NETWORK SECURITY / NETWORK SEGMENTATION
VLANとは？ネットワーク分割で守れる範囲と守れない範囲を図解｜ブロードキャスト・ACL・802.1Q
同じスイッチにつないだ40台のPCを、部署や用途ごとに分けたい。VLANなら配線を引き直さずに分割できます。しかし「分けたから絶対に通信できない」と考えると、思わぬ落とし穴があります。
1. なぜ部署ごとにネットワークを分けるのか
従業員のPC、経理部門のPC、会議室のゲスト端末が1台のスイッチに接続されているとしましょう。全てを同じLANに収容すると、同じブロードキャストドメインを共有します。ARP要求のようなブロードキャストは多数の端末に届き、不要な通信や情報露出の範囲が広がります。
そこでVLAN（Virtual LAN）を設定し、開発・経理・ゲストの端末を論理的に分けます。機器は同じでも、それぞれ別のL2ネットワークとして振る舞います。
2. ブロードキャストドメインとは
イーサネットのブロードキャストは宛先MACアドレスが ff:ff:ff:ff:ff:ff のフレームで、同一VLAN内の関連ポートへ転送されます。代表例はIPv4のARP要求です。端末が「192.168.10.15を持っているのは誰？」と問い合わせる際、同じVLANのほかの端末にも要求が届きます。
| 通信 | 基本的な宛先範囲 | 例 |
|---|---|---|
| ユニキャスト | 指定された相手 | 特定のPCへのTCP通信 |
| ブロードキャスト | 同一のL2ブロードキャストドメイン | IPv4のARP Request |
| マルチキャスト | 該当グループ（実装や制御に依存） | IPv6 Neighbor Discovery など |
VLANを10と20に分ければ、VLAN 10のARPブロードキャストが通常そのままVLAN 20に流れることはありません。VLANはIPアドレスそのものを暗号化したり、盗聴を完全に防止したりする機能ではない点は区別してください。
3. VLANの仕組みと基本構成
ポートベースVLANは、スイッチの物理ポートをVLAN IDに割り当ててグループを作ります。例えば1〜16番ポートをVLAN 10、17〜32番をVLAN 20、33〜40番をVLAN 30に割り当てます。同じスイッチでも、異なるVLANのL2フレームを通常直接交換しません。
VLAN IDとIPサブネットは別概念です。実務では管理しやすいように VLAN 10 = 192.168.10.0/24 のように1対1で設計することが一般的ですが、番号が同じであることに特別な通信上の意味はありません。
IEEE 802.1QではタグにVLAN識別子を含めて複数VLANのフレームを運べます。ポートベースVLANによる分割と802.1Qタグの利用は両立します。
4. 同一VLANと異なるVLANの通信
同一VLAN：スイッチのL2転送によって端末間で通信できます（プライベートVLAN、ポート分離、ACLなどの追加設定がない基本モデル）。ブロードキャストも同じVLANの範囲で届きます。
異なるVLAN：スイッチのL2転送だけでは到達できません。ただし、L3スイッチやルータが各VLANのゲートウェイを持ち、ルーティングを有効にしていれば、異なるVLANのIPユニキャスト通信が可能になります。
5. VLANのセキュリティ効果と限界
最も明確な利点は、ブロードキャストや通常のL2フレームの到達範囲を限定できることです。例えば経理LANのARP要求がゲストLANへ広がらないため、不要なアドレス情報の露出や通信量を減らせます。また、L3のアクセス制御を組み合わせる設計単位としても役立ちます。
ただし、VLAN IDを付けただけで端末の本人確認、マルウェア検知、暗号化、ICMP一律遮断が自動で実現するわけではありません。同じVLAN内の端末同士のリスクも残ります。
| 実現したいこと | 必要になる代表的な仕組み |
|---|---|
| ブロードキャスト範囲の分離 | VLAN |
| 経理LANへのアクセス制限 | VLAN間ACL / ファイアウォール |
| 無許可端末の接続制御 | 802.1X / NAC / ポートセキュリティ |
| 端末のマルウェア対策 | EDR・パッチ適用・最小権限など |
| 通信内容の秘匿 | TLS / IPsec等の暗号化 |
6. L3スイッチとACLの重要性
L3スイッチでは各VLANのSVI（Switch Virtual Interface）などにIPアドレスを設定し、VLAN間のルーティングを行えます。例えばVLAN 10のPCがVLAN 20のDBサーバへアクセスする際、通信はゲートウェイを経由します。この経路にACLを適用すれば、送信元・宛先・ポート番号などに応じたアクセス制限を設計できます。
