第6章 VLANによるネットワーク分割【モジュールC】
モジュールC VLAN構築 ｜ 前提: 共通(第1〜3章) ｜ 所要時間の目安: 約60分 ｜ 進め方(モジュールの選び方)
この章の目的
Section titled “この章の目的”ここまでの演習は、ずっと「つながる」を作ってきました。この章は逆です。わざと、つながらなくします。
物語はこうです — あなたの支店に、事務部門と営業部門ができました。「営業のPCから、事務の給与データが見えるのはまずい。ネットワークを分けてほしい」。これが今日の依頼です。
スイッチを買い足す必要はありません。いまの1台のスイッチに、設定で見えない壁を立てる — それが VLAN(ブイラン)です。基礎編第7章で名前だけ登場した技術の、実物を作ります。
この章は「独立した体験」です
このモジュールは、共通(第1〜3章)さえ済んでいれば単独で実施できます。共通パートで作った支店LANを わざと分割 してVLANの効き目を体験し、終わったら完全に元へ戻します(6-10の後片付け)。この章の設定は仕上げ(第7章 総合演習)には持ち込みません。だから安心して「つながらない」を作って構いません。研修の進行によっては、この章を 短縮版(講師のデモを観察)で行うこともあります。その場合も、6-2の理屈と6-6の「つながらないのが正解」は、画面を見ながら自分の言葉で追いかけてください。
6-1 今回の目的と構成
Section titled “6-1 今回の目的と構成”目的: スイッチにVLAN(802.1Q)を設定し、アクセスポートで事務と営業のネットワークを分ける。そして「分かれたこと」を、pingとWiresharkの両方で確認する。
現在の構成: 共通(第1〜3章)の完成状態。モジュールA・Bを先に実施している場合は、インターネット接続もVPNもそのまま動いています。このモジュールではルーターの設定には一切触らないので、どちらの状態から始めても手順は同じです。触るのはスイッチだけです。
この章の終わりには後片付け(VLANの解除)があります。仕上げ(第7章 総合演習)は「1つの支店LAN」で行うためです。
6-2 VLANとは — スイッチの中に壁を立てる
Section titled “6-2 VLANとは — スイッチの中に壁を立てる”VLAN(Virtual LAN)は、1台のスイッチを、設定で複数のLANに分ける技術です。
なぜ分けるのでしょうか。理由は大きく2つです。
- 守るため — 部署ごとにネットワークを分ければ、「営業のPCから事務のサーバーに直接アクセスできない」状態を作れます。壁は、うっかりも悪意も止めます
- 静かにするため — 基礎編第3章で学んだとおり、LANには「全員宛ての声」(ブロードキャスト)が飛び交っています。ARPの呼びかけ、DHCPの「住所ください」— 住人が増えるほど騒がしくなります。壁で区切れば、声はその区画の中だけに響きます
ここで大事な言葉を1つ。全員宛ての声が届く範囲のことを、ブロードキャストドメインと呼びます。今までの支店LANは、全体が1つのブロードキャストドメインでした。VLANで分けるとは、ブロードキャストドメインを分割することなのです。
分け方はシンプルです。VLANの世界標準は IEEE 802.1Q。VLANに番号(VLAN ID)を付け、各ポートに「どのVLANか」を割り当てます。PCをつなぐポートは アクセスポート(端末用のポート)にし、そこにつないだPCは ふつうの(タグの付かない)フレームを送るだけ — VLANのことは何も知りません。住人の所属は、席(ポート)で決まるわけです。(複数のスイッチをまたいで運ぶ「トランクポート」は「もう一歩深く」と発展で扱います)
6-3 今回決める値
Section titled “6-3 今回決める値”VLANには番号(VLAN ID)と、ソフトに登録する名前を付けます。名前は半角英数(日本語不可)で、全チーム共通です。
