1. 들어가며: 장애 원인을 밝혀내는 가장 확실한 증거, 패킷 캡처
기업 네트워크 환경을 운영하고 유지보수하는 현업 엔지니어들에게 가장 당혹스러운 순간은 "네트워크가 간헐적으로 느려집니다" 혹은 "특정 서버로 통신이 되다 안 되다 합니다"와 같은 모호한 장애 신고를 접수했을 때입니다. 라우팅 테이블도 정상이고, 스위치의 포트 상태도 모두 'Up'이며, 방화벽 정책에도 뚜렷한 차단 로그가 보이지 않는다면 엔지니어는 깊은 고민에 빠지게 됩니다. 이처럼 인프라 장비의 기본 상태 정보만으로는 도저히 원인을 알 수 없는 미궁 속의 장애를 마주했을 때, 네트워크 엔지니어가 꺼내 들 수 있는 가장 강력하고 확실한 무기가 바로 '패킷 캡처(Packet Capture)'입니다.
과거의 더미 허브(Dummy Hub) 환경에서는 네트워크상에 흐르는 모든 데이터가 모든 포트로 무작위로 복사되어 전달되었기 때문에, 아무 포트에나 노트북을 연결하고 와이어샤크(Wireshark) 같은 스니핑 프로그램을 실행하면 모든 통신 내용을 쉽게 엿볼 수 있었습니다. 하지만 오늘날 우리가 사용하는 L2/L3 스위치는 MAC 주소 테이블을 기반으로 목적지가 명확한 포트로만 데이터를 1:1로 정확하게 전달합니다. 이는 보안과 성능 면에서는 훌륭한 발전이지만, 역설적으로 장애 분석을 위해 남의 통신 데이터를 가로채어 분석해야 하는 엔지니어에게는 거대한 장벽이 됩니다.
이러한 스위치 환경의 구조적 한계를 극복하고, 분석이 필요한 특정 포트나 VLAN의 트래픽을 엔지니어의 노트북이나 보안 장비(IDS/IPS)가 연결된 포트로 똑같이 복사해 주는 기술이 바로 포트 미러링(Port Mirroring)입니다. Cisco에서는 이를 SPAN(Switched Port Analyzer)이라고 부릅니다. 이번 포스팅에서는 단일 스위치 환경에서 사용하는 Local SPAN의 기본 동작 원리부터, 여러 스위치를 건너뛰며 트래픽을 추적해야 하는 복잡한 환경을 위한 RSPAN(Remote SPAN) 설정 방법, 그리고 실무 적용 시 반드시 숙지해야 할 대역폭 오버플로우 주의사항까지 깊이 있게 알아보겠습니다.
2. 단일 스위치 환경을 위한 Local SPAN 원리와 설정 가이드
가장 기본이 되는 Local SPAN은 모니터링 대상이 되는 포트(Source)와 복사된 트래픽을 전달받을 분석용 노트북이 연결된 포트(Destination)가 모두 '동일한 물리적 스위치' 장비 안에 존재할 때 사용하는 기술입니다. 마치 특정 사무실을 감시하기 위해 CCTV 카메라를 설치하고, 그 영상을 같은 건물 1층의 경비실 모니터로 끌어오는 것과 같은 원리입니다.
SPAN을 설정할 때 가장 먼저 이해해야 할 핵심 개념은 트래픽의 '방향성'입니다. 스위치 포트를 기준으로 데이터가 들어오는 방향을 Inbound(Rx), 나가는 방향을 Outbound(Tx)라고 합니다. SPAN 설정 시 엔지니어는 Rx만 복사할지, Tx만 복사할지, 아니면 양방향(Both)을 모두 복사할지 섬세하게 지정할 수 있습니다. 일반적으로는 양방향 트래픽 흐름을 모두 보아야 완벽한 세션 분석이 가능하므로 'Both' 옵션을 주로 사용합니다.
예를 들어, 현재 원인을 알 수 없는 장애를 겪고 있는 핵심 데이터베이스 서버가 스위치의 GigabitEthernet 1/0/10 포트에 연결되어 있고, 엔지니어의 와이어샤크 노트북이 GigabitEthernet 1/0/24 포트에 연결되어 있다고 가정해 보겠습니다. 이 상황을 해결하기 위한 실무 명령어 설정은 다음과 같습니다.
