リンク層発展 ─ VLAN(802.1Q・トランク)

学習目標

この発展編を終えると、以下の問いに学術的な言葉で答えられるようになります。

• VLAN(Virtual LAN) が解く課題を、ブロードキャストドメインの分割・論理的セグメンテーション・セキュリティの3観点で説明できる
• ポートベース VLAN(アクセスポート) の動作と、その限界(複数スイッチ間で同一 VLAN を扱えない)を述べられる
• IEEE 802.1Q による 4 バイトのタグ構造(TPID 0x8100・PCP 3 ビット・DEI 1 ビット・VID 12 ビット = 1〜4094)を図示し、各フィールドの役割を説明できる
• アクセスポート と トランクポート の違い、フレームに対する タグ付与/剥離 の動作を区別できる
• ネイティブ VLAN(native VLAN) がトランク上で唯一タグなしで運ばれる VLAN であることを説明し、両端不一致のリスクを述べられる
• VLAN 間ルーティングの2方式 ── ルータ on a stick(サブインタフェース)と L3 スイッチ(SVI)── を比較できる
• L2 ループの致命性と、スパニングツリープロトコル(STP, IEEE 802.1D) および後継 RSTP(802.1w) による解消の仕組みを、BPDU・ポート状態の用語で説明できる
• LACP(IEEE 802.3ad / 802.1AX) によるリンクアグリゲーションが提供する帯域拡張・冗長化の利点を述べられる
• VLAN ホッピング攻撃(ダブルタグ・スイッチスプーフィング)の概念と、ネイティブ VLAN を未使用にする等の対策を理解する

このレッスンの目次

なぜ VLAN が必要か

ブロードキャストドメインを分けたい3つの理由

図の見方:左は VLAN なし。1台のスイッチにつながる端末は全員同じドメインで、ブロードキャストや未学習ユニキャストが全ポートに溢れる。右はスイッチ内で ポートに VLAN 番号を割り当てた 状態。スイッチは「ポート2と3は VLAN10、ポート4と5は VLAN20」と覚え、別 VLAN のポートには絶対にフレームを転送しない。物理的には1台でも、論理的には2台のスイッチが入っているのと同じ動作になる。

考えてみよう: 大学の研究室で「自分のラボ用 IP 電話を設置したいので別 VLAN にしたい」と申請するのは、上記の3観点(性能・セキュリティ・運用)のうちどれが一番効いているでしょうか?多くの場合は セキュリティ + 運用(電話用 VLAN は QoS 設定や DHCP プール、ファイアウォールルールが PC 用と異なる) です。

ポートベース VLAN(アクセスポートだけの世界)

1台で完結する場合は単純

1 台のスイッチで完結するなら、これだけで十分です。ところが現実のオフィスでは スイッチを複数台 並べることがほとんどです。「1F のスイッチ A の VLAN 10 と、2F のスイッチ B の VLAN 10 を同じセグメントとして繋ぎたい」── このとき、スイッチ間のリンクをどうするか が問題になります。

素朴な解決策は「VLAN ごとに物理ケーブルを 1 本ずつ引く」ことです。VLAN 10 用ケーブル、VLAN 20 用ケーブル、VLAN 30 用ケーブル ── スイッチ間のポートと配線が VLAN 数に比例して必要になります。VLAN を 50 個運用したいなら 50 本のケーブルです。明らかに非効率です。

図の見方:ポートベース VLAN だけで複数スイッチを跨ぐ場合、VLAN ごとに専用の物理ケーブルが要る。これでは VLAN を増やすたびにスイッチ間のポートが食いつぶされ、配線管理が破綻する。これを解決するのが次に学ぶ 802.1Q タグ VLAN とトランクポート。

IEEE 802.1Q タグ ── 4 バイトをフレームに挿す

タグ付きフレームの構造

図の見方:タグなしフレームの「送信元MAC」と「Type/Length」の間に4バイトを挿入する。先頭2バイトの TPID = 0x8100 は「これは 802.1Q タグですよ」という目印。受信側スイッチはここを見て「あ、タグ付きだ」と認識する。後ろ2バイトの中身が TCI(Tag Control Information) で、QoS 用の優先度・破棄可否フラグ・そして本命の VLAN ID(12 ビット) が入る。

