h -- skb의 VLAN 메타데이터 */
/* skb->vlan_present: VLAN 태그 존재 여부 (1bit)
   skb->vlan_tci:     TCI 필드 값 (PCP + DEI + VID)
   skb->vlan_proto:   TPID 값 (0x8100 또는 0x88a8) */

static inline int __vlan_insert_tag(
    struct sk_buff *skb,
    __be16 vlan_proto, u16 vlan_tci)
{
    struct vlan_ethhdr *veth;

    /* headroom 확보 후 4바이트 VLAN 헤더 삽입 */
    if (skb_cow_head(skb, VLAN_HLEN) < 0)
        return -ENOMEM;

    veth = skb_push(skb, VLAN_HLEN);
    memmove(skb->data, skb->data + VLAN_HLEN, 2 * ETH_ALEN);

    veth->h_vlan_proto = vlan_proto;
    veth->h_vlan_TCI = htons(vlan_tci);
    return 0;
}

커널 vlan_dev 구현

vlan_dev_priv 구조체

Linux 커널에서 VLAN 서브인터페이스(예: eth0.10)는 독립적인 net_device로 생성됩니다. 각 VLAN 장치의 사적 데이터는 struct vlan_dev_priv에 저장되며, net/8021q/vlan.h에 정의되어 있습니다.

/* net/8021q/vlan.h (Linux 6.x, 주요 필드 발췌) */
struct vlan_dev_priv {
    /* vlan_id: 이 장치에 할당된 VLAN ID (1~4094) */
    unsigned short             vlan_id;

    /* vlan_proto: TPID 값 (__be16, 0x8100 or 0x88a8) */
    __be16                     vlan_proto;

    /* flags: VLAN_FLAG_REORDER_HDR, VLAN_FLAG_GVRP 등 */
    u16                        flags;

    /* real_dev: 하위 물리 장치 (예: eth0) */
    struct net_device          *real_dev;

    /* real_dev_addr: real_dev의 MAC 주소 스냅샷 */
    unsigned char              real_dev_addr[ETH_ALEN];

    /* dent: /proc/net/vlan/ 디렉토리 엔트리 */
    struct proc_dir_entry     *dent;

    /* vlan_pcpu_stats: per-CPU TX/RX 통계 */
    struct vlan_pcpu_stats __percpu *vlan_pcpu_stats;

    /* nr_ingress_mappings: ingress QoS 매핑 수 */
    unsigned int               nr_ingress_mappings;

    /* egress_priority_map: PCP 값과 커널 우선순위 매핑 */
    struct vlan_priority_tci_mapping *egress_priority_map[16];

    /* ingress_priority_map: ingress PCP → skb->priority 매핑 */
    u32                        ingress_priority_map[8];
};

vlan_group과 VLAN 장치 검색

vlan_group은 하나의 물리 장치(real_dev)에 연결된 모든 VLAN 장치를 관리하는 컨테이너입니다. 내부적으로 VID를 해시 키로 사용하여 O(1) 시간에 VLAN 장치를 찾습니다.

/* net/8021q/vlan.h */
#define VLAN_GROUP_ARRAY_LEN  (4096 / VLAN_GROUP_ARRAY_PART_LEN)

struct vlan_group {
    /* nr_vlan_devs: 등록된 VLAN 장치 총 수 */
    unsigned int      nr_vlan_devs;

    /* vlan_devices_arrays: VID → net_device 매핑 배열
       2차원 배열로 메모리 효율성 확보 (전체 4096 슬롯을 한 번에 할당하지 않음) */
    struct net_device ***vlan_devices_arrays[VLAN_PROTO_NUM];
};

/* VID로 VLAN 장치 조회 -- RX 경로 핫패스 */
static inline struct net_device *vlan_group_get_device(
    struct vlan_group *vg,
    __be16 vlan_proto, u16 vlan_id)
{
    struct net_device **array;
    array = vg->vlan_devices_arrays[vlan_proto_idx(vlan_proto)]
                                   [vlan_id / VLAN_GROUP_ARRAY_PART_LEN];
    return array ? array[vlan_id % VLAN_GROUP_ARRAY_PART_LEN] : NULL;
}

register_vlan_dev -- VLAN 장치 등록

ip link add link eth0 name eth0.10 type vlan id 10 명령은 커널 내부에서 register_vlan_dev()를 호출합니다. 이 함수는 다음 단계를 수행합니다.

