この記事は、 「ネットワーク中級編｜構築・検証・障害切り分けを身につける」 の第4回です。
前回学んだVLANを、スイッチの物理ポートへどのように割り当て、 複数のスイッチ間で運ぶのかを解説します。
アクセスポートとトランクポートの違いとは？VLANタグと設定・確認方法を図解
スイッチでVLANを利用するときは、各ポートを 「アクセスポート」または「トランクポート」として構成します。 この記事では、2つのポートの役割、VLANタグの有無、 スイッチ間をフレームが流れる仕組み、Cisco IOSの設定例、 確認コマンド、障害切り分けまで順番に解説します。
VLAN 10、VLAN 20、VLAN 30をスイッチに作成しただけでは、 端末がどのVLANに所属するのかは決まりません。
端末を接続するポートには 「このポートはVLAN 10として扱う」という設定が必要です。 また、複数のVLANを別のスイッチまで延長する場合は、 1本のリンクで複数VLANを運ぶ設定が必要になります。
この2つの役割を担当するのが、 アクセスポートとトランクポートです。
この記事を読み終えるとできること
- アクセスポートの役割を説明できる
- トランクポートの役割を説明できる
- VLANタグが付く場所と外れる場所を判断できる
- ネイティブVLANとAllowed VLANを説明できる
- Cisco IOSで基本設定を投入できる
- トランク障害の確認順序を組み立てられる
アクセスポートとトランクポートの違い
アクセスポートは原則として1つのVLANを扱う端末接続用ポート、 トランクポートは1本のリンクで複数のVLANを運ぶポートです。
アクセスポート
- 原則として1つのデータVLANに所属する
- PCやプリンターなどの接続に使用する
- 通常の端末へはタグなしフレームを送る
- 受信したタグなしフレームを設定済みVLANへ所属させる
トランクポート
- 複数のVLANを扱える
- スイッチ間接続などに使用する
- VLANを識別するためにタグを利用する
- Allowed VLANで通過できるVLANを制限できる
覚え方
アクセスポートは「1つの部屋への入口」、 トランクポートは「複数の部屋へ荷物を運ぶ共通の通路」と考えると理解しやすくなります。
まず全体を1枚の図で理解する
次の構成では、SW1とSW2の両方にVLAN 10、20、30の端末が接続されています。
アクセスポートとトランクポートの基本構成
1本でVLAN 10・20・30を運ぶ
VLAN 10
VLANを識別
VLAN 20
PCやプリンターなどの一般的な端末は、 自分が所属しているVLAN番号を意識していないことが多く、 通常はタグなしのEthernetフレームを送受信します。
一方、スイッチ間の1本のリンクには複数VLANのフレームが流れます。 そのため、スイッチはタグを利用して、 フレームがどのVLANに所属しているのかを識別します。
アクセスポートとは
アクセスポートとは、原則として1つのVLANに所属し、 PCやプリンターなどの端末を接続するためのポートです。
アクセスポートへ接続する代表的な機器
パソコン
一般的な業務用PCは、タグなしフレームで通信します。
プリンター
接続ポートに設定されたVLANへ所属させます。
サーバー
1つのVLANだけを利用するサーバーは、アクセスポートへ接続できます。
受信時の動作
PC-Aがタグなしフレームを送信し、SW1のGigabitEthernet0/1で受信したとします。 GigabitEthernet0/1には、アクセスポートとしてVLAN 10が設定されています。
PC-AがタグなしのEthernetフレームを送信します。
SW1がVLAN 10のアクセスポートでフレームを受信します。
SW1は受信ポートの設定を基に、そのフレームをVLAN 10として扱います。
VLAN 10のMACアドレステーブルを参照して、転送先を判断します。
送信時の動作
スイッチがアクセスポートから一般的な端末へフレームを送る場合、 通常はVLANタグを付けずに送信します。
端末がVLAN番号を意識しなくてもよい理由
どのVLANとして扱うかは、スイッチのアクセスポート設定によって決まります。 PC側へ「あなたはVLAN 10です」と設定する必要は通常ありません。
アクセスポートでも複数VLANが関係する例
Cisco IP Phoneなどを使用する構成では、 データ通信用VLANと音声通信用VLANを分ける場合があります。
この構成では、PCの通信をタグなしのアクセスVLAN、 IP電話の音声通信をタグ付きのVoice VLANとして扱うことがあります。
「アクセスポートは絶対に1種類のフレームしか扱わない」と覚えると、 Voice VLANの構成で混乱します。
基本は1つのデータVLANに所属する端末接続用ポートと理解し、 Voice VLANなどの例外は個別に確認しましょう。
トランクポートとは
トランクポートとは、1本の物理リンクで複数のVLANを運ぶためのポートです。
トランクポートを利用する代表的な接続
- スイッチとスイッチの接続
- スイッチとルーターの接続
- スイッチと無線LANアクセスポイントの接続
- スイッチと仮想化ホストの接続
