この記事は、 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第12回です。
第2章では、要件定義で整理した条件をもとに、 IPアドレス・VLAN・ルーティング・冗長化などの 基本設計へ落とし込む方法を学びます。
VLAN設計とは？分割方針・VLAN ID・IPアドレス・通信制御の決め方
VLANを設定できることと、VLANを設計できることは別です。 設計では、利用者・端末・業務・セキュリティ・運用要件を確認し、 「誰をどのネットワークへ収容し、どこまで通信を許可するか」を決めます。 この記事では、実務で使えるVLAN一覧表を作れるところまで解説します。
中級編では、VLANの仕組みやアクセスポート・トランクポート、 IEEE 802.1Qなどを学びました。
上級編では一段階進み、 「営業部はVLAN10、技術部はVLAN20」 と数字を割り当てる前に、なぜ分けるのかを考えます。
VLAN設計の目的はVLANを増やすことではありません。 業務・セキュリティ・障害影響・運用性を考慮し、 適切な単位でネットワークを分割することです。
この記事を読み終えるとできること
- VLAN設計の目的を説明できる
- 要件からVLANの分割単位を決められる
- VLAN IDの割り当てルールを作れる
- VLAN名の命名規則を設計できる
- VLANとIPサブネットを対応付けられる
- VLAN間通信の考え方を整理できる
- アクセスポート・トランクの設計方針を決められる
- VLAN一覧表を成果物として作成できる
VLAN設計とは何か
VLAN設計とは、利用者・端末・用途・セキュリティ要件などをもとに、 LANをどの単位で論理的に分割し、 各VLANへどの端末を収容するかを決める工程です。
VLANを使用すると、同じ物理スイッチに接続している端末でも、 論理的に異なるLANとして分離できます。
1台のスイッチ上でもVLANごとに論理ネットワークを分離できる
PC・ノートPC
PC・検証端末
業務サーバー
ネットワーク機器
ただし、設計者の仕事は 「VLAN10を作る」「VLAN20を作る」と設定値を決めることから始まるわけではありません。
最初に確認するのは、 なぜ分離する必要があるのかです。
VLANは目的ではなく手段です。
部署分離、端末種別分離、セキュリティ境界、障害影響範囲の縮小、 運用管理などの目的を実現するためにVLANを利用します。
要件からVLAN設計へ落とし込む流れ
上級編では、要件と設計を分けて考えることが重要です。
ゲスト端末を
社内LANから分離したい
社員用とゲスト用を
別セグメントにする
VLAN10：社員
VLAN50：ゲスト
VLAN設計では、次のような情報を要件定義から受け取ります。
利用者・端末
- 部署
- 利用者数
- PC台数
- 電話
- プリンター
- IoT機器
通信要件
- 誰と通信するか
- 必要なサーバー
- インターネット利用
- 相互通信の要否
セキュリティ要件
- 分離対象
- 管理端末
- ゲスト端末
- 重要サーバー
- 許可・禁止通信
VLAN設計は単独で完結しません。 IPアドレス設計、ルーティング設計、ACL・ファイアウォール設計、 無線LAN設計、DHCP設計 などと整合させる必要があります。
なぜVLANを分割するのか
VLANを設計する理由は大きく4つに整理できます。
通信範囲を分ける
VLANごとにブロードキャストドメインを分割し、 不要なL2通信の範囲を限定できます。
利用者を分離する
社員、ゲスト、サーバー、管理端末などを 別ネットワークへ分離できます。
通信制御しやすくする
VLAN間の通信をL3機器へ集約することで、 ACLやファイアウォールによる制御を設計しやすくなります。
管理しやすくする
用途ごとにネットワークを整理することで、 障害調査や構成管理を行いやすくします。
「部署が違うから分ける」とは限らない
VLANを部署単位で分ける構成は分かりやすいですが、 必ずしもすべての案件で適切とは限りません。
たとえば営業部と総務部で必要な通信制御がまったく同じなら、 同じユーザーVLANへ収容する設計も考えられます。
反対に、同じ部署でも PC・IP電話・監視カメラ・管理機器は用途やセキュリティ条件が異なるため、 VLANを分ける場合があります。
組織図をそのままVLAN構成図にしないことが重要です。
「通信要件やセキュリティ要件が異なるか」という視点で分割を判断します。
VLANを分ける判断基準
VLANを分割するか迷った場合は、次の観点から確認します。
利用者・組織
- 部署や利用者グループが異なるか