各フィールドの意味

考えてみよう: もしタグの長さが 8 ビットだったとして、研究室・部署・ゲスト・電話・IoT・サーバ用…と分割していくと、組織規模によってはあっという間に枯渇します。現代的なデータセンタでは数十万テナントが当たり前で、12 ビット = 4094 でも足りないため、L3 オーバーレイ(VXLAN, 24 ビット = 約 1670 万) が登場した、という歴史を覚えておきましょう。

アクセスポートとトランクポート

アクセスポート ── 端末用

PC や プリンタ、IP 電話を直接挿すポートです。設定例(Cisco IOS 風) は次のようになります。

interface GigabitEthernet0/3
  switchport mode access
  switchport access vlan 10

• 受信時:タグなしフレームが届く → スイッチが内部的に「これは VLAN 10 の所属」とマークして処理
• 送信時:他 VLAN のフレームは絶対に出さない。VLAN 10 のフレームだけ、タグを剥がして 送出
• もしタグ付きフレームを誤って受信した場合、原則 破棄(機種により VID と一致すれば受け入れるなどの差異あり)

端末は VLAN の存在を一切知らずに、ただの Ethernet として通信できます。「タグを付けたり剥がしたりするのはスイッチの仕事」と覚えてください。

トランクポート ── スイッチ間リンク用

スイッチ間や、スイッチとルータ・ハイパバイザ間など、1 本のリンクで複数 VLAN を多重 したい箇所で使います。

interface GigabitEthernet0/24
  switchport mode trunk
  switchport trunk allowed vlan 10,20,30
  switchport trunk native vlan 999

• 送信時:許可された VLAN のフレームに 802.1Q タグを付けて 送出する
• 受信時:タグを読み、書かれている VID の VLAN として処理する
• allowed vlan リストで、このトランクで運ぶ VLAN を絞れる(セキュリティ・帯域節約のため明示する運用が望ましい)
• 例外的に ネイティブ VLAN だけはタグなしで運ばれる(次節で詳述)

VMware や Hyper-V の仮想スイッチもトランクを受け取り、内部で仮想 NIC をアクセスポートとして VM に提供します。物理ホストの 1 NIC に何十もの VLAN を流し込めるのが利点です。

並べて比較

フレームの旅をステップで追う

図の見方:タグはスイッチ A とスイッチ B の間でだけ存在する。両端の PC は VLAN を知らない。VLAN は 「スイッチの中の概念」 であって、端末から見れば普通の LAN に見える ── これが VLAN 設計の最重要な性質。

ネイティブ VLAN ── トランクで唯一タグなしのVLAN

なぜネイティブ VLAN という仕組みがあるのか

• 後方互換性:802.1Q を理解しない古い機器がトランクの片端に挿さってしまっても、ネイティブ VLAN のフレームは普通の Ethernet として届く
• 制御プロトコル:CDP(Cisco) や LLDP の一部、PVST+ の BPDU など、タグなしで送るのが慣例の制御フレームがある
• 歴史的経緯:802.1Q が後から決まった規格なので、既存の素のフレームと共存できるよう「タグなしも許容する」枠を残した

図の見方:同じトランクリンクの上で、VLAN 10 のフレームには tag10 のタグが付くが、ネイティブ VLAN(この例では VLAN 999) のフレームだけはタグなしで流れる。両端のスイッチが「タグなしで来たら VLAN 999 として扱う」と合意していれば、これで通信が成立する。

考えてみよう: Cisco スイッチの既定値は ネイティブ VLAN = VLAN 1 です。多くの教科書が「VLAN 1 を使うな」と警告するのは、既定値どうしのまま運用する 危険性を避けるため。VLAN 1 は工場出荷状態の管理 VLAN でもあるので、攻撃者から見れば最初に試す VLAN になります。

