2.3スイッチングとVLAN

オフィスや事業所のネットワークを設計する際、「部署ごとに通信を分離したいが、配線や機材は共有したい」という要求は非常に一般的です。VLANはこの要求に物理的な配線変更なしで応える仕組みですが、VLANをどう設計し、部署間の通信をどう実現するかは設計者の判断が問われる部分です。この節では、VLANの基本的な仕組みから、複数VLANをまたぐ通信をどう成立させるかという実務判断まで学びます。

2.3.1VLANの基礎とタグVLAN（IEEE802.1Q）

• VLAN（仮想LAN）＝1台の物理スイッチを論理的に複数のブロードキャストドメインへ分割する技術。同一VLAN内は同じセグメントとして通信できるが、異なるVLAN間はデフォルトで通信できない（＝部署間の通信を意図的に遮断できるセキュリティ効果もある）。
• タグVLAN（IEEE802.1Q）＝1本の物理リンク（トランクリンク）上で複数VLANのフレームを区別して運ぶために、イーサネットフレームにVLAN ID（12ビット・最大4094）を埋め込むタグを付加する規格。スイッチ間を接続するリンクを1本に集約しながら複数VLANの通信を維持できる。

2.3.2トランクポートとアクセスポート

• アクセスポート＝1つのVLANにのみ所属し、タグなしのフレームを送受信するポート。PCやプリンタなどエンドホストが直接接続されるポートで使う（ホスト側は802.1Qタグの存在を意識する必要がない）。
• トランクポート＝複数VLANのタグ付きフレームを1本のリンクで運ぶポート。スイッチ同士やスイッチ-ルータ間の接続に使い、フレームにVLAN IDタグを付加した状態で送受信する。誤ってアクセスポートとして設定すると意図しないVLANの遮断や漏えいが起きる。

2.3.3VLAN間ルーティングとL3スイッチ

• VLANは異なるセグメント同士を分離する仕組みなので、VLANをまたぐ通信にはルーティング（VLAN間ルーティング）が必須。伝統的な方法は、ルータの1つの物理インタフェースにトランクを接続し、論理的に複数のサブインタフェース（各VLANに1つ）を作って中継するRouter on a Stick方式。
• L3スイッチ＝スイッチング機能（L2）とルーティング機能（L3）を1台に統合した機器。VLANごとにSVI（スイッチ仮想インタフェース）というルーティング用の論理インタフェースを持ち、外部ルータを介さずスイッチ内部でVLAN間ルーティングを高速に処理できる（ワイヤスピードに近い性能）。大規模・高トラフィックの環境ではRouter on a StickよりL3スイッチが好まれる。

ある企業の新オフィスで、営業部（VLAN10）・開発部（VLAN20）・ゲスト用Wi-Fi（VLAN30）の3つを部署ごとに分離したいという要件があります。まず各部署のPCが接続されるスイッチのポートは、それぞれの部署のVLANのみに所属するアクセスポートとして設定します——PC側は802.1Qのタグを意識する必要がないためです。次に、複数のスイッチ間を接続するリンクはトランクポートとして設定し、IEEE802.1Qのタグを使って3つのVLANのフレームを1本の物理リンクで運びます。ここで「ゲスト用Wi-FiのVLAN30だけは絶対に社内の他のVLANと通信させたくない」という追加要件が出た場合、VLAN間ルーティングを設定する中央のL3スイッチ側で、VLAN30のSVIに対してアクセス制御リスト（ACL）を適用し、VLAN10・VLAN20宛の通信を明示的に拒否するという設計が必要です（VLANを分離しただけではルーティングが有効になった時点で通信可能になってしまうため）。さらに、営業部と開発部の間で日常的に大容量のファイル共有が発生し、中央のL3スイッチとアクセススイッチ間の1本のリンクが帯域のボトルネックになっているという問題が判明した場合、物理リンクを2本に増設した上でリンクアグリゲーション（LACP）により論理的に1本の高帯域リンクとして束ね、STPによる片方の遮断を回避しつつ帯域を倍増させ、さらに1本が切れても残り1本で通信を継続できる冗長性も同時に確保するという設計判断が適切です。

2.3.4この節のまとめ

• VLANは1台のスイッチを論理分割、異なるVLAN間はデフォルトで通信不可（ルーティングが必要）
• アクセスポート＝1VLAN・タグなし（エンドホスト用）、トランクポート＝複数VLAN・IEEE802.1Qタグ（スイッチ間用）
• L3スイッチはSVIでVLAN間ルーティングを内部処理、リンクアグリゲーション（LACP）は複数リンクを束ねて帯域と冗長性を両立