같은 출발지 MAC이 짧은 시간에 두 포트에서 학습됩니다. 이동 단말과 브리지 루프를 어떻게 구분하나요?

두 포트에서 같은 출발지 MAC을 봤다는 사실은 위치 관측이 바뀌었다는 뜻일 뿐, 그 자체로 루프의 증거는 아닙니다. 먼저 시간과 링크 이벤트를 맞춥니다. 노트북이 포트 1에서 포트 3으로 실제 이동했다면 포트 1의 link down, 포트 3의 link up, 새 포트에서 한 번 학습된 뒤 안정되는 순서를 기대합니다. 반대로 09:00:00 포트 1, 09:00:01 포트 3, 09:00:02 포트 1처럼 짧은 양방향 반복이 나타나고 같은 VLAN의 broadcast·unknown-unicast가 함께 증가하면 브리지 루프나 이중 연결의 설명력이 커집니다.

확인 순서는 MAC 변화 시각 → VLAN → 양쪽 링크 상태 → 물리·가상 토폴로지 → STP/루프 방지 상태 → 트래픽 카운터입니다. 스위치 FDB가 최신 프레임을 따라 갱신되므로 반복 경로에서는 테이블이 흔들리고 중복 프레임이 보일 수 있습니다. 하지만 무선 브리지, 가상 스위치, NIC teaming은 설계상 여러 관측 경로를 만들 수 있습니다. 그래서 MAC flap 경고만 보고 즉시 포트를 차단하지 않고, ingress 캡처와 논리 포트 매핑을 대조한 뒤 영향 범위를 정해 격리합니다. IEEE 카탈로그가 이 현장의 원인을 자동 판정해 주는 것도 아니므로, 장비 로그와 구성·토폴로지를 함께 보존해야 합니다. 예를 들어 루프라면 두 포트의 ingress 프레임 수가 모두 증가하고 동일 broadcast가 반복되는 반면, 이동이라면 이전 포트의 수신 카운터가 끊기고 새 포트의 단말 트래픽만 남는 차이를 기대할 수 있습니다. 이 차이를 확인하기 전에는 STP 상태 한 줄만으로 데이터 경로를 재구성하지 않습니다.