- スイッチとファイアウォールの接続
トランクポートは、スイッチ間だけで使うとは限りません。 接続先の機器が複数のVLANを扱う場合に利用します。
なぜVLANタグが必要なのか
1本のトランクリンクには、VLAN 10、20、30など、 複数VLANのフレームが混在して流れます。
VLANを識別する情報がなければ、 受信側スイッチはフレームがどのVLANに所属しているのか判断できません。
そこで、EthernetフレームへVLANを識別する情報を追加します。 この情報がIEEE 802.1Qタグです。
VLAN 10 Type データ FCS
802.1Qタグの詳細な構造や、 VLAN ID以外に含まれる情報については次の記事で解説します。
トランクポートはすべてのフレームを必ずタグ付きにするのか
必ずしもそうではありません。 IEEE 802.1Qトランクでは、ネイティブVLANに所属するフレームを タグなしで送信する構成があります。
そのため、トランクポートではタグ付きフレームと タグなしフレームが同時に扱われることがあります。
フレームがスイッチ間を流れる仕組み
VLAN 10に所属するPC-Aから、 別のスイッチに接続されたPC-Bへ通信する流れを確認します。
VLAN 10のフレームがSW1からSW2へ届くまで
VLAN 10タグを付けて転送
-
PC-Aがタグなしフレームを送信する
PC-AはSW1のVLAN 10アクセスポートへ接続されています。 -
SW1が受信ポートからVLAN 10と判断する
SW1はアクセスポートの設定を基に、受信フレームをVLAN 10として扱います。 -
SW1がトランクへ転送する
VLAN 10を識別できるように802.1Qタグを付けてSW2へ送ります。 -
SW2がVLANタグを確認する
SW2は受信したフレームがVLAN 10に所属すると判断します。 -
SW2がVLAN 10の転送先を検索する
VLAN 10のMACアドレステーブルを参照し、PC-B側ポートを特定します。 -
SW2がタグなしでPC-Bへ送信する
PC-B側はアクセスポートのため、通常はVLANタグを外して送信します。
重要な整理
- アクセスポート側：通常はタグなし
- スイッチ内部：VLAN情報を保持して処理
- トランクポート側：VLAN識別用のタグを付ける
- 受信側アクセスポート：通常はタグを外して端末へ送る
異なるVLANの端末同士は通信できるのか
アクセスポートやトランクポートを正しく設定しても、 VLAN 10のPCとVLAN 20のPCは、レイヤー2スイッチングだけでは通信できません。
異なるVLAN間で通信するには、 ルーターやレイヤー3スイッチによる Inter-VLAN Routingが必要です。
アクセスポートとトランクポートの比較
| 比較項目 | アクセスポート | トランクポート |
|---|---|---|
| 主な役割 | 端末を1つのVLANへ所属させる | 複数VLANを1本のリンクで運ぶ |
| 扱うVLAN | 原則として1つのデータVLAN | 複数のVLAN |
| 主な接続先 | PC、プリンター、一般的なサーバー | スイッチ、ルーター、AP、仮想化ホスト |
| 送信フレーム | 通常はタグなし | 通常は802.1Qタグ付き |
| 受信フレーム | 通常はタグなしを想定 | タグ付きとタグなしの両方を扱う場合がある |
| VLANの指定 | Access VLANを設定する | Allowed VLANやNative VLANを設定する |
| Ciscoの代表設定 | switchport mode access |
switchport mode trunk |
| 代表的な障害 | Access VLANの設定間違い | Allowed VLAN・Native VLAN・モード不一致 |
ネイティブVLANとAllowed VLAN
ネイティブVLANとは
ネイティブVLANとは、IEEE 802.1Qトランクポートで タグなしフレームを扱うために使用されるVLANです。
Cisco機器では、初期状態でVLAN 1がネイティブVLANになっていることが一般的ですが、 設計に合わせて別のVLANへ変更できます。
トランクの両端でネイティブVLANを一致させてください。
SW1側がVLAN 999、SW2側がVLAN 1になっていると、 タグなしで届いたフレームを両スイッチが異なるVLANとして扱う可能性があります。
Allowed VLANとは
Allowed VLANとは、そのトランクポートを通過できるVLANの一覧です。
たとえば、トランクでVLAN 10、20、30だけを運ぶ場合は、 Allowed VLANを次のように制限します。
switchport trunk allowed vlan 10,20,30Allowed VLANを制限すると、不要なVLANのブロードキャストや 未知ユニキャストを別のスイッチへ流さずに済みます。 また、意図しないVLANの延長を防ぐためにも役立ちます。
トランクモードになっていても、対象VLANがAllowed VLANへ含まれていなければ、 そのVLANの通信はトランクを通過できません。