1. real_dev의 vlan_info에서 vlan_group을 가져오거나 새로 생성
2. VID 중복 검사 수행
3. vlan_group에 새 VLAN 장치를 VID 슬롯에 등록
4. real_dev의 ndo_vlan_rx_add_vid 콜백 호출 (하드웨어 VLAN 필터 등록)
5. 새 net_device를 register_netdevice()로 네트워크 스택에 등록

vlan_dev_hard_start_xmit -- TX 경로

VLAN 서브인터페이스로 패킷을 전송하면 vlan_dev_hard_start_xmit()가 호출됩니다. 이 함수는 skb에 VLAN 태그를 설정한 뒤 하위 물리 장치의 TX 큐로 전달합니다.

/* net/8021q/vlan_dev.c (개념 코드) */
static netdev_tx_t vlan_dev_hard_start_xmit(
    struct sk_buff *skb,
    struct net_device *dev)
{
    struct vlan_dev_priv *vlan = vlan_dev_priv(dev);
    u16 vlan_tci;

    /* egress QoS 매핑 적용: skb->priority → PCP */
    vlan_tci = vlan->vlan_id;
    vlan_tci |= vlan_dev_get_egress_qos_mask(dev, skb->priority);

    /* HW 오프로드 지원 시 메타데이터만 설정 */
    if (vlan->real_dev->features & NETIF_F_HW_VLAN_CTAG_TX)
        __vlan_hwaccel_put_tag(skb, vlan->vlan_proto, vlan_tci);
    else
        /* SW 삽입: 실제 프레임 헤더에 4바이트 추가 */
        __vlan_insert_tag(skb, vlan->vlan_proto, vlan_tci);

    skb->dev = vlan->real_dev;
    return dev_queue_xmit(skb);
}

vlan_do_receive -- RX 경로

패킷 수신 시 __netif_receive_skb_core()에서 VLAN 프레임이 감지되면 vlan_do_receive()가 호출됩니다. 이 함수는 VID를 기반으로 해당 VLAN 서브인터페이스를 찾고, skb의 dev를 VLAN 장치로 전환합니다.

/* net/8021q/vlan_core.c (개념 코드) */
bool vlan_do_receive(struct sk_buff **skbp)
{
    struct sk_buff *skb = *skbp;
    __be16 vlan_proto = skb->vlan_proto;
    u16 vlan_id = skb_vlan_tag_get_id(skb);
    struct net_device *vlan_dev;
    struct vlan_pcpu_stats *rx_stats;

    /* vlan_group에서 VID로 VLAN 장치 검색 */
    vlan_dev = vlan_find_dev(skb->dev, vlan_proto, vlan_id);
    if (!vlan_dev)
        return false;

    /* skb의 수신 장치를 VLAN 장치로 전환 */
    skb->dev = vlan_dev;
    skb->pkt_type = PACKET_HOST;

    /* ingress QoS 매핑: PCP → skb->priority */
    skb->priority = vlan_get_ingress_priority(vlan_dev, skb->vlan_tci);

    /* VLAN 메타데이터 제거 (상위 스택은 태그 없는 것처럼 처리) */
    __vlan_hwaccel_clear_tag(skb);

    /* per-CPU 통계 갱신 */
    rx_stats = this_cpu_ptr(vlan_dev_priv(vlan_dev)->vlan_pcpu_stats);
    u64_stats_update_begin(&rx_stats->syncp);
    rx_stats->rx_packets++;
    rx_stats->rx_bytes += skb->len;
    u64_stats_update_end(&rx_stats->syncp);

    return true;
}

VLAN 필터링

NIC 하드웨어 VLAN 필터링 개요

대부분의 현대 NIC은 하드웨어 수준에서 VLAN 필터링을 지원합니다. NIC이 VLAN 필터 테이블을 관리하면, 등록되지 않은 VID를 가진 프레임은 NIC에서 즉시 폐기되어 CPU에 도달하지 않습니다. 이는 불필요한 인터럽트와 메모리 복사를 방지하여 성능을 크게 향상시킵니다.