# 以下はベンダ非依存の概念的なポリシー例（実機コマンドではありません）
ALLOW src=VLAN10 dst=VLAN20 proto=TCP port=443
DENY src=VLAN30 dst=VLAN20 proto=ANY
ALLOW src=VLAN30 dst=Internet proto=DNS,HTTP,HTTPS
# DNS/DHCP/NTPなど運用に必要な通信も別途検討するACLは設計・方向・適用場所によって挙動が変わるため、実機でテストしログを確認します。なお、L3スイッチがあるだけで全VLAN間通信が必ず通るわけではありません。ルーティング設定やACLが必要条件になります。
7. AccessポートとTrunkポート
Accessポート：通常、PCなどの端末を単一VLANへ所属させるポートです。端末側がタグを意識せず使える構成が一般的です。
Trunkポート：スイッチ同士やスイッチと仮想化ホストを接続し、複数VLANを802.1Qタグなどで運ぶポートです。通過を許可するVLANを絞り、ネイティブVLANの扱いを統一して誤設定を防ぐ必要があります。
VLAN番号を知っただけで通信できるわけではありませんが、誤って端末用ポートをTrunkにすると、本来分離していたVLANへ意図せず到達する設計ミスにつながります。
8. MAC・IPによる接続制御は別の機能
「VLANを設定するとMACアドレスを見て不正端末を自動的に拒否する」と誤解しがちです。ポートベースVLANが行うのは所属するL2グループの指定であり、端末認証ではありません。
接続端末を認証するなら802.1X、認可ポリシーを一元管理するならNAC、ポートで許可するMACアドレス数などを制限するならポートセキュリティなどを検討します。MACアドレスの単純な許可リストは偽装され得るため、強固な本人確認の代替にはなりません。
DHCP Snooping、Dynamic ARP Inspection、IP Source Guardなども、目的や対応機器に応じて組み合わせる関連対策です。
9. 実務でVLANを設計する際のチェックリスト
- 管理端末、業務端末、サーバ、IoT、ゲストなど、保護対象に応じて境界を定義する。
- VLAN ID、IPサブネット、ゲートウェイ、DHCPスコープを文書化する。
- VLAN間の通信要件を「誰から・どこへ・どのプロトコルで」に分解する。
- 許可する通信のみをACL/ファイアウォールに登録し、想定外の疎通を検証する。
- Trunkで許可するVLANと未使用ポートの設定を定期監査する。
- 管理プレーンを分離し、管理インターフェースのアクセスを制限する。
- VLANを唯一の防御線とせず、端末認証・EDR・ログ監視を併用する。
10. VLAN通信シミュレーション：変更して試してみよう
4台のPCの所属VLAN、L3ルーティングの有無、ACL、通信種別を変更すると、通信がどう扱われるかを確認できます。ブロードキャストはVLAN境界を越えず、異なるVLANのユニキャスト通信はルーティングとACLに左右されるという違いを体験してください。
VLAN通信判定ラボ
教育用の簡易モデルです。実機のスイッチ・ネットワークには接続しません。
① 端末をVLANに割り当てる
💻 開発PC-1
192.168.10.11
💻 開発PC-2
192.168.10.12
💻 経理PC
192.168.20.21
💻 ゲストPC
192.168.30.31
② L3スイッチの設定を選ぶ
③ 送信元・宛先・通信の種類を選ぶ
送信元はVLAN 10、宛先はVLAN 20。L2ブロードキャストは通常VLANの境界を越えません。
理解度チェック
VLAN 10とVLAN 20を分けたあと、L3スイッチでルーティングを有効にすると、どうなるでしょうか？
モデルの前提：各VLANに別のIPサブネット、端末のゲートウェイは正常、同一VLANの端末間分離はなし、通常のL2ブロードキャストはルーティングされない、ACLはゲストから他VLANへの送信のみ拒否。ICMPもIP通信として判定しています。実機ではARPキャッシュ、スイッチ設定、ホストFW、その他の制御によって結果が変わります。
11. よくある誤解
12. まとめ
VLANは、1台の物理スイッチでも複数の論理的なL2セグメントを作り、ブロードキャストの到達範囲を制限できる技術です。これにより、不要なアドレス情報の露出やブロードキャストの拡散を抑えられます。
一方、VLAN間のIP通信はルータやL3スイッチで可能になり、実効的なアクセス制御にはACLやファイアウォールが必要です。端末認証・暗号化・マルウェア防御もVLANとは別に設計しましょう。