| VLAN ID | 部門 | 登録名(半角英数) |
|---|---|---|
| 10 | 事務 | jimu(または VLAN10) |
| 20 | 営業 | eigyo(または VLAN20) |
ポートの割り当ては、次のとおりです。
| ポート | 役割・所属 | つないでいる機器 |
|---|---|---|
| 1 | トランク(VLAN 10・20 を運ぶ) | ルーター(T{n}-RTX) |
| 2 | 事務(VLAN 10・アクセス) | PC-A |
| 3 | 事務(VLAN 10・アクセス) | PC-B(はじめはここ) |
| 4 | 営業(VLAN 20・アクセス) | (実験でPC-Bを移す先) |
| 5 | 営業(VLAN 20・アクセス) | — |
ポート1は、ルーターへの トランク です。VLAN10と20の両方を、名札(タグ)を付けて1本で運びます(トランクの詳しい話は「もう一歩深く」)。PC をつなぐポート2〜5は アクセス(タグなし)で、1つのVLANだけを担当します。
図6-1 802.1Q VLANで分ける — トランク(ポート1)とアクセス(ポート2〜5)
図をよく見てください。設計の意図が2つあります。
- ルーターはポート1のトランクでつながります。事務のPCは出口(192.168.n0.1)まで届きますが、営業側には出口を置きません
- はじめは PC-AもPC-Bも事務(ポート2・3) に置きます。まず「同じVLANなら通じる」を確かめ、次にPC-Bを営業へ移して「違うVLANだと通じない」を見ます
6-4 操作手順① — 分ける前の記録(まず、みんな事務)
Section titled “6-4 操作手順① — 分ける前の記録(まず、みんな事務)”壁を立てる前に、「今はつながっている」証拠を残します(基礎編第8章「証拠を消さない」)。
まず、この体験の間だけ、2台のPCを一時的に固定IPにします。第2章の図2-2で空けておいた固定席、PC-A=.11、PC-B=.12 を、ここで使います。そして、PC-Aはポート2、PC-Bはポート3(どちらも事務になる席)につなぎます。
| PC | IPアドレス | サブネットマスク | ゲートウェイ/DNS |
|---|---|---|---|
| PC-A | 192.168.n0.11 | 255.255.255.0 | 192.168.n0.1 |
| PC-B | 192.168.n0.12 | 255.255.255.0 | 192.168.n0.1 |
設定手順は 基礎編第4章の手順2と同じ です(入力する値だけ、上の表に読み替えてください)。
なぜ固定にするのか: この後PC-Bを「出口もDHCP係もない営業の島」へ移します。実験のたびに住所が消えたり変わったりすると切り分けがややこしいので、この体験の間だけ2台を決まった席に座らせます。実験が終わったら(6-10)、両方DHCPに戻します。
PC同士のpingには、基礎編第3章 手順3の「ping応答の許可」(ファイルとプリンターの共有)が済んでいることが前提です。pingが通らないときは、まずこの設定を確認してください。
次に、まだVLANを分けていない今の状態を、記録として確かめます。
- PC-A ↔ PC-B: 互いに
ping(PC-Aからping 192.168.n0.12、PC-Bからping 192.168.n0.11)→ どちらも通る - PC-A → ルーター:
ping 192.168.n0.1→ 通る - 呼びかけが聞こえることの確認: PC-AでWiresharkのキャプチャーを開始。PC-Bで
ping 192.168.n0.199(誰もいない番地)を実行。PC-AのWiresharkに、PC-Bの ARPの呼びかけ(Who has 192.168.n0.199?)が繰り返し現れることを確認
