VLANとは ― ポートVLANとタグVLANの仕組み

VLAN（Virtual LAN）とは、1台の物理スイッチを、配線を変えずに設定だけで複数の論理的なスイッチのように分ける技術です。

全員宛てのデータ（ブロードキャストフレーム）が届く範囲を、ブロードキャストドメインと呼びます。スイッチは本来これを分割せず、全ポートが1つのドメインになります。

VLANでは、ポートごとに所属グループを設定して、1台のスイッチの中に複数のブロードキャストドメインを作ります。そのため、部署ごとにネットワークを分けたいときに、スイッチを買い足さずに済みます。

衝突ドメインとの違いや、機器ごとの分かれ方は衝突ドメインとブロードキャストドメインの違いの記事で比べています。

1台のスイッチに多くの機器をつなぐほど、ブロードキャストは増えます。ARPリクエストなど全員宛てのフレームが、関係のない機器にまで届いてしまいます。VLANで分けると、次の効果があります。

1. 1

   ブロードキャストの範囲を絞る

   関係のない部署の機器にブロードキャストが届かなくなり、その分、無駄な通信が減ります。

2. 2

   セキュリティを高める

   別のVLANへの通信は、ルータを経由しないと届きません。そのため、部署間の盗み見や誤接続を防ぎやすくなります。

3. 3

   部署ごとにネットワークを分離する

   総務部・開発部のように、部署ごとの論理的なネットワークを作れます。スイッチの台数や配線を増やす必要はありません。

4. 4

   座席やフロアの変更に強い

   人の移動や席替えがあっても、配線はそのままで、ポートの設定を変えるだけで所属VLANを変更できます。

VLANの割り当て方で最も基本になるのがポートVLANで、スイッチの各ポートに1つのVLANだけを割り当てます。たとえば、「このポートはVLAN10」のように設定します。こうして1つのVLANを割り当てたポートをアクセスポートと呼びます。

PCなどの末端の機器は、自分がどのVLANに属しているかを意識しません。アクセスポートを出入りするフレームは、ふつうのEthernetフレームのままです。

フレームに付けるVLANの情報をタグと呼びます。アクセスポートを出入りするフレームにはタグが付いておらず、これをタグなし（untagged）のフレームと呼びます。

アクセスポートやトランクポートには、接続してよいMACアドレスを制限する機能もあります。この機能はポートセキュリティの記事で説明しています。

1台のスイッチに6台のPCがつながっている例です。ポート1〜3は総務部のVLAN10に、ポート4〜6は開発部のVLAN20に割り当ててあります。送信元のPCを切り替えて、ブロードキャストが届く範囲の変化を確かめてください。

ブロードキャストは、同じVLANのポートにしか届きません。すべてのポートが物理的に同じスイッチにつながっていても、VLANの設定だけでブロードキャストの届く範囲が変わります。

スイッチ同士やスイッチとルータをつなぐ配線では、複数のVLANのフレームを1本のケーブルで運ぶ必要があります。VLANごとに配線を1本ずつ用意すると、VLANの数だけケーブルとポートが必要になるからです。

そこで、どのVLANのものかを表す印をフレームに付けて、1本の配線にまとめます。この印を802.1Qタグと呼び、印を付けるポートをトランクポートと呼びます。

この印の付け方を定めているのが、IEEE 802.1Qという規格です。802.1Qタグは4バイトで、Ethernetフレームの送信元MACアドレスとタイプの間に入ります。

タグの中身は、2バイトのTPIDと2バイトのTCIです。TPIDは802.1Qタグであることを示す目印で、値は0x8100に決まっています。TCIの16ビットのうち、先頭の4ビットは優先度などに使い、残りの12ビットがVLAN IDです。

先頭の4ビットのうち3ビットは、フレームの優先度を表すPCPです。この値を使ってスイッチで音声を先に送る仕組みは、QoSの記事で説明しています。

12ビットで表せる範囲は0〜4095ですが、0と4095は予約されているので、実際に使えるVLAN IDは1〜4094です。

フレームがアクセスポートからトランクポートへ出ていくとき、スイッチは自動的にこのタグを付けます。逆に、トランクポートからアクセスポートへ出ていくときは、タグを取り除きます。そのため、PCなどの末端の機器がタグ付きフレームを直接受け取ることは、基本的にありません。

トランクポートを複数まとめて、1本の論理的なリンクとして使う技術もあります。これをEtherChannelと呼び、EtherChannel（LACP）の記事で説明しています。

VLANで分けた単位は、それぞれ独立したブロードキャストドメイン、つまり別々のネットワークです。そのため、VLANをまたいだ通信は、別のネットワーク宛ての通信と同じ扱いになります。

別のネットワーク宛ての通信には、ルータかL3スイッチによる中継が必要です。この中継をVLAN間ルーティングと呼びます。

L3スイッチとルータの役割分担は、ハブ・スイッチ・ルータの違いの記事で説明しています。組織内で複数のVLANの間を高速に中継する場面ではL3スイッチを、インターネットへの出口やNATが必要な場面ではルータを使います。

ルータオンアスティックとSVIという2つの方式の違いと設定は、VLAN間ルーティングの記事で説明しています。

VLANはブロードキャストドメインを分ける技術で、IPアドレスの割り当てとは別のものです。ただし、実際の設計ではVLANごとに別のサブネットを1つずつ割り当てるのが一般的です。こうすると、VLANという論理的な区切りと、IPアドレスのネットワーク部の区切りがそろいます。どの機器がどの部署のネットワークに属しているかも分かりやすくなります。

サブネットマスクの計算のしかたは、サブネットマスクの記事で説明しています。

家庭用のWi-Fiルータは、ふつう1つのネットワークだけを作る設定で動いています。一方、会社では部署やフロアが分かれていて、機器の台数も多くなります。複数のブロードキャストドメインに分ける必要があるのは、主にこうしたネットワークです。

家庭には部署のように分ける必要のある単位がないので、VLANを意識する機会はあまりありません。

VLANの数が増えるほど、設定は複雑になります。どのポートがどのVLANかを把握していないと、トラブルの切り分けが難しくなります。

また、VLAN間ルーティングを1台のルータやL3スイッチに集中させると、それが止まったときの影響も大きくなります。

スイッチが増えると、VLANの設定を1台ずつ変える手間も増えます。ネットワーク全体の設定を1か所から変える考え方は、SDNの記事にまとめています。