- 利用できるシステムが異なるか
- 権限が異なるか
端末種別
- PC
- IP電話
- プリンター
- 監視カメラ
- IoT機器
- ネットワーク機器
セキュリティ
- 相互通信を制限する必要があるか
- インターネットだけ許可する端末か
- 重要な管理通信を含むか
- 外部利用者が接続するか
運用・障害影響
- 管理担当が異なるか
- 障害影響範囲を分けたいか
- アドレス管理を分離したいか
- 移行時期が異なるか
代表的なVLANの分け方
| VLAN用途 | 収容する端末 | 分離する主な理由 |
|---|---|---|
| ユーザーVLAN | 社員PC | 一般業務端末を収容する |
| サーバーVLAN | 業務サーバー | ユーザー端末と分離し通信制御する |
| 管理VLAN | スイッチ、APなど | ネットワーク機器への管理通信を分離する |
| Voice VLAN | IP電話 | 音声端末を識別し、通信・QoS設計を分ける |
| ゲストVLAN | 来訪者端末 | 社内ネットワークから分離する |
| IoT VLAN | カメラ・センサー等 | 一般PCとは異なるセキュリティ制御を行う |
VLAN IDの設計
VLANの分割方針を決めた後に、各VLANへVLAN IDを割り当てます。
VLAN IDはその場の思いつきで決めず、 組織全体で一定のルールを持たせることが重要です。
例：用途ごとに範囲を分ける
| VLAN ID帯 | 用途例 |
|---|---|
| 10〜99 | ユーザー用 |
| 100〜199 | サーバー用 |
| 200〜299 | ネットワーク管理用 |
| 300〜399 | 音声・IoT用 |
| 400〜499 | ゲスト・一時利用用 |
これは一例であり、この番号帯を必ず使用する必要はありません。 重要なのは、案件内または組織内で規則を統一することです。
拠点番号を組み込む方法
複数拠点では、VLAN IDから拠点や用途を推測できるようにする方法もあります。
| 拠点 | 用途 | VLAN ID例 |
|---|---|---|
| 東京 | ユーザー | 110 |
| 東京 | Voice | 120 |
| 大阪 | ユーザー | 210 |
| 大阪 | Voice | 220 |
番号を見ただけで用途や拠点を推測できる設計にすると、 障害対応や設定レビューの効率が上がります。
将来追加するVLANも考える
現在必要なVLANだけを隙間なく割り当てると、 将来の追加時に番号体系が崩れることがあります。
そのため、番号を連番で完全に埋めるのではなく、 用途や拠点ごとに余裕を持たせることも検討します。
VLAN名の設計
VLAN IDだけではなく、VLAN名にも命名規則を設定します。
たとえば、
VLAN10という情報だけでは用途が分かりません。
一方で、
VLAN10 / USER-SALES
と記載されていれば、営業部ユーザー用だと推測できます。
命名例
| VLAN ID | VLAN名 | 用途 |
|---|---|---|
| 10 | USER-SALES | 営業部PC |
| 20 | USER-ENG | 技術部PC |
| 100 | SERVER | 業務サーバー |
| 200 | NET-MGMT | ネットワーク機器管理 |
| 400 | GUEST | 来訪者Wi-Fi |
良い命名規則の条件
- 短く理解できる
- 同じ規則で統一されている
- 用途を推測できる
- 機器の文字数制限などを考慮している
- 機器ごとに異なる名前を使わない
VLANとIPアドレス設計の関係
VLAN設計とIPアドレス設計は密接に関係します。
一般的な企業LANでは、 1つのVLANに1つのIPサブネットを対応させる 構成が管理しやすくなります。
VLANとIPサブネットの対応例
| VLAN | 用途 | IPサブネット | GW |
|---|---|---|---|
| 10 | 営業部 | 192.168.10.0/24 | 192.168.10.1 |
| 20 | 技術部 | 192.168.20.0/24 | 192.168.20.1 |
| 100 | サーバー | 192.168.100.0/24 | 192.168.100.1 |
| 200 | 管理 | 192.168.200.0/24 | 192.168.200.1 |
VLAN番号とIPアドレスの第3オクテットを合わせると、 小規模環境では構成を理解しやすくなります。
ただし、大規模ネットワークでは IPアドレス集約や拠点番号など別の設計要件が優先される場合があります。