3の意味を思い出しましょう。ARPの呼びかけは 全員宛て(ブロードキャスト) なので、宛先でないPC-Aにも届きます(基礎編第3章の「教室の呼びかけ」)。いまPC-AとPC-Bは、同じブロードキャストドメインにいる — その生きた証拠です。
6-5 操作手順② — VLAN(802.1Q)を設定する
Section titled “6-5 操作手順② — VLAN(802.1Q)を設定する”設定係が Yamaha LAN Monitor で、6-3の割り当てを設定します。要点は2つです。
- VLANを登録する — VLAN ID 10(事務)と 20(営業)をソフトに登録する
- 各ポートに割り当てる — ポート1=トランク(VLAN10・20の両方)、ポート2・3=アクセス VLAN10、ポート4・5=アクセス VLAN20
細かい画面操作は、講師が実演します。 ダイアログ名・入力欄・ボタンまでの詳しい手順は、付録「VLAN設定手順」にまとめてあります。
※VLAN名に日本語は使えません(半角英数32文字以内)。登録名は「jimu」「eigyo」などにし、区別は VLAN ID(10・20)で行います。
6-6 操作手順③ — 別のVLANへ移すと「つながらない」
Section titled “6-6 操作手順③ — 別のVLANへ移すと「つながらない」”VLANを設定しても、PC-AもPC-Bも 事務(ポート2・3) にいる間は、まだ通信できます(念のため ping 192.168.n0.12 で確かめてもよいでしょう)。壁の効き目は、片方を別のVLANへ移した瞬間に現れます。
PC-BのLANケーブルを、ポート3(事務)から抜いて、ポート4(営業)へ挿し替えます。 PC-Bの設定は何も変えません。そのうえで確認します。この節では、pingの失敗が成功です。
| # | 実行 | 期待する結果 | 理由 |
|---|---|---|---|
| 1 | PC-A → PC-B ping 192.168.n0.12 | 失敗する | 間に壁(事務→営業) |
| 2 | PC-B → PC-A ping 192.168.n0.11 | 失敗する | 間に壁(営業→事務) |
| 3 | PC-B → ルーター ping 192.168.n0.1 | 失敗する | 出口(事務)も壁の向こう |
同じ 192.168.n0 の番地どうしなのに、届きません。住所が同じでも、VLANが違えば通れない — これがVLANの壁です。
ポート4(営業)にいる間のPC-Bは、出口(ルーター)も壁の向こうにあるため、インターネットにも出られません。「分ける」は、出口も分けるということです。
さらに、6-4の3をもう一度。PC-AのWiresharkを動かしたまま、PC-Bで ping 192.168.n0.199。
今度は、PC-Bの呼びかけ(ARP)がPC-Aに現れません。 全員宛ての声すら、壁を越えられない — ブロードキャストドメインが本当に分かれた証拠です。分ける前(聞こえる)と分けた後(聞こえない)の対比、これがこの章のいちばんの見どころです。
「故障」と「正解」の区別: このpingの失敗は、設計どおりの失敗です。基礎編第7章で予告した「通信できないことが正しい結果の場合がある」に、いま出会っています。トラブル対応では「そもそも通ってよい通信か?」を最初に考える — この感覚を持ち帰ってください。
6-7 操作手順④ — 席を戻すと、また通じる
Section titled “6-7 操作手順④ — 席を戻すと、また通じる”所属が「ポートで決まる」ことを、逆向きでも確かめます。
- PC-BのLANケーブルを、ポート4(営業)から抜いて、ポート3(事務)に戻す
- PC-A → PC-B:
ping 192.168.n0.12→ 今度は通る
PC-Bの設定は何ひとつ変えていません。変わったのは挿さっている席だけ。アクセスポートでは所属が席(ポート)で決まるので、ケーブルの挿し替えが人事異動なのです。
