VLANを活用すれば、ネットワークのセキュリティとパフォーマンスを同時に向上させられます。物理的な配線を変更せずに、論理的にネットワークを分割できるVLANは、企業ネットワークやデータセンターで必須の技術です。本記事では、VLANの基本概念から具体的なスイッチ設定、セグメント分割の設計手法まで、実務で即座に活用できる知識を網羅的に解説します。

VLAN設計の基礎知識

VLAN（Virtual Local Area Network）は、スイッチ上で仮想的にネットワークセグメントを分割する技術です。物理的な制約を超えて、柔軟なネットワーク設計を実現します。VLANを導入する主なメリットは以下の通りです。

  • セキュリティの向上：不要な通信を遮断し、機密データへのアクセスを制限
  • ネットワークパフォーマンスの最適化：ブロードキャストトラフィックを削減し、帯域を効率的に利用
  • 柔軟な運用管理：物理的な配線変更なしに、部門や用途に応じたネットワーク構成が可能
  • コスト削減：専用のハブやルータを追加せずにセグメント分割が実現

VLANの設計にあたっては、以下の3つの基本要素を理解することが重要です。

要素説明具体例
VLAN IDVLANを識別するための番号（1-4094）VLAN 10（営業部）、VLAN 20（人事部）
ポートベースVLAN物理ポートにVLANを割り当てる方式ポート1-12をVLAN 10に割り当て
タグVLAN（802.1Q）フレームにVLANタグを付与して伝送する方式スイッチ間のトランクポートで使用
ネイティブVLANタグなしで伝送されるVLAN（通常VLAN 1）管理用トラフィックの伝送に使用

VLAN IDの割り当てには、一般的に以下のルールが用いられます。

  • 1-1005：標準VLAN（ベンダー間で互換性あり）
  • 1006-4094：拡張VLAN（ベンダー固有の機能で使用）
  • VLAN 1：デフォルトVLAN（管理トラフィック用）
  • VLAN 4095：予約済み（使用不可）

VLANの設計では、以下の点に注意が必要です。

  • VLAN IDの重複を避ける
  • 将来の拡張性を考慮したID割り当て
  • セキュリティ要件に応じたVLAN数の決定
  • 管理VLANの分離（VLAN 1からの分離が推奨）

VLANとレイヤ2/レイヤ3の関係

VLANはレイヤ2（データリンク層）の技術ですが、レイヤ3（ネットワーク層）の機能と組み合わせることで、より高度なネットワーク設計が可能になります。

  • レイヤ2 VLAN：同一VLAN内の通信はスイッチングのみで完結
  • レイヤ3 VLAN（SVI）：VLANインターフェースを介してルーティングが可能
  • VLAN間ルーティング：異なるVLAN間の通信をルータやL3スイッチで制御

レイヤ3スイッチを使用する場合、以下の機能を活用できます。

  • VLAN間ルーティングの高速化
  • ACL（アクセス制御リスト）による通信制御
  • QoS（品質制御）の適用

VLAN設計の基本ステップ

効果的なVLAN設計を行うには、以下のステップに従って進めることを推奨します。

1. 要件定義とスコープの決定

VLAN設計の最初のステップは、要件定義です。以下の項目を明確にします。

  • 組織構造：部門、チーム、役職ごとのネットワーク要件
  • セキュリティ要件：機密データの保護レベル、アクセス制御の厳格さ
  • パフォーマンス要件：トラフィック量、リアルタイム通信の必要性
  • 拡張性要件：将来的なユーザー数、サービスの追加予定
  • 運用要件：監視、トラブルシューティング、変更管理の方法

具体的な要件例を以下に示します。

要件カテゴリ具体的な要件優先度
セキュリティ人事部門のデータは全て暗号化されたVLANで管理高
パフォーマンスビデオ会議用に専用VLANを確保（帯域保証）中
拡張性3年以内にユーザー数が2倍になる予定中
運用監視システムで全VLANのトラフィックを可視化低

2. VLAN数とIDの割り当て

要件定義に基づき、必要なVLAN数を決定します。一般的なVLAN数の目安は以下の通りです。

  • 小規模ネットワーク（100ユーザー未満）：5-10 VLAN
  • 中規模ネットワーク（100-1000ユーザー）：10-30 VLAN
  • 大規模ネットワーク（1000ユーザー以上）
    • 部門別VLAN：10-20
    • 用途別VLAN：5-10
    • 管理VLAN：1-2
    • 特殊用途VLAN：5-10

VLAN IDの割り当てには、以下のパターンが一般的です。

  • 部門別割り当て：VLAN 10（営業部）、VLAN 20（人事部）、VLAN 30（経理部）
  • 用途別割り当て：VLAN 100（社内サーバ）、VLAN 200（ゲストWi-Fi）、VLAN 300（VoIP）
  • 階層別割り当て：VLAN 10-19（1階）、VLAN 20-29（2階）、VLAN 30-39（3階）

