- VLANは物理ネットワークを分離された論理ネットワークに分割することで、ブロードキャストトラフィックを削減し、パフォーマンスを向上させます。
- アクセスポート、トランクポート、ネイティブVLANを正しく使用することは、VLANホッピング攻撃やスイッチスプーフィング攻撃を防ぐ上で重要です。
- VLAN間ルーティングには、誰と誰が通信できるかを正確に制御するACLまたはファイアウォールを必ず併用する必要があります。
- VACL、PVLAN、および未使用ポートの厳格な管理は、複雑な企業ネットワークにおけるセキュリティと制御を強化します。
企業ネットワークを管理している方なら、すべてを迅速かつ安全に稼働させ続けることが容易ではないことをご存知でしょう。チーム、サービス、アプリケーションが拡大するにつれて、ブロードキャスト、ボトルネック、セキュリティ問題が至るところで発生し始めます。
この混沌とした状況に秩序をもたらす最も強力なツールの1つが、VLAN（仮想LAN）です。適切に設計・設定されたVLANは、ネットワークのセグメント化、不要なトラフィックの削減、部門の分離、重要なサービスの保護を可能にします。しかし、実装が不十分だと、セキュリティ上の脆弱性や管理上の悪夢となってしまう可能性があります。
VLANとは一体何なのか、そしてセキュリティにおいてなぜ重要なのか？
VLANとは、基本的に同じ物理インフラストラクチャ（同じスイッチ、同じケーブル、同じWi-Fiアクセスポイント）上で動作する、独立した論理ネットワークです。論理的には、VLAN上のデバイスは、たとえ異なるフロアや異なる建物に設置されていても、あたかも別のLAN上にあるかのように動作します。
これにより、PC、サーバー、IP電話、プリンター、IPカメラなどのグループが、他のグループから隔離された独自のブロードキャストドメインを形成できます。ブロードキャストパケットとマルチキャストパケットは、ネットワーク全体に拡散するのではなく、それぞれのVLAN内に留まるため、パフォーマンスが向上し、誰が誰を見ることができるかをより簡単に制御できます。
ビジネス環境では、部門別（経理、エンジニアリング、マーケティングなど）、管理トラフィックの分離、音声トラフィック、ゲストトラフィック、IoTトラフィック、さらには専用のバックアップVLANなど、さまざまな用途でVLANを作成するのが一般的です。それぞれのVLANには、独自のルーティング、セキュリティ、およびサービス品質（QoS）ルールが適用されます。
さらに、VLANはセグメンテーションとゼロトラスト戦略の重要な要素です。ネットワークはもはや「完全に信頼できる」とはみなされず、攻撃対象領域が明確に定義されます。1つのVLANで障害や感染が発生しても、ドミノ倒しのように組織全体が崩壊するような事態は避けられます。
基本概念：アクセスポート、トランク、ネイティブVLAN
VLANの設定とセキュリティを完全に理解するには、アクセスポート、トランクポート、ネイティブVLANという3つの概念が不可欠です。これらの3つの概念をマスターすれば、他のすべてがはるかに容易になります。
アクセスポートとは、単一のVLANからエンドデバイス（PC、プリンター、IPカメラ、電話など）へトラフィックを転送するスイッチポートのことです。トラフィックはスイッチを出てデバイスに到達する際、 802.1Qタグは付加されません。スイッチ内部では、デバイスがどのVLANに属しているかは認識できますが、デバイス側ではタグは表示されません。
トランクポートとは、ネットワーク機器間（スイッチ間、スイッチ-ルーター間、スイッチ-アクセスポイント間など）で複数のVLANが同時に伝送されるリンクのことです。この場合、フレームには所属するVLANを示す802.1Qタグが付加されます。これにより、VLANをトポロジー全体に拡張し、複数の論理ネットワークを同じ物理リンク上で伝送することが可能になります。
ネイティブVLANとは、802.1Qリンク上でタグなしトラフィックに使用されるVLANです。タグなしでトランクポートに入ってくるすべてのフレームは、このネイティブVLANに割り当てられます。多くのデバイスでは、デフォルトではVLAN 1に設定されていますが、この設定を変更しないとセキュリティ上の問題が発生します。