逆向きの教訓も覚えておいてください。実務では「PCを別の席に移したら、なぜか社内システムに入れなくなった」というトラブルの定番原因がこれです。席が変われば、所属も変わるからです。
6-8 正常時の結果
Section titled “6-8 正常時の結果”- 分ける前: PC-A↔PC-B の ping が通り、PC-B の ARP の呼びかけが PC-A から見えた(記録済み)
- PC-Bを営業へ移した後: 6-6の表のとおり、事務⇄営業の ping がすべて失敗する
- 同時に、PC-B の呼びかけが PC-A から見えなくなった(ブロードキャストドメインが分かれた)
- 席を戻すと(6-7): PC-A↔PC-B の ping がまた通る
「同じ番地なのに、VLANが違うと失敗する」が期待どおり起きていれば、この章は満点です。
6-9 よくある設定ミスと切り分け
Section titled “6-9 よくある設定ミスと切り分け”| ミス | 症状 | 直し方 |
|---|---|---|
| PC-Bを移す先(ポート4)を事務のままにした | 営業へ移したのに分離されない(pingが通ってしまう) | ポート4を営業(VLAN20)に設定(6-3) |
| トランク(ポート1)の設定漏れ・誤り | 事務のPCがルーター(出口 .1)に届かない | ポート1をトランクにし、VLAN10・20を通す(付録「VLAN設定手順」) |
| 割当を1つ入れ忘れた | そのポートだけ想定外の動き | 全5ポートの割当を表(6-3)で総点検 |
| 壁のせいではないのに壁を疑う | ケーブル抜け・ポート無効を見逃す | まず第3章の画面でリンク確認(第1層から) |
切り分けの合言葉は「まず所属表、次にリンク、最後にping」です。VLANのトラブルは、頭の中で考えるより、5ポートの所属を表に書き出して見比べるのが最短です。
6-10 後片付け — 壁を撤去して1つのLANに戻す
Section titled “6-10 後片付け — 壁を撤去して1つのLANに戻す”仕上げ(第7章 総合演習)は「1つの支店LAN」で行うので、VLANを解除し、PCも元のDHCPに戻します。この章の設定は、ここで完全に片づけます。
- 設定係: LAN MonitorでVLAN設定を解除する(全ポートを分割前の状態へ)
- 2台のPCを「自動(DHCP)」に戻す(一時固定 .11/.12 の役目は終わり)
- 各PCで
ipconfig /release→/renew→ .101〜150 の住所をもらえること - 確認: PC-B → PC-A、PC-B → ルーター(
ping 192.168.n0.1)のpingが通ること。モジュールA(第4章)を実施済みなら、ping 8.8.8.8で外へ出られることもあわせて確認します - スイッチ・ルーターの設定を保存する(第2章 2-6の約束)
「作る→壊す(分ける)→戻す」まで自分の手でやれたら、VLANは友だちです。
発展 — もっと試したいチームへ
Section titled “発展 — もっと試したいチームへ”別メーカーのスイッチで試す(希望チームのみ): TP-Link TL-SG108E(別メーカーの8ポートスイッチ)で、同じ802.1Q VLANを作ってみます。概念はまったく同じ、画面はメーカーごとに別物 — この体験は、将来どの機器の前に座っても効きます。(※TP-Linkには単純な「ポートグループ化」の設定もありますが、それは機器の中だけで完結し、スイッチをまたげません。今回は 802.1Q VLAN を使います)。設定手順は付録「VLAN設定手順」§2にあります。