VLAN自体の作成も必要
Allowed VLANへVLAN 30を指定していても、 スイッチ上にVLAN 30が存在しなければ、期待どおりに転送できません。
トランク障害を確認するときは、次の3点を分けて確認します。
- インターフェースがトランクとして動作しているか
- 対象VLANがAllowed VLANに含まれているか
- 対象VLANがスイッチ上に作成され、利用可能な状態か
Cisco IOSの設定例
ここでは、次の構成を例に設定します。
- GigabitEthernet0/1：PC-A接続、VLAN 10
- GigabitEthernet0/2：PC-B接続、VLAN 20
- GigabitEthernet0/24：SW2接続、VLAN 10・20・30を運ぶ
- ネイティブVLAN：VLAN 999
VLANを作成する
SW1# configure terminal
SW1(config)# vlan 10
SW1(config-vlan)# name SALES
SW1(config-vlan)# exit
SW1(config)# vlan 20
SW1(config-vlan)# name ENGINEERING
SW1(config-vlan)# exit
SW1(config)# vlan 30
SW1(config-vlan)# name SERVER
SW1(config-vlan)# exit
SW1(config)# vlan 999
SW1(config-vlan)# name NATIVE
SW1(config-vlan)# exitアクセスポートを設定する
SW1(config)# interface GigabitEthernet0/1
SW1(config-if)# description PC-A_VLAN10
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
SW1(config-if)# spanning-tree portfast
SW1(config-if)# no shutdownspanning-tree portfastは、PCやプリンターなどの端末接続ポートで使用します。
スイッチ同士を接続する通常のポートへ安易に設定しないでください。
SW1(config)# interface GigabitEthernet0/2
SW1(config-if)# description PC-B_VLAN20
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 20
SW1(config-if)# spanning-tree portfast
SW1(config-if)# no shutdownトランクポートを設定する
SW1(config)# interface GigabitEthernet0/24
SW1(config-if)# description TRUNK_TO_SW2
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk native vlan 999
SW1(config-if)# switchport trunk allowed vlan 10,20,30,999
SW1(config-if)# no shutdownSW2(config)# interface GigabitEthernet0/24
SW2(config-if)# description TRUNK_TO_SW1
SW2(config-if)# switchport mode trunk
SW2(config-if)# switchport trunk native vlan 999
SW2(config-if)# switchport trunk allowed vlan 10,20,30,999
SW2(config-if)# no shutdownトランクの両端で合わせる項目
- トランクとして動作させること
- ネイティブVLAN
- 通信に必要なAllowed VLAN
- 速度やDuplexなどの物理インターフェース条件
switchport trunk encapsulation dot1qは必要か
古い機種や複数のトランク方式を選択できる機種では、 次のコマンドを使用する場合があります。
switchport trunk encapsulation dot1q一方、Catalyst 9200など、トランク方式がIEEE 802.1Qに固定されている機種では、 このコマンド自体が存在しない場合があります。
コマンドの有無や構文は、機種・OS・バージョンによって異なります。 実機では、入力補完や公式コマンドリファレンスも確認してください。
既存のAllowed VLANへVLANを追加する場合
現在VLAN 10、20が許可されているポートへVLAN 30を追加する場合は、
addを使用します。
SW1(config-if)# switchport trunk allowed vlan add 30
switchport trunk allowed vlan 30と入力すると、