VLAN IDとIPアドレスを無理に一致させる必要はありません。 IPアドレス体系全体のルールとの整合性を優先します。
VLAN間通信とデフォルトゲートウェイ
異なるVLANは、そのままではL2で直接通信するネットワークではありません。
VLAN間で通信させる場合は、 L3スイッチやルーターなどによる Inter-VLAN Routingを設計します。
VLAN間通信の基本構成
VLANごとに決める情報
- IPネットワーク
- サブネットマスク
- デフォルトゲートウェイ
- DHCPを使用するか
- VLAN間通信を許可するか
- どこで通信制御するか
VLANを分けただけで、必ずしもアクセス制御が完成するわけではありません。
L3スイッチなどでVLAN間ルーティングを有効にすれば、 設定によっては異なるVLAN同士が通信できます。 必要に応じてACLやファイアウォールなどによる制御を設計します。
アクセスポート・トランクの設計
VLAN一覧を作るだけでは、VLAN設計は完了しません。
各VLANをどのスイッチまで延伸し、 どのポートへ収容するのかも整理します。
アクセスポート
PCやプリンターなど、通常1つのVLANへ所属する端末を接続するポートでは、 対象VLANを明確にします。
| スイッチ | ポート | 用途 | VLAN |
|---|---|---|---|
| SW01 | 1〜12 | 営業部PC | VLAN10 |
| SW01 | 13〜24 | 技術部PC | VLAN20 |
トランクポート
スイッチ間やスイッチとL3機器の接続では、 複数VLANを運ぶトランクを使用する場合があります。
このとき、 どのVLANをそのリンクへ通す必要があるか を設計します。
| 接続 | 方式 | 通過VLAN |
|---|---|---|
| Core-SW01 ～ Access-SW01 | 802.1Q Trunk | 10,20,200 |
| Core-SW01 ～ Access-SW02 | 802.1Q Trunk | 10,20,400 |
「トランクだからすべてのVLANを通す」のではなく、 必要なVLANを把握して設計することが重要です。
Native VLANも設計項目に含める
Native VLANを使用する構成では、 両端の設定を統一し、設計書へ明記します。
Native VLANの扱いやデフォルト値は機器・設計ポリシーによって異なるため、 利用する製品の仕様と組織標準を確認します。
VLANとセキュリティ設計
VLANはネットワークを論理的に分割する重要な仕組みですが、 VLANを作るだけでセキュリティ対策が完了するわけではありません。
例：ゲストネットワーク
ゲスト端末を社内LANから分離する例
ゲスト端末について、 「社内ネットワークへアクセスできないこと」が要件なら、 VLAN分離に加えて通信制御を設計します。
| 送信元 | 宛先 | 方針 |
|---|---|---|
| Guest VLAN | Internet | 許可 |
| Guest VLAN | User VLAN | 禁止 |
| Guest VLAN | Server VLAN | 禁止 |
| User VLAN | 業務サーバー | 必要通信のみ許可 |
| 一般User VLAN | Management VLAN | 原則禁止 |
VLAN設計では 「分ける」だけでなく「分けた後に誰と通信させるか」 まで整理すると、後続のルーティング・ACL・ファイアウォール設計へつなげやすくなります。
小規模オフィスのVLAN設計例
ここからは、実際の要件をVLAN設計へ変換してみます。
要件
- 営業部PC：50台
- 技術部PC：40台
- 業務サーバー：10台
- ネットワーク機器：約20台
- 来訪者向けWi-Fiを提供する
- ゲスト端末から社内ネットワークへの通信は禁止する
- 一般PCからネットワーク機器の管理画面へアクセスさせない
設計結果例
| VLAN ID | VLAN名 | 用途 | IPネットワーク | GW | DHCP |
|---|---|---|---|---|---|
| 10 | USER-SALES | 営業部PC | 10.10.10.0/24 | 10.10.10.1 | 使用 |
| 20 | USER-ENG | 技術部PC | 10.10.20.0/24 | 10.10.20.1 | 使用 |
| 100 | SERVER | 業務サーバー | 10.10.100.0/24 | 10.10.100.1 | 原則固定 |