VLAN 間ルーティング ── 分けたら繋ぎ直す

(1) ルータ on a stick

古典的な構成です。スイッチとルータを 1 本のトランク でつなぎ、ルータ側でその物理 IF を VLAN ごとの仮想サブインタフェース に分割します。各サブインタフェースに対応する VLAN のデフォルトゲートウェイ IP を持たせれば、VLAN 間トラフィックはここを経由してルーティングされます。

interface GigabitEthernet0/0.10
  encapsulation dot1Q 10
  ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
  encapsulation dot1Q 20
  ip address 192.168.20.1 255.255.255.0

欠点は、VLAN 10 → VLAN 20 のトラフィックも、VLAN 20 → VLAN 10 のトラフィックも、同じ 1 本のリンクを 2 度通る(行きで上り、帰りで下る) ため帯域がボトルネックになることです。

(2) L3 スイッチ(SVI 方式)

現代のキャンパス LAN で主流の方式です。スイッチに L3 ルーティングエンジンを内蔵し、VLAN ごとに SVI(VLAN インタフェース) という仮想 IF を作ります。フレームが SVI に入った瞬間に L3 処理 → 別 VLAN の SVI から L2 出力、という変換が スイッチ筐体内 で完結するため高速です。

ip routing
interface Vlan10
  ip address 192.168.10.1 255.255.255.0
interface Vlan20
  ip address 192.168.20.1 255.255.255.0

図の見方:左のルータ on a stick は古典的構成で「1 本のトランクで複数 VLAN を見せる」発想。教育的には分かりやすいが性能と冗長性に難あり。右の L3 スイッチは VLAN 間転送が ASIC で処理されるため、ほぼワイヤスピードで動作する。現代のオフィスやキャンパス LAN では右が主流。

スパニングツリー(STP / RSTP) ── ループの宿敵

L2 ループはなぜ致命的か

1. 冗長リンクで物理ループが発生(スイッチ2台がケーブル2本で繋がっている等)
2. ブロードキャストフレームは「受信ポート以外の全ポート」へ転送 → ループの中を回り続ける
3. L2 フレームには TTL がない(IP の TTL は別レイヤ) ので減衰しない
4. 1秒経たずにブロードキャストストーム発生・全帯域が制御不能になる

図の見方:3 台のスイッチがリング状に繋がっている。STP はルートブリッジ(ROOT) を選び、そこからの距離(コスト) が小さい経路を残し、最後に残った1本(SW-A ↔ SW-B 間) を ブロッキング 状態にする。これで論理的にツリー構造になり、ループがなくなる。万一 ROOT〜SW-A 間が切れたら、ブロッキング状態のリンクが フォワーディング に昇格して通信が継続する。

リンクアグリゲーション(LACP) ── 太く・冗長に

図の見方:4 本の 10Gbps 物理リンクを LACP で束ねると、論理的には 40Gbps のリンクとして見える。STP はこれを 1 本のリンクと見なすのでブロッキングしない。フレームは送信元/宛先 MAC・IP・ポートからのハッシュで物理リンクへ振り分けられる(フローごと に同じリンクを通る) ため、1 つの TCP フローが 10Gbps を超えることはない点に注意。

VTP / GVRP の存在

VLAN 数が多くなると、各スイッチに「VLAN 10 を作る」「VLAN 20 を作る」と1台ずつ手で設定するのは大変です。これを自動同期する仕組みが VTP(VLAN Trunking Protocol, Cisco独自) や、IEEE 標準の GVRP(GARP VLAN Registration Protocol, IEEE 802.1Q-2003)、その後継の MVRP(IEEE 802.1ak) です。実務では誤設定で全 VLAN が消える事故が起きやすいことから、VTP は transparent モード(同期しない) で運用したり、明示的なオーケストレーション(Ansible 等) で代替したりするのが一般的です。[要確認] 詳細な実装差は機種依存。

VLAN ホッピング攻撃の概念

まとめと用語チェック

用語チェック

確認問題