既存のリストをVLAN 30だけに置き換える場合があります。
稼働中のトランクへ変更を加えるときは、 現在のAllowed VLANを必ず確認してから操作してください。
設定を確認するコマンド
トランクポートの状態を確認する
SW1# show interfaces trunk
Port Mode Encapsulation Status Native vlan
Gi0/24 on 802.1q trunking 999
Port Vlans allowed on trunk
Gi0/24 10,20,30,999
Port Vlans allowed and active in management domain
Gi0/24 10,20,30,999
Port Vlans in spanning tree forwarding state and not pruned
Gi0/24 10,20,30,999| 確認項目 | 読み取り方 |
|---|---|
| Status | trunkingならトランクとして動作中 |
| Native vlan | ネイティブVLAN番号を確認する |
| Vlans allowed on trunk | 設定上、通過を許可したVLAN |
| Vlans allowed and active | 許可され、スイッチ上でも有効なVLAN |
| forwarding state | STPで転送可能な状態のVLAN |
ポートの詳細設定を確認する
SW1# show interfaces GigabitEthernet0/24 switchport
Name: Gi0/24
Switchport: Enabled
Administrative Mode: trunk
Operational Mode: trunk
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 999 (NATIVE)
Trunking VLANs Enabled: 10,20,30,999特に、次の2項目を区別してください。
- Administrative Mode：設定上のモード
- Operational Mode：実際に動作しているモード
アクセスポートのVLANを確認する
SW1# show vlan brief
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active
10 SALES active Gi0/1
20 ENGINEERING active Gi0/2
30 SERVER active
999 NATIVE active設定そのものを確認する
SW1# show running-config interface GigabitEthernet0/24
interface GigabitEthernet0/24
description TRUNK_TO_SW2
switchport trunk native vlan 999
switchport trunk allowed vlan 10,20,30,999
switchport mode trunkMACアドレスの学習状況を確認する
SW1# show mac address-table interface GigabitEthernet0/24
Vlan Mac Address Type Ports
---- ----------- -------- -----
10 0011.2233.4455 DYNAMIC Gi0/24
20 00aa.bbcc.ddee DYNAMIC Gi0/24
30 0050.56aa.1001 DYNAMIC Gi0/241つのトランクポートで複数VLANのMACアドレスが学習されることは、 通常の動作です。
MACアドレスがGi0/24で学習されていれば、 その端末がGi0/24の先にあるスイッチなどへ接続されていると判断できます。
よくある障害と切り分け
PC-AをVLAN 10へ所属させる予定なのに、 接続ポートがVLAN 20になっているケースです。
interface GigabitEthernet0/1
switchport mode access
switchport access vlan 20PC-Aから送信されたフレームはVLAN 20として扱われるため、 VLAN 10の端末とは同一レイヤー2ネットワークになりません。
switchport trunk allowed vlan 10,20この設定では、VLAN 30のフレームはトランクを通過できません。 VLAN 10と20は正常なのに、VLAN 30だけ通信できない場合に確認します。
SW1：switchport trunk native vlan 999
SW2：switchport trunk native vlan 1タグなしフレームをSW1とSW2が異なるVLANとして扱う可能性があります。 ログやCDPメッセージでNative VLAN mismatchが表示されることもあります。
SW1：switchport mode trunk
SW2：switchport mode accessタグ付きフレームをアクセスポート側が正常に扱えず、 一部または全部のVLANで通信できなくなる可能性があります。