2チーム協力・スイッチをまたぐVLAN(時間に余裕があれば): RTX1200に 2台のスイッチ(SWX2110-5GとTL-SG108E) をつなぎ、事務・営業を 2台のスイッチにまたがって 分けます。ビルの各階にハブがあり、どの階にも事務と営業の席がある — そんなイメージです。スイッチどうしをつなぐ線を トランク にすると、タグ(802.1Q)の付いたフレームが流れ、別の階(スイッチ)の同じ部署どうしはつながり、違う部署はつながらない ことが確かめられます。メーカーが違っても、規格で決まっているので同じように働きます。
各スイッチの設定は付録「VLAN設定手順」のとおり(事務=アクセスVLAN10、営業=アクセスVLAN20)。加えて、スイッチどうしをつなぐポートを、両方のスイッチでトランク(VLAN10・20を通す) にします。
もう一歩深く — タグVLANとトランクポート
Section titled “もう一歩深く — タグVLANとトランクポート”今日は、PCをつなぐポートを アクセス(untagged)、ルーターへのポート1を トランク(tagged) にしました。1台のスイッチの中でも、この2つの役割を使っています。ここでは、トランクが 本当に効いてくる場面 — スイッチが増えたとき を、もう少し掘り下げます。難しめですが、いちばんよく使われるので、考え方をつかんでおきましょう。
困る場面: 支店が大きくなり、スイッチが2台になったとします。事務も営業も、両方のスイッチにまたがって座ることに。2台のスイッチをつなぐケーブルは、素直に作ると「事務用」「営業用」で2本必要です。VLANが5個あれば5本 — これは現実的ではありません。
解決の発想: つなぐケーブルを1本にして、事務のフレームも営業のフレームも 相乗り させます。混ざると困るので、フレーム1つ1つに「これは事務(VLAN10)」「これは営業(VLAN20)」という 名札 を付けます。この名札が タグ(中身はVLAN ID)で、この方式が タグVLAN です。世界共通の規格で、IEEE 802.1Q という名前が付いています。
ここで、ポートの2つの役割を覚えましょう。
| ポートの種類 | 運ぶVLAN | 名札(タグ) | つなぐ相手 |
|---|---|---|---|
| アクセスポート | 1つだけ | 付けない | PCなどの端末 |
| トランクポート | 複数 | 付ける | スイッチ同士・スイッチとルーター |
- アクセスポート … 今日、PC をつないだポート(2〜5)はこれです。1つのVLANだけを担当し、名札は付けません
- トランクポート … 今日、ルーターへつないだ ポート1 がこれです。複数のVLANを1本で運ぶ「幹線」で、通るフレームに名札(タグ)が付きます
いちばんの勘どころは、名札が付いたり外れたりするタイミングです。
- 事務PCがフレームを送る(名札なし)
- トランクポートから隣のスイッチへ出るとき、「VLAN10」の名札が付く
- 隣のスイッチが名札を見て、「これは事務行きだ」と判断する
- 事務のアクセスポートから事務PCへ届ける直前に、名札を外す
だから、端末(PC)は名札のことを何も知りません。名札が付くのはトランクを通る間だけで、PCから見える世界は今日の演習とまったく同じです。ここは安心してよいポイントです。
図6-2 トランクポート — 1本のケーブルに、名札付きで相乗りする
アクセスポートとトランクポートは「どちらか一方」ではありません。端末側はアクセスポート、幹線はトランクポートと、役割で使い分けるのがふつうです。今日は、その 両方(PC側=アクセス、ルーター側=トランク)を、1台のスイッチで使いました。この「幹線を1本のトランクにまとめる」考え方は、この章のもう一歩深く「分けた者どうしを、また話させたいとき」で出てくる VLAN間ルーティング(ルーターに複数のVLANをまとめて渡す)でも顔を出します。
もう一歩深く — 分けた者どうしを、また話させたいとき
Section titled “もう一歩深く — 分けた者どうしを、また話させたいとき”「事務と営業を分けたい。でも、共有プリンターは両方から使いたい」— 実務では必ずこの要望が出ます。壁を越える通信をどうするか?
