Inter-VLAN Routingとは何か

VLAN 10とVLAN 20は、別々のブロードキャストドメインです。 VLAN 10で送信されたARP Requestやブロードキャストフレームは、通常VLAN 20へ転送されません。

そのため、VLAN 10の端末からVLAN 20の端末へ通信するときは、 一度レイヤー3機器へパケットを渡し、宛先ネットワークを判断してもらう必要があります。

なぜ異なるVLAN間にはルーティングが必要なのか

端末は、宛先IPアドレスと自分のサブネットマスクを使い、 宛先が同じIPネットワークにいるのか、異なるIPネットワークにいるのかを判断します。

PC-AのIPアドレスが192.168.10.10/24、 PC-BのIPアドレスが192.168.20.20/24の場合、 PC-AはPC-Bが自分と異なるネットワークにいると判断します。

PC-AはPC-BのMACアドレスを直接調べるのではなく、 VLAN 10側のデフォルトゲートウェイである192.168.10.1のMACアドレスをARPで確認し、 そのMACアドレス宛てにフレームを送ります。

VLAN 10からVLAN 20へ通信する流れ

PC-AからPC-Bへpingを送る場面を例に、通信の流れを確認します。

1. PC-Aが宛先IPアドレスを自分のサブネットと比較する PC-Aは192.168.20.20が192.168.10.0/24の外にあると判断します。
2. PC-AがデフォルトゲートウェイのMACアドレスを調べる ARPテーブルに情報がなければ、VLAN 10内で192.168.10.1を問い合わせます。
3. PC-Aがゲートウェイ宛てにフレームを送る IPパケットの宛先IPはPC-B、Ethernetフレームの宛先MACはVLAN 10側ゲートウェイになります。
4. レイヤー3機器がEthernetヘッダーを外して経路を検索する 宛先IPアドレス192.168.20.20をルーティングテーブルで検索し、VLAN 20側へ転送すると判断します。
5. レイヤー3機器がVLAN 20側でPC-BのMACアドレスを確認する ARPテーブルに情報がなければ、VLAN 20内でPC-BのMACアドレスを問い合わせます。
6. 新しいEthernetフレームを作成してPC-Bへ転送する 送信元MACはVLAN 20側ゲートウェイ、宛先MACはPC-Bになります。
7. PC-Bが応答を返す PC-BもPC-Aを異なるネットワークと判断し、VLAN 20側のデフォルトゲートウェイへ応答を送ります。

Inter-VLAN Routingの3つの方式

Router on a Stickの設定例

次の構成をCisco IOSの例で設定します。

スイッチ側の設定

SW1# configure terminal

! VLANを作成
SW1(config)# vlan 10
SW1(config-vlan)# name SALES
SW1(config-vlan)# exit
SW1(config)# vlan 20
SW1(config-vlan)# name ENGINEERING
SW1(config-vlan)# exit

! PC-AをVLAN 10へ収容
SW1(config)# interface FastEthernet0/1
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
SW1(config-if)# spanning-tree portfast
SW1(config-if)# no shutdown
SW1(config-if)# exit

! PC-BをVLAN 20へ収容
SW1(config)# interface FastEthernet0/2
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 20
SW1(config-if)# spanning-tree portfast
SW1(config-if)# no shutdown
SW1(config-if)# exit

! ルーター接続ポートをトランク化
SW1(config)# interface GigabitEthernet0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20
SW1(config-if)# no shutdown
SW1(config-if)# end

スイッチとルーター間のリンクでは、VLAN 10とVLAN 20のフレームを1本で運ぶため、 スイッチ側ポートをトランクポートにします。

ルーター側の設定

R1# configure terminal

! 親インターフェースを有効化
R1(config)# interface GigabitEthernet0/0
R1(config-if)# no ip address
R1(config-if)# no shutdown
R1(config-if)# exit

! VLAN 10用サブインターフェース
R1(config)# interface GigabitEthernet0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# exit

! VLAN 20用サブインターフェース
R1(config)# interface GigabitEthernet0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
R1(config-subif)# end

encapsulation dot1Q 10は、そのサブインターフェースがVLAN 10の802.1Qフレームを扱うことを示します。 サブインターフェース番号の.10とVLAN ID 10を一致させる必要はありませんが、 運用上分かりやすいため一致させる構成が一般的です。

Router on a Stickの注意点

• すべてのVLAN間通信がルーター接続リンクを往復する
• リンク障害やルーターポート障害の影響が複数VLANへ広がる
• VLAN追加時は、スイッチとルーターの両方に設定が必要
• ネイティブVLANを使う場合は、両端の設定を一致させる
• ACLやQoSをサブインターフェース単位で適用できる

レイヤー3スイッチとSVIの設定例

レイヤー3スイッチでは、VLANごとに SVI（Switched Virtual Interface）を作成し、IPアドレスを設定します。 各SVIは、そのVLANに所属する端末のデフォルトゲートウェイとして動作します。

L3SW1# configure terminal

! VLANを作成
L3SW1(config)# vlan 10
L3SW1(config-vlan)# name SALES
L3SW1(config-vlan)# exit
L3SW1(config)# vlan 20
L3SW1(config-vlan)# name ENGINEERING
L3SW1(config-vlan)# exit