VLANを用いたネットワークアーキテクチャと設計
中規模および大規模ネットワークでは、コア、ディストリビューション、アクセスという3層トポロジーが一般的に用いられます。各層にはそれぞれ固有の役割があり、これらの層をVLANとどのように組み合わせるかは、実用上非常に重要です。
アクセス層は、ユーザーとエンドデバイスを直接接続するスイッチで構成されます。これらのスイッチは最も多くのアクセスポートを備えており、ユーザー、音声、IoT、その他のVLANのほとんどがここで定義されます。そのため、ポート割り当てや物理的なセキュリティ対策（不正なケーブル接続の防止など）に最も注意を払う必要があります。
ディストリビューション層は、複数のアクセススイッチからのトラフィックを集約するスイッチで構成されます。通常、VLAN間のルーティング、より詳細なACLの適用、光ファイバーリンクの終端、リンク（EtherChannel）の追加、およびより高度なポリシー（QoS、ストーム制御など）の実装が行われる場所です。
コア層には、配線リンクとインターネットまたは外部ネットワークへのゲートウェイが配置されます。非常に大規模なネットワークでは、遅延と複雑さを軽減するために、コア層は通常、高速スイッチングのみを処理し、その他の機能はごくわずかしか持ちません。
VLANを使用したネットワークを設計する際には、まず必要な論理グループ（機能、重要度、信頼レベルなど）を定義し、次にそれを適切に計画されたIPスキーム（サブネット、マスク、VLSM、動的および静的範囲）と各スイッチ上のポートの明確な割り当てに実装することが推奨されます。
VLANの種類と一般的な用途
トランクリンク上のフレームにタグ付けするための最も一般的な規格はIEEE 802.1Qです。これは、VLAN IDやその他のフィールドを含む4バイトをイーサネットヘッダーに追加することで、スイッチがフレーム全体をカプセル化することなく、各フレームがどのVLANに属するかを正確に把握できるようにします。
スイッチで802.1Qを使用してVLANを設定する場合、各ポートを特定のVLANに対してタグ付きまたはタグなしとしてマークできます。ポートは複数のVLANでタグ付きにできますが（トランクポートの場合が一般的）、タグなしにできるのはそのうちの1つだけです（アクセスポートの場合、エンドデバイスが認識するVLAN）。
標準的な802.1QベースのVLANに加え、企業環境では他にも様々な方式が一般的に用いられています。例えば、ポートベースVLAN、MACベースVLAN、管理VLAN、制御VLAN、カスタムネイティブVLAN、ハイブリッドVLAN、そして数百万もの論理ネットワークが必要とされるデータセンターやクラウド環境ではVXLANも使用されています。高度な割り当てとセキュリティを実現する802.1Xや動的VLANといった技術も検討すべきでしょう。
管理VLANは、スイッチ、ルーター、アクセスポイント、ファイアウォール、監視システムへの管理アクセス専用です。通常、独自のIPサブネットと、アクセス権限を制限する厳格なアクセス制御リスト（ACL）を備えています。ユーザーと同じVLANからデバイスを管理することは、非常に危険です。
いわゆる制御VLANは、STP、ルーティングプロトコル、CDP、LLDP、VTPなどの内部ネットワークプロトコルトラフィック専用です。このトラフィックをデータトラフィックや管理トラフィックから分離することで、ノイズが低減され、安定性が向上し、特定のセキュリティ対策を適用することが可能になります。
VLAN 1、ネイティブVLAN、そしてそれらがセキュリティ上の問題となる理由
ほとんどのスイッチでは、VLAN 1がすべてのポートのデフォルトかつネイティブなVLANとして設定されています。つまり、この設定を変更しない限り、トランクに入ってくるタグなしトラフィックはすべてVLAN 1にルーティングされ、すべてのポートがVLAN 1の一部とみなされます。
問題は、ある程度知識のある攻撃者なら誰でもこのことを知っているということだ。VLAN 1は、 VLANホッピング、スイッチスプーフィング、およびデフォルト設定を悪用して他のVLANに侵入するその他の攻撃の主要な標的となる。