| 200 | NET-MGMT | ネットワーク機器 | 10.10.200.0/24 | 10.10.200.1 | 原則固定 |
| 400 | GUEST | ゲストWi-Fi | 10.10.40.0/23 | 10.10.40.1 | 使用 |
設計理由
営業・技術
利用者グループを分離し、 将来的に部署別のアクセス制御が必要になった場合にも対応しやすくします。
サーバー
ユーザー端末とは別VLANとし、 必要な業務通信だけを許可できる構成にします。
管理
ネットワーク機器の管理IPを一般ユーザー端末から分離し、 管理端末や管理経路からのみアクセスできる設計につなげます。
ゲスト
社内利用者とは別VLANへ収容し、 インターネットのみ利用できる通信制御を行います。
設計レビューでは、 「なぜVLAN100なのか」より「なぜサーバーをユーザーと分離したのか」 を説明できることが重要です。
VLAN設計書に残す内容
VLAN設計の結果は、後続の詳細設計・構築・試験で使用できる形に整理します。
最低限作成したいVLAN一覧
| 項目 | 記載内容 |
|---|---|
| VLAN ID | 10、20、100など |
| VLAN名 | USER-SALESなど |
| 用途 | 営業部PC、サーバー、管理など |
| IPネットワーク | 10.10.10.0/24など |
| デフォルトGW | 10.10.10.1など |
| DHCP | 使用・未使用 |
| 収容場所 | 本社3F、サーバールームなど |
| 通信制御 | Internetのみ、Server VLANへの必要通信など |
| 備考 | 将来拡張、移行条件など |
トランク設計も別表にする
| 接続元 | 接続先 | ポート | 方式 | 許可VLAN |
|---|---|---|---|---|
| Core-SW01 | Access-SW01 | Port1 | Trunk | 10,20,200 |
| Core-SW01 | Access-SW02 | Port2 | Trunk | 10,20,400 |
設計レビュー前チェックリスト
- VLANを分割する理由が説明できる
- VLAN IDの重複がない
- VLAN IDの割り当て規則が統一されている
- VLAN名から用途を判断できる
- IPアドレス設計と整合している
- 必要な端末数を収容できる
- 将来増加を考慮している
- デフォルトゲートウェイが明確になっている
- DHCP利用有無が決まっている
- VLAN間通信の方針が明確になっている
- 管理VLANへのアクセス条件が整理されている
- ゲスト・IoT等の分離方針が整理されている
- 各トランクで必要なVLANが整理されている
- 既存VLANとの重複・移行影響を確認している
VLAN設計でよくある失敗
組織図だけを見てVLANを分けると、 通信要件やセキュリティ要件と合わない構成になることがあります。
分離する必要性・通信制御・運用単位を確認してから決定します。
VLANを増やすほど必ず良い設計になるわけではありません。 VLAN、IPサブネット、SVI、DHCP、ACL、監視などの管理対象も増えます。
L3ルーティングが存在すればVLAN間通信が可能になるため、 セキュリティ要件に応じてACLやファイアウォールを設計します。
拠点や機器ごとに異なるルールで番号を割り当てると、 将来の増設や障害調査が難しくなります。
VLANだけ決めて後からIPアドレスを割り当てると、 必要ホスト数やアドレス体系と整合しないことがあります。
そのリンクで必要なVLANを確認し、 VLANの延伸範囲を把握できる構成にします。
「この利用者を分離したい」という要件から、 VLAN、IPサブネット、ルーティング、アクセス制御まで 一連の設計として整理します。
顧客・上司へVLAN設計をどう説明するか
技術に詳しくない顧客へ 「VLANを5個作ります」と説明しても、 その価値は伝わりにくいでしょう。
技術ではなく、業務やリスクに置き換えて説明します。
説明例：ゲストVLAN
来訪者向けWi-Fiは社員PCとは別のネットワークへ分離します。 そのうえで、ゲスト端末はインターネットのみ利用できるよう通信を制御します。 これにより、来訪者の端末から社内システムへ直接アクセスできない構成とします。
説明例：管理VLAN
スイッチや無線LAN機器の管理用通信は、 一般社員が利用するネットワークから分離します。 管理端末からのみアクセスできる構成にすることで、 一般利用者から管理画面へ接続されるリスクを抑えます。
技術から業務価値へ翻訳する
| 技術的な説明 | 顧客向けの説明 |