NETIF_F_HW_VLAN_CTAG_FILTER

NIC 드라이버가 NETIF_F_HW_VLAN_CTAG_FILTER feature 플래그를 설정하면, 커널은 VLAN 장치를 등록/해제할 때 드라이버의 콜백 함수를 호출하여 NIC의 VLAN 필터 테이블을 동기화합니다.

ndo_vlan_rx_add_vid / ndo_vlan_rx_kill_vid

이 두 콜백은 struct net_device_ops에 정의되며, VLAN 장치가 등록되거나 해제될 때 호출됩니다. 드라이버는 이 콜백에서 NIC의 VLAN 필터 테이블에 VID를 추가하거나 제거합니다.

/* 드라이버 VLAN 필터 콜백 구현 예시 (개념 코드) */
static int my_driver_vlan_rx_add_vid(
    struct net_device *dev,
    __be16 proto, u16 vid)
{
    struct my_adapter *adapter = netdev_priv(dev);

    /* NIC 하드웨어 VLAN 필터 테이블에 VID 등록 */
    set_bit(vid, adapter->active_vlans);
    my_hw_write_vlan_filter(adapter, vid, 1);

    return 0;
}

static int my_driver_vlan_rx_kill_vid(
    struct net_device *dev,
    __be16 proto, u16 vid)
{
    struct my_adapter *adapter = netdev_priv(dev);

    /* NIC 하드웨어 VLAN 필터 테이블에서 VID 제거 */
    clear_bit(vid, adapter->active_vlans);
    my_hw_write_vlan_filter(adapter, vid, 0);

    return 0;
}

static const struct net_device_ops my_netdev_ops = {
    .ndo_vlan_rx_add_vid  = my_driver_vlan_rx_add_vid,
    .ndo_vlan_rx_kill_vid = my_driver_vlan_rx_kill_vid,
    /* ... */
};

소프트웨어 VLAN 필터링

NIC이 하드웨어 VLAN 필터링을 지원하지 않는 경우, 커널은 소프트웨어 수준에서 필터링을 수행합니다. vlan_do_receive()에서 VID에 해당하는 VLAN 장치가 없으면 프레임을 드롭합니다. 다만 이 경우 프레임이 이미 CPU 메모리로 DMA 전송되었으므로 하드웨어 필터링에 비해 비효율적입니다.

Q-in-Q (802.1ad) 이중 태깅

S-VLAN과 C-VLAN 개념

Q-in-Q(802.1ad)는 기존 802.1Q 태그 위에 추가 VLAN 태그를 중첩하는 기술입니다. 서비스 프로바이더가 고객별 VLAN을 통째로 캡슐화하여 자신의 망 내에서 단일 S-VLAN으로 전달합니다.

• S-VLAN (Service VLAN): 외부 태그. TPID 0x88a8. 프로바이더가 관리하는 VLAN ID.
• C-VLAN (Customer VLAN): 내부 태그. TPID 0x8100. 고객이 기존에 사용하던 VLAN ID.

Linux에서 Q-in-Q 구성

Linux에서 Q-in-Q를 구성하려면 먼저 protocol 802.1ad VLAN 장치(S-Tag)를 생성하고, 그 위에 일반 802.1Q VLAN 장치(C-Tag)를 중첩합니다.