SW1にはVLAN 30が作成されているものの、 SW2にはVLAN 30が存在しないケースです。
Allowed VLANへVLAN 30が表示されていても、 VLAN自体が有効でなければ正常に転送できません。
トランクポート自体がリンクアップしていても、 STPの状態によってフレームを転送していない場合があります。
show interfaces trunkや
show spanning-tree vlan 10を組み合わせて確認します。
基本的な切り分け順序
-
物理リンクを確認する
ポートがupになっているか、エラーやリンクフラップがないか確認します。 -
端末側のAccess VLANを確認する
対象端末が想定したVLANへ所属しているか確認します。 -
トランクの動作状態を確認する
Administrative ModeとOperational Modeを確認します。 -
Allowed VLANを確認する
対象VLANがトランクの両端で許可されているか確認します。 -
ネイティブVLANを確認する
トランクの両端で設定が一致しているか確認します。 -
VLANの存在と状態を確認する
対象VLANが両スイッチで作成され、activeになっているか確認します。 -
STP状態を確認する
対象VLANのポートがForwarding状態か確認します。 -
MACアドレスを追跡する
端末のMACアドレスが想定ポート・VLANで学習されているか確認します。
調査結果の報告例
確認の結果、PC-A接続ポートGi0/1はVLAN 10のアクセスポートとして link upしています。
一方、SW1とSW2間のトランクGi0/24ではAllowed VLANが VLAN 10、20のみとなっており、対象のVLAN 30が許可されていませんでした。
VLAN 30の通信がスイッチ間トランクで破棄されていることが原因と判断します。 影響範囲と既存通信への影響を確認後、Allowed VLANへのVLAN 30追加を実施します。
アクセスポートとトランクポートのよくある勘違い
無線LANアクセスポイント、ルーター、ファイアウォール、 仮想化ホストなど、複数VLANを扱う機器との接続にも使用します。
ネイティブVLANのフレームをタグなしで送信する構成があります。 トランクではタグ付きとタグなしの両方を扱う場合があります。
Allowed VLANで許可されていないVLANは通過できません。 VLAN自体が存在するか、STPで転送可能かも確認が必要です。
一般的なPCはタグなしフレームを送信し、 スイッチが受信ポートの設定を基にVLANへ所属させます。
トランクは各VLANを別のスイッチへ延長する仕組みです。 異なるVLAN間の通信にはInter-VLAN Routingが必要です。
トランク障害を1つのコマンドだけで判断せず、 複数の情報を構成図と照合することが重要です。
理解度チェック
次の6問に答えてください。 解答を見る前に、ポートの役割とVLANタグの位置を考えましょう。
問題1．一般的なPCを1つのVLANへ所属させるために使用するポートはどれですか。
- ルーテッドポート
- アクセスポート
- トランクポート
- ループバックインターフェース
解答を見る
PCやプリンターなど、通常1つのデータVLANへ所属する端末は、 アクセスポートへ接続します。
問題2．トランクポートの主な役割はどれですか。
- 1本のリンクで複数VLANを運ぶ
- IPアドレスを自動配布する
- 異なるVLAN間をルーティングする
- MACアドレスをIPアドレスへ変換する
解答を見る
トランクポートは、VLANを識別しながら 1本の物理リンクで複数VLANを運びます。
問題3．トランクでVLAN 10、20だけが許可されています。 VLAN 30のフレームはどうなりますか。
解答を見る
VLAN 30はAllowed VLANへ含まれていないため、 そのトランクを通過できません。
問題4．ネイティブVLANについて正しい説明はどれですか。
- すべてのトランク通信を暗号化するVLAN
- タグなしフレームを扱うために使用されるVLAN
- ルーティング専用のVLAN
- 必ずVLAN 4094を使用する
解答を見る
IEEE 802.1Qトランクでは、 タグなしフレームをネイティブVLANとして扱います。
問題5．次の出力から分かる問題点を答えてください。
Port Status Native VLAN Allowed VLANs
SW1 Gi0/24 trunking 999 10,20,30,999
SW2 Gi0/24 trunking 1 10,20,30,999解答を見る
SW1とSW2でネイティブVLANが一致していません。 SW1はVLAN 999、SW2はVLAN 1となっています。
問題6．VLAN 10のPCとVLAN 20のPCが通信するために必要な機能は何ですか。
解答を見る
Inter-VLAN Routingが必要です。 ルーターまたはレイヤー3スイッチが異なるVLAN間の通信を中継します。
実践演習：VLAN 30だけ通信できない原因を特定しよう