例えば、スイッチスプーフィング攻撃では、攻撃者はDTPがダイナミックモードでアクティブになっているポートに自分のデバイスを接続し、スイッチとの間でトランクリンクを確立することで、ホストに到達するはずのない複数のVLANへのアクセス権を取得します。
ダブルタギング攻撃では、ネイティブVLANがタグなしで伝送されるという事実を利用して、同じフレーム内に2つの802.1Qタグを混在させ、セキュリティの弱いトランクを介してあるVLANから別のVLANへジャンプしようとします。
これらの理由から、現在のセキュリティに関する推奨事項は明確です。VLAN 1をユーザー向けに使用しないこと、トランクのネイティブVLANとして残さないこと、管理IPアドレスを割り当てないこと、そして可能であれば、本番トラフィックを伝送しないように分離またはフィルタリングすることです。
港湾設計と割り当てに関するベストプラクティス
VLANを設定する際の重要な決定事項の一つは、各VLANにスイッチポートをどのように割り当てるか、そして未使用のポートをどう処理するかです。一見些細なことのように思えますが、パフォーマンスとセキュリティの両方に大きく影響します。
アクセスポートでは、常に1つのVLAN（そのユーザーまたはデバイス用のVLAN）のみをタグなしで残し、残りは除外設定にしておくのが良いでしょう。こうすることで、たとえ誰かが誤って設定を変更した場合でも、インターフェースが自身に属さないVLANを「認識」することを防ぐことができます。
トランクリンクでは、ネットワークからすべてのVLANを渡すのではなく、許可するVLANを明示的に設定することをお勧めします（例：`switchport trunk allowed vlan 10, 20, 99`）。各トランクは、実際に必要なVLANのみを伝送するようにしてください。
未使用のポートについては、最も安全な方法として、ポートをシャットダウンし、ゲートウェイやDHCPのない「ブラックホール」VLANに割り当て、トランクポートとしてマークされていないこと、およびDTPが有効になっていないことを確認することです。これにより、誰かがデバイスを接続して突然本番ネットワークに現れることを防ぐことができます。
ポート数の多い環境では、各インターフェースに接続されている機器を詳細に記録し、ケーブルにラベルを付け、配線図を常に最新の状態に保つことが不可欠です。VLAN接続の問題の多くは、ケーブルを移動しただけでドキュメントを更新しなかったことが原因です。配線ガイドは、こうしたエラーを防ぐのに役立ちます。
「非出口」VLANと未使用ポート
空きポートを保護するためのシンプルで非常に効果的な手法は、「出力なし」VLAN、つまりDHCP、ルーティング、およびサービスを持たないVLANを作成し、使用されていないすべてのアクセスポートをそのVLANに配置することです。
つまり、誰かがこれらのポートのいずれかにデバイスを接続したとしても、そのホストはIPアドレスを取得できず、ゲートウェイも持たず、他のデバイスにアクセスできず、そのトラフィックは完全に隔離されたままになるという仕組みです。いわばネットワーク上の宙ぶらりんの状態です。
多くの環境では、 VLAN 777、999、4094などの識別可能なIDがこの目的で使用されます。スイッチは、これらのポートから他のすべてのVLANを除外するように構成され、そのVLANに対してレイヤ3インターフェイスは定義されておらず、どのルータでもアドバタイズされていません。
さらに、すべてのアクセスポートでdTPをswitchport nonegotiateで無効にすることをお勧めします。これにより、アクセスポートがネイバーとのネゴシエーションによって自動的にトランクポートになろうとすることがなくなります。
音声、データ、および特殊機器用のVLAN
IP電話と音声トラフィックを含むネットワークでは、音声トラフィックをPCのVLANとは別の特定のVLANに分離するのが一般的です。その理由は、サービス品質要件とセキュリティという2つです。
音声トラフィックは、遅延、ジッター、パケット損失に非常に敏感です。大量のダウンロード、ビデオストリーミング、バックアップなどと無差別に混在すると、通話品質は急速に低下します。音声トラフィックをVLANに分離することで、QoSによる優先順位付けや、より精度の高いポリシーの適用が可能になります。