VLAN IDの割り当てルールを以下に示します。

  • VLAN 1は管理用に確保（使用しないことが推奨）
  • 連続したIDを使用し、管理を容易にする
  • 将来の拡張に備え、IDに余裕を持たせる
  • 機密性の高いVLANには高いIDを割り当てる（例：VLAN 500以上）

3. VLANマッピングの設計

VLANマッピングとは、物理ポートとVLANを関連付ける作業です。設計段階で以下の点を考慮します。

  • ポートの用途：ユーザーポート、トランクポート
  • 接続デバイス：PC、IP電話、サーバ、ネットワーク機器
  • セキュリティ要件：アクセス制限、VLAN間通信の可否
  • 冗長性要件：リンクアグリゲーション、STP（スパニングツリー）との連携

一般的なVLANマッピングのパターンを以下に示します。

ポートタイプ接続先VLAN割り当てセキュリティ設定
ユーザーポートPC部門別VLAN（例：VLAN 10）ポートセキュリティ、MACアドレスフィルタリング
IP電話ポートVoIP電話音声VLAN（例：VLAN 100）+ データVLAN（例：VLAN 10）QoS設定、VLAN間通信の制限
サーバーポートサーバサービス別VLAN（例：VLAN 200）アクセス制御リスト、ポートミラーリング
トランクポート他スイッチ、ルータ複数VLAN（例：VLAN 10,20,30）タグVLAN（802.1Q）の設定、ネイティブVLANの変更
管理ポート管理用PC管理VLAN（例：VLAN 99）IP制限、二要素認証

4. VLAN間通信の設計

VLAN間通信を実現するには、以下の方法があります。

  • 外部ルータ：VLAN間ルーティングを外部のルータで実行
  • L3スイッチ：スイッチ内でVLAN間ルーティングを実行
  • ファイアウォール：VLAN間の通信をファイアウォールで制御

L3スイッチを使用する場合の設計ポイントを以下に示します。

  • SVI（Switched Virtual Interface）の設定：各VLANにIPアドレスを割り当て
  • ルーティングプロトコル：OSPF、EIGRP、静的ルーティングの選択
  • ACL（アクセス制御リスト）：VLAN間の通信制御
  • QoS（品質制御）：帯域制御、優先度制御

VLAN間通信の設計例を以下に示します。

VLAN 10（営業部） --> VLAN 20（人事部）：制限あり（機密データ保護）
VLAN 10（営業部） --> VLAN 100（社内サーバ）：許可
VLAN 200（ゲストWi-Fi） --> 内部ネットワーク：全面禁止

VLAN間の通信をネットワーク機器だけでなくサーバー側でも絞り込みたい場合は、Linuxのパケットフィルタと組み合わせます。設定方法はiptablesでLinuxファイアウォールを設定する入門を参照してください。

5. 物理ネットワークとの整合性確保

VLAN設計は物理ネットワークと整合性を取る必要があります。以下の点を考慮します。

  • 配線設計：各ポートの用途に応じたケーブル種別（Cat5e、Cat6、光ファイバ）
  • スイッチの配置：アクセス層、ディストリビューション層、コア層の設計
  • 冗長化：リンクアグリゲーション、STP、VRRPの設定
  • ケーブル長：100m以内の配線距離を確保

一般的なネットワーク階層の設計例を以下に示します。

階層役割機器例VLAN設計のポイント
アクセス層エンドデバイスとの接続アクセススイッチポートベースVLAN、ポートセキュリティ
ディストリビューション層VLAN間ルーティング、セキュリティ制御L3スイッチ、ファイアウォールSVI、ACL、QoS
コア層高速なバックボーン接続コアスイッチ、ルータVLANタギング、冗長化

主要スイッチベンダーのVLAN設定方法

VLANの設定方法はスイッチベンダーによって異なります。主要なベンダー（Cisco、Juniper、HPE、Aruba）の設定方法を解説します。

Cisco IOS（Catalystスイッチ）の設定

CiscoのCatalystスイッチでVLANを設定する基本的な手順を以下に示します。

1. VLANの作成

Switch> enable
Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name Sales
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name HR
Switch(config-vlan)# exit

VLANの一覧を確認するには以下のコマンドを使用します。

Switch# show vlan brief

2. ポートへのVLAN割り当て

アクセスポート（ユーザーポート）へのVLAN割り当て：

Switch(config)# interface GigabitEthernet1/0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit

トランクポート（スイッチ間接続）の設定：

Switch(config)# interface GigabitEthernet1/0/24
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20,30
Switch(config-if)# exit

3. ネイティブVLANの変更

トランクポートのネイティブVLANを変更するには：

Switch(config-if)# switchport trunk native vlan 99

4. VLANインターフェース（SVI）の設定

L3スイッチでVLAN間ルーティングを有効にするにはSVIを設定します。

Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit

5. ポートセキュリティの設定

ポートセキュリティを有効にするには：

Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 10
Switch(config-if)# switchport port-security violation restrict
Switch(config-if)# switchport port-security mac-address sticky