# 1단계: S-VLAN 생성 (TPID 0x88a8)
ip link add link eth0 name eth0.100 type vlan \
    protocol 802.1ad id 100

# 2단계: C-VLAN 생성 (S-VLAN 위에 중첩)
ip link add link eth0.100 name eth0.100.10 type vlan id 10

# 3단계: 인터페이스 활성화
ip link set eth0.100 up
ip link set eth0.100.10 up

# 4단계: IP 주소 할당 (C-VLAN에)
ip addr add 192.168.10.1/24 dev eth0.100.10

# 확인: 인터페이스 상세 정보
ip -d link show eth0.100
# 출력 예:
#   vlan protocol 802.1ad id 100 <REORDER_HDR>
#   ...

ip -d link show eth0.100.10
# 출력 예:
#   vlan protocol 802.1Q id 10 <REORDER_HDR>
#   ...

Q-in-Q 운영 시 주의사항

VLAN-aware Bridge 동작

bridge VLAN filtering 개요

Linux bridge는 vlan_filtering을 활성화하면 물리 스위치와 유사한 VLAN-aware 동작을 합니다. 각 브리지 포트에 허용 VLAN 목록, PVID(Port VLAN ID), untagged 설정을 부여하여 access/trunk 포트 개념을 구현합니다.

# VLAN-aware bridge 생성
ip link add br0 type bridge vlan_filtering 1
ip link set br0 up

# 포트 추가
ip link set eth1 master br0
ip link set eth2 master br0
ip link set eth1 up
ip link set eth2 up

# access 포트 설정 (eth1: VLAN 10 전용)
bridge vlan add dev eth1 vid 10 pvid untagged

# trunk 포트 설정 (eth2: VLAN 10, 20 태그 유지)
bridge vlan add dev eth2 vid 10
bridge vlan add dev eth2 vid 20

# bridge 자체의 VLAN 설정 (로컬 트래픽용)
bridge vlan add dev br0 vid 10 self pvid untagged

# 기본 VLAN 1 제거 (보안 강화)
bridge vlan del dev eth1 vid 1
bridge vlan del dev eth2 vid 1
bridge vlan del dev br0 vid 1 self

PVID, tagged, untagged 동작 상세

커널 내부: br_vlan_add / br_vlan_delete

bridge vlan add 명령은 커널 내부에서 br_vlan_add()를 호출합니다. 이 함수는 브리지 포트의 net_bridge_vlan_group에 VLAN 엔트리를 추가하고, 필요한 경우 하위 NIC의 ndo_vlan_rx_add_vid도 호출합니다.

/* net/bridge/br_vlan.c (개념 코드) */
int br_vlan_add(struct net_bridge *br,
                u16 vid, u16 flags, bool *changed,
                struct netlink_ext_ack *extack)
{
    struct net_bridge_vlan_group *vg;
    struct net_bridge_vlan *vlan;

    vg = br_vlan_group(br);

    /* 기존 VLAN 검색 */
    vlan = br_vlan_find(vg, vid);
    if (vlan) {
        /* 이미 존재하면 플래그만 갱신 (pvid/untagged 변경) */
        return br_vlan_flags(vlan, flags, changed);
    }

    /* 새 VLAN 엔트리 생성 및 등록 */
    vlan = kzalloc(sizeof(*vlan), GFP_KERNEL);
    vlan->vid = vid;
    vlan->flags = flags;

    /* rhashtable과 정렬된 리스트에 동시 추가 */
    rhashtable_lookup_insert_fast(&vg->vlan_hash, ...);
    list_add_tail_rcu(&vlan->vlist, ...);

    /* PVID 설정 */
    if (flags & BRIDGE_VLAN_INFO_PVID)
        br_vlan_set_pvid(vg, vid);

    *changed = true;
    return 0;
}

VLAN-aware bridge 포트 시나리오

실전 구성

ip link를 이용한 VLAN 생성/관리

# 기본 VLAN 서브인터페이스 생성
ip link add link eth0 name eth0.10 type vlan id 10
ip link set eth0.10 up
ip addr add 10.0.10.1/24 dev eth0.10

# 여러 VLAN 동시 생성
for vid in 10 20 30; do
    ip link add link eth0 name eth0.$vid type vlan id $vid
    ip link set eth0.$vid up
done

