VLANとは、1台のスイッチを論理的に複数のネットワークへ分割する技術です。物理的には同じスイッチにつながっていても、VLANが異なる機器同士は直接通信できません。部署ごとにネットワークを分けたい、ゲスト用のWi-Fiを社内ネットワークから隔離したい——こうした要望を、スイッチを買い増すことなく実現できます。

はじめに

入門編「スイッチングハブ」で、スイッチはMACアドレスを学習して宛先のポートだけにデータを届けると学びました。ただしこれは「同じネットワーク内での話」です。

では「同じスイッチにつながっているけれど、別のネットワークとして扱いたい」という場合はどうすればよいのでしょうか。その答えがVLANです。

VLANが必要になる場面

会社のオフィスを想像してください。営業部・開発部・経理部の3つの部署が同じフロアにあり、全員が同じスイッチにつながっています。

このままでは、すべての機器が同じネットワークに属することになります。経理部が扱う給与データのファイルサーバーへ、営業部のパソコンからもアクセスできてしまう状態です。

部署ごとにネットワークを分けたい場合、単純に考えると 部署の数だけスイッチを用意する ことになります。しかしこの方法にはいくつもの問題があります。

• スイッチの購入費用がかさむ
• 設置スペースが必要になる
• 部署の人数が変わるたびに配線をやり直す必要がある
• 空きポートが多いスイッチと足りないスイッチが混在して無駄が出る

こうした問題を解決するのが VLAN です。

VLANの基本的な仕組み

VLANでは、スイッチの各ポートに「このポートはVLAN 10」「このポートはVLAN 20」といった VLAN ID を割り当てます。同じVLAN IDが設定されたポート同士は通信できますが、異なるVLAN IDのポートとは直接通信できません。

図：1台のスイッチをVLANで2つのネットワークに分割する

物理的には1台のスイッチですが、動作としては2台の独立したスイッチが存在するのと同じ状態になります。「バーチャル（仮想の）LAN」と呼ばれるのはこのためです。

ブロードキャストドメインの分割

VLANのもう1つの重要な効果が ブロードキャストドメインの分割 です。

MACアドレスの記事で学んだブロードキャストは、同じネットワーク内の全機器へ一斉に送られる通信です。この「ブロードキャストが届く範囲」を ブロードキャストドメイン といいます。

VLANを設定していないスイッチでは、1台のスイッチにつながる全機器が1つのブロードキャストドメインを共有します。機器の台数が増えるほどブロードキャストの量も増え、ネットワーク全体の効率が下がります。

VLANでネットワークを分割すると、ブロードキャストドメインもVLANごとに分かれます。VLAN 10で発生したブロードキャストはVLAN 20には届きません。台数が多い環境ほど、この効果は大きくなります。

ポートVLANとタグVLAN

VLANの実現方法には大きく2種類あります。

ポートVLAN（ポートベースVLAN）

スイッチの各ポートに、あらかじめVLAN IDを固定で割り当てる方式です。「ポート1〜8はVLAN 10、ポート9〜16はVLAN 20」というように設定します。

設定がシンプルでわかりやすく、小規模なネットワークで広く使われています。ただし、1つのポートは1つのVLANにしか所属できません。

タグVLAN（IEEE 802.1Q）

1本のケーブルで複数のVLANの通信をまとめて流せる方式です。パケットに VLANタグ という4バイトの情報を追加し、「このパケットはVLAN 10のもの」と印を付けて送ります。

受け取ったスイッチはタグを見て「これはVLAN 10宛て」と判断し、対応するポートへ転送します。この規格は IEEE 802.1Q として標準化されています。

トランクポート ― 複数のVLANをまとめて運ぶ

タグVLANが特に活躍するのが、スイッチ同士を接続する場面です。

たとえば1階と2階にそれぞれスイッチがあり、どちらのフロアにも営業部（VLAN 10）と開発部（VLAN 20）の席があるとします。ポートVLANだけで実現しようとすると、スイッチ間にVLANの数だけケーブルが必要になります。

タグVLANを使えば、1本のケーブルで複数のVLANの通信をまとめて流せます。このように複数のVLANの通信を運ぶポートを トランクポート といいます。

図：トランクポートで複数のVLANを1本のケーブルにまとめる

VLAN同士を通信させるには

VLANで分割したネットワーク同士は、そのままでは通信できません。しかし「基本的には分けておきたいが、共通のファイルサーバーには全部署からアクセスさせたい」という場面もあります。

異なるVLAN間の通信を実現するには、入門編「ルーター」で学んだルーターが必要です。VLANは異なるネットワークとして扱われるため、ネットワーク間の通信を担うルーターを経由することになります。

この仕組みは「VLAN間ルーティング」と呼ばれます。ルーターを使う方法のほか、ルーティング機能を内蔵した レイヤ3スイッチ を使う方法もあります。詳細はルーティングの記事で扱います。

VLANの主なメリット

VLANを導入することで得られるメリットを整理します。

①セキュリティの向上

部署ごとにネットワークを分離することで、他部署の機密データへのアクセスを防げます。ゲスト用Wi-Fiを社内ネットワークから隔離するのも典型的な使い方です。

②ブロードキャストの抑制

ブロードキャストドメインが分割されるため、不要な通信がネットワーク全体に広がりません。機器の台数が多い環境ほど効果的です。

③物理配線からの独立

席替えや組織変更があっても、スイッチの設定を変更するだけでネットワークの所属を変えられます。ケーブルを引き直す必要がありません。

④コストの削減

部署ごとにスイッチを用意する必要がなく、1台のスイッチを効率的に使えます。

まとめ

VLANは、1台のスイッチを論理的に複数のネットワークへ分割する技術です。各ポートにVLAN IDを割り当てることで、同じスイッチにつながっていても異なるVLAN同士は直接通信できなくなります。実現方式にはポートごとにVLANを固定するポートVLANと、パケットにVLANタグを付与するタグVLAN（IEEE 802.1Q）があり、スイッチ間の接続には複数のVLANをまとめて運ぶトランクポートが使われます。VLANによってブロードキャストドメインが分割されるため、セキュリティ向上とネットワーク効率の改善が同時に実現できます。異なるVLAN間で通信するにはルーターまたはレイヤ3スイッチが必要です。

用語表