さらに、IP電話は通常、独自のVLANタグ付け機能（802.1Q）を備えています。IP電話はPCとカスケード接続され、ネットワークへのポートはトランクポート（タグ付き音声、タグなしデータ）として機能し、PCへのポートはアクセスポートとして機能します。そのため、セキュリティ上の脆弱性を回避するには、より精密なポート設定が必要となります。
IoTデバイス、ホームオートメーションシステム、IPカメラ、テレビ、スマートプラグなどは、それぞれ専用のVLANに分離することをお勧めします。これらのデバイスはセキュリティが脆弱であったり、ファームウェアのメンテナンスが不十分な場合が多いため、管理用PCや重要なサーバーと同じ論理ネットワークに接続しない方が賢明です。
Wi-Fiの世界では、ほとんどの業務用アクセスポイントで、各VLANにSSIDを関連付けることができます。これにより、有線ネットワークのセグメンテーションが無線ネットワークにも拡張され、管理VLAN、企業VLAN、IoT VLAN、ゲストVLANなど、それぞれ独自のSSIDとルールを持つVLANを構築できます。
VLAN、ACL、ファイアウォール間のルーティング
設計上、VLANはレイヤ2レベルでは互いに「認識」できません。異なるVLAN上のデバイス間で通信を行うには、レイヤ3レベルまで進む必要があります。つまり、VLAN間ルーティングを行う必要があるのです。これは通常、ルーター、ファイアウォール、またはレイヤ3スイッチで行われます。
主なアプローチは2つあります。1つ目は、スイッチバックボーンに接続された802.1Q対応のルーターまたはファイアウォールを使用する方法です。ルーターはサブインターフェース（VLANごとに1つ）を作成し、それらにIPアドレスを割り当て、ゲートウェイとして機能します。さらに、ファイアウォールは、誰が誰と通信できるかについて、きめ細かなルールを適用します。
2つ目の方法は、ディストリビューション層またはコア層にレイヤ3マネージドスイッチを使用することです。このスイッチ上にVLANインターフェイス（SVI）を作成し、各サブネットのゲートウェイとして機能させます。スイッチ自体が内部ルーティングと対応するACLを処理するため、エッジルーターの負荷が軽減されます。
どちらの場合も、このルーティングにはアクセス制御リスト（ACL）または厳格なファイアウォールルールを併用することが不可欠です。VLAN間にIPパスが存在するからといって、すべてのトラフィックを許可すべきではありません。フィルタリングは、送信元、宛先、ポート、プロトコル、および接続方向に基づいて行う必要があります。
典型的な例としては、ゲスト VLAN はインターネットにのみアクセスでき、IoT VLAN は特定のサーバー (NTP、syslog、MQTT ブローカーなど) とのみ通信でき、学生 VLAN は管理 VLAN にアクセスできず、バックアップ VLAN はバックアップ サーバーへの接続のみを開始できる、などです。
VLAN管理プロトコル：VTPと関連
多数のスイッチが存在する大規模ネットワークでは、各デバイスでVLANを手動で作成するのは非現実的で、エラーが発生しやすくなります。そのため、 CiscoのエコシステムにおけるVTP（VLAN Trunking Protocol）などのプロトコルでは、VLANリストを一元的に配布することが可能です。
VTPは、スイッチの動作モードとして、サーバー、クライアント、トランスペアレントの3つを定義しています。サーバーはVLANの作成、名前変更、削除を行い、同じドメイン内のクライアントにこの情報を送信します。クライアントは変更を受信して適用しますが、変更は行いません。トランスペアレントクライアントはVLANデータベースを処理せず、情報を再送信するだけです。
こうしたプロトコルは作業を大幅に簡素化してくれるが、注意点もある。サーバースイッチのエラー、VTPパスワードの管理不備、あるいは古いデータベースを搭載した古いスイッチがネットワークに再導入された場合、組織全体のVLAN構成が突然破壊される可能性がある。
そのため、現在の多くの設計では、VTPを透過モードで使用するか、まったく使用せず、自動化ツール（Ansible、テンプレート、集中型コントローラなど）を使用してVLANを管理するか、より静的で制御された設計を採用することが好まれています。