# VLAN 인터페이스 상세 정보 확인
ip -d link show eth0.10
# 출력 예:
# eth0.10@eth0: <BROADCAST,MULTICAST,UP> mtu 1500 ...
#     vlan protocol 802.1Q id 10 <REORDER_HDR>

# VLAN 서브인터페이스 삭제
ip link del eth0.10

# QoS 매핑 설정 (ingress: PCP→priority, egress: priority→PCP)
ip link set eth0.10 type vlan \
    ingress-qos-map 0:0 1:1 2:2 3:3 4:4 5:5 6:6 7:7
ip link set eth0.10 type vlan \
    egress-qos-map 0:0 1:1 2:2 3:3 4:4 5:5 6:6 7:7

# VLAN 플래그 설정
ip link set eth0.10 type vlan reorder_hdr on
ip link set eth0.10 type vlan gvrp on
ip link set eth0.10 type vlan loose_binding off

/proc/net/vlan 인터페이스

8021q 모듈이 로드되면 /proc/net/vlan/ 디렉토리에 VLAN 관련 정보가 노출됩니다.

# 전체 VLAN 구성 목록
cat /proc/net/vlan/config
# 출력 예:
# VLAN Dev name    | VLAN ID
# Name-Type: VLAN_NAME_TYPE_RAW_PLUS_VID_NO_PAD
# eth0.10        | 10  | eth0
# eth0.20        | 20  | eth0

# 개별 VLAN 장치 상세
cat /proc/net/vlan/eth0.10
# 출력 예:
# eth0.10  VID: 10    REORDER_HDR: 1  dev->priv_flags: 4001
#          total frames received            12345
#          total bytes received          1234567
#          Broadcast/Multicast Rcvd         100
#          total frames transmitted          5678
#          total bytes transmitted         567800

트러블슈팅 체크리스트

성능과 오프로드

VLAN 하드웨어 오프로드 플래그

Linux 커널은 NIC의 VLAN 오프로드 능력을 net_device->features 비트마스크로 표현합니다. 이 플래그들은 ethtool -k로 확인하고 ethtool -K로 제어할 수 있습니다.

# VLAN 오프로드 상태 확인
ethtool -k eth0 | grep vlan
# 출력 예:
# rx-vlan-offload: on
# tx-vlan-offload: on [fixed]
# rx-vlan-filter: on [fixed]
# rx-vlan-stag-offload: off [fixed]
# tx-vlan-stag-offload: off [fixed]
# rx-vlan-stag-filter: off [fixed]

# RX VLAN 오프로드 비활성화 (tcpdump에서 VLAN 태그 확인 시)
ethtool -K eth0 rx-vlan-offload off

# TX VLAN 오프로드 비활성화
ethtool -K eth0 tx-vlan-offload off

GRO/GSO와 VLAN 상호작용

GRO(Generic Receive Offload)와 GSO(Generic Segmentation Offload)는 VLAN 태그가 있는 패킷도 처리합니다. VLAN 서브인터페이스의 GRO/GSO 기능은 하위 물리 장치의 기능을 상속받되, 몇 가지 제약이 있습니다.

• GRO와 VLAN: NIC의 RX VLAN 오프로드가 활성화되면, GRO는 skb->vlan_tci를 기준으로 같은 플로우의 패킷을 병합합니다. 서로 다른 VID의 패킷은 병합되지 않습니다.
• GSO와 VLAN: VLAN 장치의 GSO 기능은 real_dev의 GSO 기능에서 파생됩니다. TSO(TCP Segmentation Offload)도 VLAN 오프로드와 함께 작동합니다.
• Feature 상속: vlan_dev_init()에서 하위 장치의 features를 netdev_intersect_features()로 교차하여 VLAN 장치 features를 결정합니다.