SW1とSW2はトランクポートで接続されています。 VLAN 10とVLAN 20の通信は正常ですが、VLAN 30だけスイッチ間で通信できません。
構成
演習用ネットワーク
Gi0/24
SW1の確認結果
SW1# show interfaces trunk
Port Mode Encapsulation Status Native vlan
Gi0/24 on 802.1q trunking 999
Port Vlans allowed on trunk
Gi0/24 10,20,999
Port Vlans allowed and active in management domain
Gi0/24 10,20,999SW2の確認結果
SW2# show interfaces trunk
Port Mode Encapsulation Status Native vlan
Gi0/24 on 802.1q trunking 999
Port Vlans allowed on trunk
Gi0/24 10,20,30,999
Port Vlans allowed and active in management domain
Gi0/24 10,20,30,999課題1．原因を特定する
課題1の解答を見る
SW1のGi0/24で、Allowed VLANにVLAN 30が含まれていません。
SW1の設定はVLAN 10、20、999だけを許可しているため、 VLAN 30のフレームをトランクへ転送できません。
課題2．修正コマンドを考える
課題2の解答を見る
SW1(config)# interface GigabitEthernet0/24
SW1(config-if)# switchport trunk allowed vlan add 30
addを使用し、既存のAllowed VLANを残したままVLAN 30を追加します。
課題3．修正後の確認項目を考える
課題3の解答例を見る
-
show interfaces trunk
VLAN 30がAllowed VLANとactive VLANに表示されること -
show vlan brief
VLAN 30が作成され、activeになっていること -
show spanning-tree vlan 30
Gi0/24がForwarding状態であること -
show mac address-table vlan 30
VLAN 30のMACアドレスを学習していること -
VLAN 30の端末間ping
実際の通信が復旧していること
課題4．調査報告を書く
報告例を見る
VLAN 30のスイッチ間通信ができない事象について確認した結果、 SW1のGi0/24はトランクとして正常に動作していましたが、 Allowed VLANが10、20、999となっており、VLAN 30が許可されていませんでした。
SW1のGi0/24へVLAN 30を追加し、 両スイッチでAllowed VLAN、VLAN状態、STP状態を確認しました。 修正後、VLAN 30のMACアドレス学習と端末間疎通が正常であることを確認しました。
自分の言葉で説明する課題
ネットワークを学び始めた後輩から、 「アクセスポートとトランクポートは何が違うのですか？」 と質問されました。1分程度で説明してください。
トランクポートとは、＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿。
説明例を見る
アクセスポートは、PCやプリンターなどを1つのVLANへ所属させるためのポートです。 一般的な端末とはタグなしフレームで通信し、 スイッチがポート設定を基にVLANを判断します。
トランクポートは、スイッチ間などで1本のリンクに複数のVLANを通すためのポートです。 各フレームがどのVLANに所属するかを識別するため、 主にIEEE 802.1Qタグを利用します。
次の4点を含めて説明できれば、この記事の目標は達成です。
- アクセスポートは端末接続に使う
- アクセスポートは原則として1つのデータVLANを扱う
- トランクポートは複数VLANを扱う
- トランクではVLANを識別するためにタグを利用する
まとめ
- アクセスポートは、PCやプリンターなどを 原則として1つのデータVLANへ所属させるポート
- トランクポートは、1本のリンクで複数のVLANを運ぶポート
- 一般的な端末はタグなしフレームを送信し、 スイッチがアクセスポート設定から所属VLANを判断する
- トランクリンクでは、主にIEEE 802.1Qタグを使ってVLANを識別する
- ネイティブVLANは、トランク上のタグなしフレームを扱うためのVLAN
- Allowed VLANに含まれていないVLANは、トランクを通過できない
- トランク障害では、モード、Allowed VLAN、Native VLAN、 VLAN状態、STP、MACアドレス学習を順番に確認する
- 異なるVLAN間の通信には、Inter-VLAN Routingが必要
「端末側ではタグなし、スイッチ間ではタグ付き」という基本の流れを理解すると、 VLAN構成やトランク障害を読み解きやすくなります。
コメント