Switch(config)# monitor session 1 source interface gigabitEthernet 1/0/10 both
Switch(config)# monitor session 1 destination interface gigabitEthernet 1/0/24
위의 설정에서 monitor session 1은 이 미러링 작업의 고유 번호(ID)를 의미하며, 소스와 데스티네이션 포트를 하나의 그룹으로 묶어주는 역할을 합니다. 설정을 적용하는 즉시 10번 포트를 드나드는 서버의 모든 트래픽이 24번 포트로 실시간 복사되어 쏟아지게 됩니다.
여기서 실무자가 절대 잊지 말아야 할 매우 중요한 사실이 있습니다. Destination 포트로 지정된 24번 포트는 그 순간부터 오직 '미러링 된 패킷을 뱉어내는 용도'로만 동작하게 됩니다. 즉, 일반적인 네트워크 통신 기능(인터넷 검색, 핑 테스트 등)을 완전히 상실하게 되므로, 분석용 노트북은 별도의 USB 랜카드 등을 이용해 원격 접속용 망을 따로 구성해 두는 것이 현명합니다. 작업을 모두 마치고 나면 반드시 no monitor session 1 명령어를 입력하여 설정을 해제해야 데스티네이션 포트가 원래의 일반 통신 포트로 돌아옵니다.
3. 멀티 스위치 환경의 구원자, RSPAN (Remote SPAN) 완벽 해부
Local SPAN은 직관적이고 훌륭한 기능이지만, 대규모 기업망 인프라에서는 커다란 제약에 부딪힙니다. 장애가 발생한 서버는 전산실 랙(Rack) 안의 코어 스위치에 물려 있는데, 분석을 수행해야 할 보안 장비나 엔지니어의 자리는 5층 사무실의 액세스 스위치에 물려 있는 경우가 허다하기 때문입니다. 물리적으로 서로 다른 스위치 장비 간에 미러링 데이터를 넘겨주어야 할 때 도입하는 진보된 기술이 바로 RSPAN(Remote SPAN)입니다.
RSPAN의 동작 철학은 기발합니다. 복사된 트래픽을 담아서 목적지 스위치까지 안전하게 배달하기 위해 '오직 RSPAN만을 위한 전용 가상 트럭(VLAN)'을 하나 생성하는 것입니다. 이를 RSPAN VLAN이라고 부릅니다. 이 전용 VLAN은 트렁크(Trunk) 링크를 타고 스위치와 스위치 사이를 자유롭게 이동하며 복사된 패킷을 전달합니다.
설정은 트래픽을 복사해서 보내는 '출발지 스위치(Source Switch)'와 이를 넘겨받는 '목적지 스위치(Destination Switch)' 양쪽에서 모두 이루어져야 합니다. 먼저 트렁크 구간으로 연결된 양쪽 스위치에 공통으로 사용할 RSPAN 전용 VLAN(예: VLAN 900)을 생성해 줍니다. 일반 VLAN과 달리 remote-span이라는 특수한 속성을 부여해야 합니다.
Switch(config)# vlan 900
Switch(config-vlan)# remote-span
Switch(config-vlan)# name RSPAN_VLAN
다음으로 서버가 연결된 출발지 스위치에서의 설정입니다. 앞서 살펴본 Local SPAN과 달리 데스티네이션을 물리적 포트가 아닌 방금 만든 가상의 RSPAN VLAN으로 지정하여, 복사된 트래픽을 트럭에 태워 보냅니다.
Source_Switch(config)# monitor session 1 source interface gigabitEthernet 1/0/10 both
Source_Switch(config)# monitor session 1 destination remote vlan 900
마지막으로 분석용 노트북이 연결된 목적지 스위치에서의 설정입니다. 트렁크를 타고 넘어온 RSPAN VLAN(900번) 안의 트래픽을 소스로 잡고, 이를 엔지니어가 물리적으로 꽂혀 있는 24번 포트로 쏟아내도록 설정합니다.