高度なセキュリティ：VACL、PVLAN、および攻撃対策
ネットワークが拡大し、重要度が高まるにつれて、VLANだけでは不十分になります。VLAN内でトラフィックをより細かく制御するには、VACL（VLAN ACLまたはVLANマップ）を使用することで、特定のインターフェースだけでなく、VLANレベルでトラフィックをフィルタリングまたはリダイレクトできます。
VACLは、IPまたはMACアクセスリストを使用するVLANごとのアクセスマップを定義することで設定され、一致するトラフィックに対してどのような処理（通過させる、ブロックする、監視ポートに送信する、リダイレクトするなど）を行うかを指定します。その後、VACLはスイッチ上の1つまたは複数のVLANにグローバルに適用されます。
同一サブネット内のホストを分離したい場合は、プライベートVLAN（PVLAN）を使用します。PVLANは、通常ゲートウェイが配置されるプライマリVLANから始まり、分離型とコミュニティ型の2種類のセカンダリVLANを作成します。
分離型セカンダリVLANでは、各ホストはゲートウェイのみを認識できますが、同じ分離型セカンダリVLAN上にある他のホストは認識できません。コミュニティ型セカンダリVLANでは、ホストのグループが互いに、そしてゲートウェイを認識できますが、同じプライマリVLAN上の他のグループは認識できません。
具体的な攻撃対策としては、VLAN 1とDTPについて既に説明したことに加え、ダブルタギングによるVLANホッピング対策が重要です。そのためには、ネイティブVLANをホストが使用していないVLANに変更し、可能であればトランクからネイティブVLANを削除し、DTPを無効にし、ポートをアクセスポートまたはトランクポートとして明示的に定義し、ネイティブVLANが常にタグ付けされるようにコマンドを使用して、タグなしトラフィックを破棄することをお勧めします。
VLANを使用したネットワークの診断と保守
VLANを使ったネットワークの構築は作業の半分に過ぎません。残りの半分は、ネットワークの維持管理と、問題発生時のトラブルシューティングを、ストレスなく行うことです。VLAN接続に関する一般的な問題には、共通の原因が数多く存在します。具体的な手順やガイドについては、ネットワークトラブルシューティングに関する資料を参照してください。
一方、物理的なエラーも存在します。例えば、ドキュメントを更新せずにケーブルをあるポートから別のポートに移動したり、トランクポートであるべき場所にアクセスポートとして設定されていたり、あるいはその逆であったり、STPが適切に調整されていない場合にループで終わる冗長リンクの定義が不十分であったりします。
一方で、論理的な障害も発生します。例えば、一部のスイッチではVLANが作成されているのに他のスイッチでは作成されていない、トランク上で許可されているVLANリストの設定が間違っている、DHCP範囲がマスクと一致しない、エンドデバイスでゲートウェイの設定が間違っている、といったケースです。
主要な診断ツールは、show vlan、show interfaces trunk、show spanning-tree、show ip interface brief、ping、tracerouteなどの一般的なコマンドです。これらを特定のポートでのトラフィックキャプチャと優れた監視システムと組み合わせることで、非常に役立ちます。
プロジェクトの変更、拡張、または移行後に、 ACL、ファイアウォールルール、PVLAN、VACL、および管理構成に抜け穴がないことを確認するために、定期的に見直しを行うことをお勧めします。
明確なドキュメント（VLAN構成、IPアドレス範囲、ポート割り当て、VLAN間アクセスポリシーの説明など）と厳密な変更ログは、設定コマンドそのものとほぼ同じくらい重要です。
綿密に計画されたセグメンテーション、適切なラベル付けされたVLAN、慎重なネイティブVLAN管理、ACLで保護されたVLAN間ルーティング、そして一貫したメンテナンス習慣により、企業ネットワークは物理インフラストラクチャ全体を再構築することなく、セキュリティ、パフォーマンス、および制御において大幅な向上を実現できます。