! PC-A用アクセスポート
L3SW1(config)# interface GigabitEthernet1/0/1
L3SW1(config-if)# switchport mode access
L3SW1(config-if)# switchport access vlan 10
L3SW1(config-if)# spanning-tree portfast
L3SW1(config-if)# no shutdown
L3SW1(config-if)# exit

! PC-B用アクセスポート
L3SW1(config)# interface GigabitEthernet1/0/2
L3SW1(config-if)# switchport mode access
L3SW1(config-if)# switchport access vlan 20
L3SW1(config-if)# spanning-tree portfast
L3SW1(config-if)# no shutdown
L3SW1(config-if)# exit

! VLAN 10のデフォルトゲートウェイ
L3SW1(config)# interface Vlan10
L3SW1(config-if)# ip address 192.168.10.1 255.255.255.0
L3SW1(config-if)# no shutdown
L3SW1(config-if)# exit

! VLAN 20のデフォルトゲートウェイ
L3SW1(config)# interface Vlan20
L3SW1(config-if)# ip address 192.168.20.1 255.255.255.0
L3SW1(config-if)# no shutdown
L3SW1(config-if)# exit

! レイヤー3転送を有効化
L3SW1(config)# ip routing
L3SW1(config)# end

interface Vlan10とinterface Vlan20は、物理ポートではなく論理インターフェースです。 ip routingを有効にすると、スイッチはルーティングテーブルを使ってVLAN間のパケットを転送します。

SVIがup/upにならないときの考え方

一般的には、次の条件を確認します。

• 対象VLANがVLANデータベースに存在し、activeになっている
• SVIがshutdownされていない
• 対象VLANに属するレイヤー2ポートが少なくとも1つリンクアップしている
• 対象ポートがSTPのForwarding状態になっている

方式を選ぶ判断基準

「どの方式でも通信できる」だけで選ぶのではなく、 VLAN数、通信量、障害影響、拡張性、運用方法を比較します。

確認コマンドと正常性の判断

設定後は、いきなりPC-AからPC-Bへpingするだけでなく、 レイヤー2、ゲートウェイ、ルーティングの順番で確認します。

Router on a Stickの正常出力例

R1# show ip interface brief
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0     unassigned      YES unset  up                    up
GigabitEthernet0/0.10  192.168.10.1    YES manual up                    up
GigabitEthernet0/0.20  192.168.20.1    YES manual up                    up

R1# show ip route connected
C    192.168.10.0/24 is directly connected, GigabitEthernet0/0.10
C    192.168.20.0/24 is directly connected, GigabitEthernet0/0.20

L3スイッチの正常出力例

L3SW1# show ip interface brief | include Vlan
Vlan10                 192.168.10.1    YES manual up                    up
Vlan20                 192.168.20.1    YES manual up                    up

L3SW1# show ip route connected
C    192.168.10.0/24 is directly connected, Vlan10
C    192.168.20.0/24 is directly connected, Vlan20

VLAN間通信障害の切り分け

「VLAN 10からVLAN 20へpingできない」ときは、 端末から遠い場所を無作為に確認するのではなく、通信経路に沿って切り分けます。

基本的な確認順序

1. 端末のIPアドレス・サブネットマスク・デフォルトゲートウェイを確認する VLAN 10の端末にVLAN 20側のゲートウェイが設定されていないか、プレフィックスが誤っていないかを確認します。
2. 端末自身と同一VLAN内の通信を確認する NIC、ケーブル、アクセスポート、VLAN所属など、ルーティングより手前の問題を切り分けます。
3. 自VLANのデフォルトゲートウェイへpingする ここで失敗する場合は、VLAN間ルーティング以前に、端末からゲートウェイまでのL2経路を確認します。
4. VLANとトランクを確認する VLANの作成、アクセスポートの所属、トランクの許可VLAN、ネイティブVLAN不一致を確認します。
5. サブインターフェースまたはSVIの状態を確認する IPアドレス、802.1Q VLAN ID、up/up状態、親インターフェースの状態を確認します。
6. ルーティングテーブルを確認する 両方のVLANネットワークがconnectedとして登録されているか、L3スイッチではip routingが有効か確認します。
7. ARP・MACアドレステーブルを確認する L3機器が端末のARPを学習しているか、スイッチが正しいVLANでMACを学習しているかを確認します。
8. ACL・端末ファイアウォール・戻り経路を確認する 片方向だけ届く場合は、応答側のデフォルトゲートウェイや通信制御も確認します。

よくある設定ミス

調査結果の報告例

Inter-VLAN Routingに関するよくある勘違い

現場での説明例と英語表現

顧客・上司への30秒説明例

設計レビューで確認する質問

• どのVLANから、どのVLANへ、何の通信を許可するのか
• デフォルトゲートウェイをどの装置に配置するのか
• ゲートウェイ障害時の冗長化は必要か
• VLAN間トラフィック量はどの程度か
• ACLはSVI、ルーター、ファイアウォールのどこで適用するのか
• DHCPリレーや監視通信もVLANを越える必要があるか

公式ドキュメントで出てくる英語

自分の言葉で説明する課題