/* net/8021q/vlan_dev.c -- VLAN 장치 feature 상속 (개념 코드) */
static netdev_features_t vlan_dev_fix_features(
    struct net_device *dev,
    netdev_features_t features)
{
    struct net_device *real_dev = vlan_dev_priv(dev)->real_dev;

    /* 하위 장치 features와 교차 */
    features = netdev_intersect_features(features,
                    real_dev->vlan_features);

    /* 하위 장치의 encapsulation 오프로드 상속 */
    features |= real_dev->features & NETIF_F_SOFT_FEATURES;
    features |= NETIF_F_LLTX;

    return features;
}

성능 최적화 팁

VLAN과 네트워크 네임스페이스

VLAN vs macvlan vs ipvlan 비교

컨테이너 네트워킹에서 L2 격리를 구현하는 방법은 여러 가지가 있습니다. VLAN, macvlan, ipvlan은 각각 다른 방식으로 격리와 연결성을 제공합니다.

네트워크 네임스페이스에서 VLAN 사용

VLAN 서브인터페이스는 네트워크 네임스페이스로 이동시킬 수 있습니다. 이를 통해 네임스페이스별로 독립적인 L2 도메인을 구성할 수 있습니다.

# 네임스페이스 생성
ip netns add ns-web
ip netns add ns-db

# VLAN 서브인터페이스 생성
ip link add link eth0 name eth0.10 type vlan id 10
ip link add link eth0 name eth0.20 type vlan id 20

# VLAN 인터페이스를 네임스페이스로 이동
ip link set eth0.10 netns ns-web
ip link set eth0.20 netns ns-db

# 각 네임스페이스 내에서 설정
ip netns exec ns-web ip addr add 10.0.10.1/24 dev eth0.10
ip netns exec ns-web ip link set eth0.10 up
ip netns exec ns-web ip link set lo up

ip netns exec ns-db ip addr add 10.0.20.1/24 dev eth0.20
ip netns exec ns-db ip link set eth0.20 up
ip netns exec ns-db ip link set lo up

# 확인
ip netns exec ns-web ip addr show
ip netns exec ns-db ip addr show

컨테이너 네트워킹 구성 패턴

Docker, Kubernetes 등 컨테이너 런타임에서 VLAN을 활용하는 대표적인 패턴들입니다.

# macvlan + VLAN 조합 예시
ip link add link eth0 name eth0.100 type vlan id 100
ip link set eth0.100 up

# VLAN 위에 macvlan 생성
ip link add link eth0.100 name mv-c1 type macvlan mode bridge
ip link set mv-c1 netns container1

# ipvlan L3 + VLAN 조합 예시
ip link add link eth0 name eth0.200 type vlan id 200
ip link set eth0.200 up

ip link add link eth0.200 name iv-c2 type ipvlan mode l3
ip link set iv-c2 netns container2

디버깅과 모니터링

tcpdump VLAN 캡처

VLAN 태그가 포함된 패킷을 캡처하려면 NIC의 RX VLAN 오프로드 상태에 주의해야 합니다. 오프로드가 활성화되면 NIC이 태그를 분리하므로 tcpdump에서 태그가 보이지 않을 수 있습니다.

# 기본 VLAN 캡처 (물리 인터페이스에서)
tcpdump -i eth0 -e -nn vlan
# -e: 이더넷 헤더 표시 (VLAN 태그 포함)
# -nn: 이름 해석 비활성화
# vlan: VLAN 태그가 있는 프레임만 필터

# 특정 VLAN ID 필터
tcpdump -i eth0 -e -nn 'vlan 10'

# VLAN 태그 내부의 특정 프로토콜 필터
tcpdump -i eth0 -e -nn 'vlan 10 and icmp'

# Q-in-Q 이중 태그 캡처
tcpdump -i eth0 -e -nn 'vlan and vlan'

# VLAN 태그가 안 보일 때: RX 오프로드 비활성화
ethtool -K eth0 rx-vlan-offload off
tcpdump -i eth0 -e -nn vlan
# 캡처 후 복원
ethtool -K eth0 rx-vlan-offload on

# VLAN 서브인터페이스에서 직접 캡처 (태그 없는 패킷으로 보임)
tcpdump -i eth0.10 -nn

ip -d link show 활용

# VLAN 장치 상세 정보
ip -d link show eth0.10
# 출력 예:
# 5: eth0.10@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 ...
#     link/ether aa:bb:cc:dd:ee:ff brd ff:ff:ff:ff:ff:ff
#     vlan protocol 802.1Q id 10 <REORDER_HDR>
#     numtxqueues 1 numrxqueues 1 gso_max_size 65536 ...