|---|---|
| VLANを分ける | 利用者・端末ごとにネットワークを分離する |
| 管理VLANを作る | 一般端末からネットワーク機器へ直接アクセスさせない |
| Guest VLANを作る | 来訪者から社内システムへ接続させない |
| VLAN間ACLを設定する | 業務上必要な通信だけを許可する |
Level 3以上の設計者には、 「何を設定するか」ではなく「なぜその設計が必要なのか」 を説明する力が求められます。
VLAN設計で使う英語表現
よく使われる単語
| 英語 | 意味 |
|---|---|
| VLAN design | VLAN設計 |
| Network segmentation | ネットワーク分割 |
| VLAN ID | VLAN番号 |
| Access VLAN | アクセスポートへ割り当てるVLAN |
| Trunk link | 複数VLANを運ぶリンク |
| Allowed VLAN | トランク上で許可するVLAN |
| Native VLAN | Native VLAN |
| Management VLAN | 管理用VLAN |
| Guest VLAN | ゲスト用VLAN |
| Inter-VLAN routing | VLAN間ルーティング |
設計レビューで使える表現
This VLAN is dedicated to network management traffic.
このVLANはネットワーク管理通信専用です。
Guest devices are isolated from the internal network.
ゲスト端末は社内ネットワークから分離されています。
Only required VLANs are allowed on this trunk link.
このトランクリンクでは必要なVLANのみ許可します。
Inter-VLAN traffic is controlled by the firewall.
VLAN間通信はファイアウォールで制御します。
理解度チェック
VLANの用語ではなく、 設計判断ができるかを確認します。
問題1．VLAN設計で最初に行うべきこととして最も適切なのはどれですか。
- VLAN IDを10から順番に割り当てる
- 使用するスイッチのメーカーを決める
- 利用者・端末・通信・セキュリティ要件を確認する
- すべてのポートをトランクにする
解答を見る
VLANは要件を実現するための手段です。 まず誰をなぜ分離する必要があるのかを確認します。
問題2．ゲスト端末をGuest VLANへ分離しました。 これだけで社内サーバーへの通信が必ず禁止されるでしょうか。
解答を見る
VLAN間ルーティングが存在する場合、 異なるVLAN間で通信できる構成があります。 ACLやファイアウォールなどを含めて通信制御を設計します。
問題3．次のうち、VLANを分ける理由として最も不適切なものはどれですか。
- セキュリティ要件が異なる
- 端末用途が異なる
- 通信制御を分けたい
- VLANは多いほど高性能になる
解答を見る
VLANを増やせば自動的に性能が向上するわけではありません。 管理対象も増えるため、必要性を考えて分割します。
問題4．VLAN10を192.168.10.0/24へ対応させる設計は必須でしょうか。
解答を見る
VLAN番号とIPアドレスを合わせると分かりやすい場合がありますが、 IPアドレス体系・経路集約・拠点設計などとの整合性を優先します。
問題5．VLAN設計書にVLAN IDとVLAN名だけを記載しました。 追加した方がよい情報を3つ以上挙げてください。
解答例を見る
- 用途
- IPネットワーク
- デフォルトゲートウェイ
- DHCP利用有無
- 収容場所
- 通信制御方針
- 備考・設計理由
実践演習：要件からVLANを設計する
あなたは新しい支店ネットワークの基本設計を担当しています。 次の要件からVLAN構成を考えてください。
要件
- 社員PC：100台
- IP電話：100台
- 監視カメラ：20台
- ネットワーク機器：15台
- 来訪者向けWi-Fi：最大100端末
- 社員PCから業務サーバーへアクセスする
- 監視カメラから一般PCへの通信は不要
- ゲスト端末はインターネットのみ利用可能
- 一般社員からネットワーク機器の管理画面へアクセスさせない
課題1．必要なVLANを考える
どのような用途でVLANを分けるべきか考えてください。
・＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
・＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
・＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
・＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
解答例を見る
- 社員PC VLAN
- Voice VLAN
- 監視カメラ VLAN
- ネットワーク管理 VLAN
- Guest VLAN
課題2．VLAN一覧表を作る
VLAN ID、名前、IPネットワークを決めてください。
VLAN名：＿＿＿＿＿＿＿＿
用途：＿＿＿＿＿＿＿＿
IPネットワーク：＿＿＿＿＿＿＿＿
同じ形式で必要なVLANを作成してください。
解答例を見る
| VLAN | 名前 | 用途 | IPネットワーク |
|---|---|---|---|
| 10 | USER | 社員PC | 10.20.10.0/24 |
| 20 | VOICE | IP電話 | 10.20.20.0/24 |
| 30 | CAMERA | 監視カメラ | 10.20.30.0/27 |
| 200 | NET-MGMT | ネットワーク管理 | 10.20.200.0/27 |
| 400 | GUEST | ゲストWi-Fi | 10.20.40.0/24 |
これは一例です。 VLAN番号やアドレス体系が異なっていても、 必要端末数・用途・通信要件を満たしており、 設計理由を説明できれば成立します。
課題3．通信制御を考える
各VLAN間でどの通信を許可・禁止するか整理してください。
USER → NET-MGMT：＿＿＿＿
GUEST → Internet：＿＿＿＿
GUEST → USER：＿＿＿＿
GUEST → NET-MGMT：＿＿＿＿
CAMERA → USER：＿＿＿＿
解答例を見る
- USER → Internet：許可
- USER → NET-MGMT：原則禁止
- GUEST → Internet：許可
- GUEST → USER：禁止
- GUEST → NET-MGMT：禁止
- CAMERA → USER：要件上不要のため原則禁止を検討
実案件では、通信元・宛先・プロトコル・ポート番号・管理端末などを さらに具体化して通信要件表へ落とし込みます。
課題4．設計理由を説明する
顧客から次の質問を受けました。
「なぜPCも電話もカメラも、全部同じネットワークにしないのですか？」
説明例を見る
端末ごとに必要な通信やセキュリティ条件が異なるためです。 社員PC、IP電話、監視カメラ、ゲスト端末などを別ネットワークへ分けることで、 それぞれに必要な通信だけを許可しやすくなります。 また、障害調査やアドレス管理もしやすくなります。
自分の言葉で説明する課題
「VLAN設計とは何を決める工程ですか？」 と後輩から質問されました。1分程度で説明してください。
説明例を見る
VLAN設計とは、利用者や端末、業務、セキュリティ要件をもとに、 LANをどの単位で分割するかを決める工程です。 VLAN IDだけでなく、VLAN名、IPサブネット、デフォルトゲートウェイ、 収容する端末、VLAN間通信、トランクで運ぶ範囲なども整理します。 大切なのは、VLANを作ることではなく、 なぜその単位で分離する必要があるのかを説明できることです。
まとめ
- VLAN設計とは、利用者・端末・用途・セキュリティ要件をもとに LANの論理的な分割方法を決める工程
- VLANは目的ではなく、ネットワーク分離や通信制御を実現するための手段
- VLANは部署だけでなく、端末種別・セキュリティ・運用などから分割を判断する
- VLAN IDには組織・拠点・用途ごとの統一ルールを持たせる
- VLAN名から用途を判断できる命名規則を作る
- VLANとIPサブネット・デフォルトゲートウェイを対応付ける
- VLANを分けるだけでなく、VLAN間通信を許可するかまで設計する
- トランクリンクでは必要なVLANの延伸範囲を整理する
- VLAN設計結果はVLAN一覧表やトランク一覧表として文書化する
- 設計レビューでは「何番のVLANか」より「なぜ分けたのか」を説明できることが重要
VLAN設計の本質は、ネットワークを細かく分割することではありません。 業務上必要な通信を維持しながら、 適切な単位で分離し、管理・制御できる構造を作ることです。
上級編では、要件定義からIPアドレス・VLAN・ルーティング・冗長化、 WAN、VPN、クラウド、セキュリティ、自動化までを順番に学びます。
コメント