Dest_Switch(config)# monitor session 1 source remote vlan 900
Dest_Switch(config)# monitor session 1 destination interface gigabitEthernet 1/0/24
이처럼 RSPAN을 적절히 활용하면, 물리적인 위치에 구애받지 않고 사내망 어디에서든 원하는 포트나 특정 VLAN의 트래픽을 유연하게 수집하여 심층적인 트러블슈팅을 진행할 수 있습니다.
4. 시니어 엔지니어의 실무 노하우: 대역폭 초과(Oversubscription)와 장비 부하
SPAN과 RSPAN은 네트워크 가시성을 확보하는 마법 같은 도구지만, 그 이면에는 엔지니어가 반드시 통제해야 할 무서운 함정이 숨어 있습니다. 가장 주의해야 할 문제는 바로 물리적인 포트의 대역폭 한계를 초과하는 오버서브스크립션(Oversubscription) 현상입니다.
상식적으로 생각해 보겠습니다. 1Gbps 대역폭을 가진 포트의 양방향(Both) 트래픽을 모두 미러링하면, 이론상 최대 수신(Rx) 1Gbps와 송신(Tx) 1Gbps가 합쳐진 2Gbps의 트래픽이 복사될 수 있습니다. 그런데 이를 받아내는 Destination 포트 역시 1Gbps 포트라면 어떤 일이 발생할까요? 당연히 목적지 포트의 대역폭 한계를 초과하게 되고, 스위치의 ASIC 칩은 처리하지 못한 패킷들을 무자비하게 폐기(Drop)해 버립니다. 분석을 위해 캡처를 떴는데 정작 가장 중요한 에러 패킷이나 재전송(Retransmission) 패킷이 버려져서 원인 분석을 그르치는 치명적인 실수를 범하게 되는 것입니다.
이를 예방하기 위해 실무에서는 1G 포트를 미러링할 때 가급적 10G(TenGigabit) 포트를 Destination으로 지정하여 대역폭의 넉넉한 여유를 확보하는 것을 권장합니다. 만약 물리적인 환경상 그것이 불가능하다면, 무작정 전체 포트를 미러링하는 대신 특정 VLAN 대역만 타겟팅하는 VLAN 기반 미러링(VSPAN)을 사용하거나, 양방향(Both) 대신 현재 문제가 강하게 의심되는 단방향(Rx 또는 Tx) 트래픽만 선별하여 미러링하는 지혜가 필요합니다.
또한, RSPAN을 사용할 때는 막대한 양의 미러링 트래픽이 백본망의 트렁크(Trunk) 링크 대역폭을 고갈시키지 않도록 각별히 주의해야 합니다. 업무가 집중되는 낮 시간대(Peak Time)에 무분별하게 RSPAN을 걸었다가는, 기존의 정상적인 사내망 업무 트래픽까지 지연시키는 대형 2차 장애를 유발할 수 있습니다.
5. 마무리: 보이지 않는 흐름을 읽어내는 전문가의 시선
지금까지 네트워크 엔지니어의 필수 기술인 Cisco 스위치의 SPAN 및 RSPAN 설정 방법과 실무 환경에서의 주의사항에 대해 상세하게 알아보았습니다.
인터페이스에 표시되는 단순한 Up/Down 상태 표시등이나 시스템 로그 메시지만으로는 오늘날의 복잡다단한 네트워크 애플리케이션 장애를 모두 해결할 수 없습니다. 진정한 프로페셔널 엔지니어는 문제가 발생했을 때 망설임 없이 포트 미러링을 구성하고, 와이어샤크를 열어 0과 1로 이루어진 패킷의 심연 속으로 뛰어들어 논리적인 프로토콜의 흐름을 읽어낼 줄 알아야 합니다.
이 글에서 다룬 SPAN과 RSPAN의 동작 원리를 명확하게 이해하고 본인의 무기로 만든다면, 어떠한 기출 변형 장애가 발생하더라도 당황하지 않고 근본 원인을 색출해 내는 신뢰받는 엔지니어로 성장하실 수 있을 것입니다. 촘촘하게 설계된 포트 미러링 기술을 통해 여러분의 네트워크 인프라가 한층 더 투명하고 안정적으로 관리되기를 응원합니다.