# Q-in-Q 장치 확인
ip -d link show eth0.100
# 출력 예:
# 6: eth0.100@eth0: ...
#     vlan protocol 802.1ad id 100 <REORDER_HDR>

# 모든 VLAN 장치 목록
ip -d link show type vlan

bridge vlan show 활용

# 브리지 포트별 VLAN 설정 확인
bridge vlan show
# 출력 예:
# port    vlan-id
# eth1    10 PVID Egress Untagged
# eth2    10
#         20
# br0     10 PVID Egress Untagged

# 특정 장치의 VLAN 설정만
bridge vlan show dev eth1

# JSON 형식 출력 (스크립트 파싱용)
bridge -j vlan show

# 통계 포함 (커널 5.9+)
bridge -s vlan show

/proc/net/vlan 파일

# 8021q 모듈 로드 확인
lsmod | grep 8021q

# VLAN 설정 목록
cat /proc/net/vlan/config

# 개별 VLAN 통계
cat /proc/net/vlan/eth0.10
# 표시 항목:
# - VID, 플래그, dev->priv_flags
# - total frames/bytes received/transmitted
# - Broadcast/Multicast 수신 수
# - VLAN device MAC 주소

# VLAN 장치 존재 여부 빠른 확인
ls /proc/net/vlan/

커널 로그와 트레이싱

# VLAN 관련 커널 메시지
dmesg | grep -i vlan
# 출력 예:
# 8021q: adding VLAN 0 to HW filter on device eth0
# 8021q: 802.1Q VLAN Support v1.8

# perf로 VLAN 수신 경로 프로파일링
perf record -g -e net:netif_receive_skb -- sleep 10
perf report

# ftrace로 vlan_do_receive 호출 추적
echo vlan_do_receive > /sys/kernel/debug/tracing/set_ftrace_filter
echo function > /sys/kernel/debug/tracing/current_tracer
cat /sys/kernel/debug/tracing/trace_pipe

# bpftrace로 VLAN RX 이벤트 모니터링 (실시간)
bpftrace -e 'kprobe:vlan_do_receive { @[comm] = count(); }'

일반적인 디버깅 시나리오

커널 설정

필수/권장 커널 옵션

모듈 로드와 확인

# 8021q 모듈 로드
modprobe 8021q

# 로드 확인
lsmod | grep 8021q
# 출력 예:
# 8021q                  36864  0
# garp                   16384  1 8021q
# mrp                    20480  1 8021q

# 자동 로드 설정 (/etc/modules-load.d/)
echo 8021q >> /etc/modules-load.d/vlan.conf

# 커널 빌드 설정 확인
zcat /proc/config.gz | grep VLAN
# 또는
grep VLAN /boot/config-$(uname -r)

sysctl 관련 설정

# VLAN 간 라우팅에 필요한 IP 포워딩
sysctl -w net.ipv4.ip_forward=1
sysctl -w net.ipv6.conf.all.forwarding=1

# ARP 관련 (VLAN 환경에서 proxy ARP 필요 시)
sysctl -w net.ipv4.conf.all.proxy_arp=1

# bridge에서 iptables 통합 (Docker 환경 등)
sysctl -w net.bridge.bridge-nf-call-iptables=1

# 영구 설정 (/etc/sysctl.d/99-vlan.conf)
cat > /etc/sysctl.d/99-vlan.conf <<EOF
net.ipv4.ip_forward = 1
net.ipv6.conf.all.forwarding = 1
EOF
sysctl --system

참고자료

• 커널 공식 문서: VLAN
• 커널 공식 문서: Bridge
• IEEE 802.1Q-2022 표준
• Bridge/VLAN/Bonding 문서
• DSA Tagging 문서
• 이더넷 문서
• Netfilter/iptables 문서
• GSO/GRO 문서