答えは基礎編第4・5章の原則のとおりです。別のネットワークの相手と話すには、ルーターを通る。VLANで分けた島どうしも同じで、それぞれの島にIPのネットワークを割り当て、ルーターに両方の島へ足を掛けさせて通します(VLAN間ルーティングと呼びます)。「分けるのはスイッチ(第2層)、つなぎ直すのはルーター(第3層)」— 層の役割分担がここでも生きています。この研修では言葉の紹介まで。ルーターで島をつなぐ感覚そのものは、すでに第4章(支店と外の世界)・第5章(支店と本社)で体験したとおりです。
ちなみに、この「分けてから、必要な通信だけ通す」の考え方は、基礎編第9章のゲスト用Wi-Fi(お客様用と社内を分ける)と同じ発想です。分けるのが基本、通すのは例外 — 守りの設計の型です。
基礎編の関連章
Section titled “基礎編の関連章”- 第3章 — ブロードキャスト・ARPの呼びかけ。6-4と6-6の観察の土台
- 第7章 — VLANの目的の予告(「通信できないことが正しい場合がある」)。この章はその実物
- 第9章 — ゲストWi-Fiの分離。無線版の「分ける」設計
問題1(概念の説明)
Section titled “問題1(概念の説明)”「ブロードキャストドメイン」とは何か、「全員宛ての声」という言葉を使って説明してください。また、VLANを設定すると、それがどうなりますか。
問題2(状況判断)
Section titled “問題2(状況判断)”6-7で、営業(ポート4)にいたPC-Bを事務(ポート3)に戻したら、PC-Aへのpingがまた通るようになりました。PC-Bの設定は何も変えていません。理由を説明してください。
問題3(設計の理解)
Section titled “問題3(設計の理解)”VLAN設定後、営業の島にいるPC-Bは、ルーター(192.168.n0.1)へのpingも失敗します。①その理由と、②「営業部門も外(インターネット)へ出られるようにするには、何が必要になるか」を考えて答えてください(②はヒント: もう一歩深く)。
問題4(トラブル対応)
Section titled “問題4(トラブル対応)”「VLANを設定したら、PC-Aからルーターの管理画面にも入れなくなった」というチームがありました。真っ先に疑うべき設定ミスは何ですか。また、最初に確認すべきものは何ですか。
問題1の解答を表示する
解答例: ブロードキャストドメインとは、ARPの呼びかけのような「全員宛ての声」が届く範囲のこと。VLANを設定すると、この範囲がVLANごとに分割され、全員宛ての声も壁の向こうには届かなくなる。
6-6のWireshark観察(聞こえていた呼びかけが聞こえなくなる)を証拠として挙げられたら完璧です。
問題2の解答を表示する
解答例: アクセスポートでは、機器の所属は「どのポートに挿さっているか」で決まる。ポート3は事務(VLAN10)の席なので、戻した瞬間にPC-Bは事務の島の住人にもどり、同じ島のPC-Aと再び通信できるようになった。
「設定はPCではなくスイッチのポートに付いている」という視点の転換が言えていれば正解です。
問題3の解答を表示する
解答例: ①ルーターの出口(192.168.n0.1)は事務(VLAN10)側にあり、営業の島から見ると壁の向こうにいるから。②営業の島にも「出口」が必要。ルーターに営業の島へも足を掛けさせて、島と島の間をルーターで通す仕組み(VLAN間ルーティング)がいる。
②は「ルーターの出番」という方向が出ていれば十分です。「分けるのはスイッチ、つなぎ直すのはルーター」まで書けたら見事です。
問題4の解答を表示する
解答例: 疑うべきは、トランク(ポート1)にVLAN10を通し忘れる、またはPC-Aのポート2を営業側に入れてしまい、PC-Aとルーターの出口が別の島になったミス。最初に確認すべきは、5ポートの割当の一覧(6-3の表とLAN Monitorの設定画面の突き合わせ)。
「まず所属表」(6-9の合言葉)が出てくれば正解です。ケーブルや設定を触る前に、まず情報を集めるのが型です。
- 第3章 SWX2110とYamaha LAN Monitor — 今日の設定操作の道具はすべて第3章で習得済み
- 第4章 インターネットへの接続【モジュールA】・第5章 拠点間VPNの構築【モジュールB】 — 先に実施していれば、この章の間も動き続けている「本線」です。後片付けで、その本線に完全に戻ります
- 第7章 総合演習と障害切り分け — 「VLANの所属ポート誤り」は障害演習の定番です