Cisco環境でのVLAN作成からトランク設定までの流れをコマンド単位で追いたい場合は、VLANの仕組みとCisco設定の基礎で手順を詳しく解説しています。

Juniper Junos（EXシリーズ）の設定

JuniperのEXシリーズスイッチでVLANを設定する手順を解説します。

1. VLANの作成

user@switch> configure
user@switch# set vlans sales vlan-id 10
user@switch# set vlans sales description "Sales Department"
user@switch# set vlans hr vlan-id 20
user@switch# set vlans hr description "Human Resources"
user@switch# commit

2. ポートへのVLAN割り当て

アクセスポートの設定：

user@switch# set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members sales
user@switch# commit

トランクポートの設定：

user@switch# set interfaces ge-0/0/24 unit 0 family ethernet-switching vlan members [ sales hr ]
user@switch# set interfaces ge-0/0/24 unit 0 family ethernet-switching port-mode trunk
user@switch# commit

3. VLANインターフェース（RVI）の設定

JuniperではRVI（ Routed VLAN Interface）と呼ばれます。

user@switch# set interfaces vlan unit 10 family inet address 192.168.10.1/24
user@switch# set interfaces vlan unit 20 family inet address 192.168.20.1/24
user@switch# commit

4. ポートセキュリティの設定

JuniperではMAC制限はポートセキュリティではなく、MAC制限ポリシーで実現します。

user@switch# set firewall family ethernet-switching filter mac-limit term 1 then count mac-limit
user@switch# set firewall family ethernet-switching filter mac-limit term 1 then discard
user@switch# set interfaces ge-0/0/1 unit 0 family ethernet-switching filter input mac-limit
user@switch# commit

HPE Comware（OfficeConnect、FlexNetwork）の設定

HPEのComware OSを搭載したスイッチでVLANを設定する手順です。

1. VLANの作成

system-view
vlan 10
 name Sales
vlan 20
 name HR
quit

2. ポートへのVLAN割り当て

アクセスポートの設定：

interface GigabitEthernet1/0/1
 port access vlan 10
quit

トランクポートの設定：

interface GigabitEthernet1/0/24
 port link-type trunk
 port trunk permit vlan 10 20 30
quit

3. VLANインターフェースの設定

interface Vlan-interface10
 ip address 192.168.10.1 255.255.255.0
quit

4. ポートセキュリティの設定

interface GigabitEthernet1/0/1
 port-security enable
 port-security max-mac-count 10
 port-security port-mode psecure
quit

ArubaOS（ProVision、CX）の設定

ArubaのProVision ASICを搭載したスイッチとCXシリーズの設定方法です。

1. VLANの作成（ProVision）

ProVision# configure terminal
ProVision(config)# vlan 10
ProVision(config-vlan)# name "Sales"
ProVision(config-vlan)# exit
ProVision(config)# vlan 20
ProVision(config-vlan)# name "HR"
ProVision(config-vlan)# exit

2. ポートへのVLAN割り当て（ProVision）

アクセスポートの設定：

ProVision(config)# interface 1
ProVision(config-if)# vlan access 10
ProVision(config-if)# exit

トランクポートの設定：

ProVision(config)# interface 24
ProVision(config-if)# vlan trunk allowed 10,20,30
ProVision(config-if)# vlan trunk native 99
ProVision(config-if)# exit

3. VLANインターフェースの設定（CX）

Aruba CXシリーズではVLANインターフェースをVLANと呼びます。

Aruba# configure terminal
Aruba(config)# interface vlan 10
Aruba(config-if)# ip address 192.168.10.1/24
Aruba(config-if)# no shutdown
Aruba(config-if)# exit

4. ポートセキュリティの設定（CX）

Aruba(config)# interface 1
Aruba(config-if)# access-security
Aruba(config-if-access-security)# max-mac 10
Aruba(config-if-access-security)# violation restrict
Aruba(config-if-access-security)# exit

VLAN設計の応用テクニック

基本的なVLAN設計を超えて、より高度なネットワーク要件に対応するための応用テクニックを紹介します。

1. プライベートVLAN（Private VLAN）

プライベートVLANは、同一VLAN内でさらに通信を制限する技術です。主に以下の用途で使用されます。

  • ホスト間の通信を制限（例：サーバーとクライアント間のみ通信許可）
  • ゲストネットワークのセキュリティ強化
  • データセンター内のサーバー間通信の制御

プライベートVLANには以下の3つのポートタイプがあります。

ポートタイプ説明設定例（Cisco）
プライマリVLAN全てのポートが属するVLANvlan 100
コミュニティVLAN同一コミュニティ内のポート間で通信可能private-vlan community
独立VLAN他のポートとの通信が完全に遮断private-vlan isolated

プライベートVLANの設定例（Cisco）：

Switch(config)# vlan 100
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# vlan 101
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 102
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# exit

Switch(config)# vlan 100
Switch(config-vlan)# private-vlan association 101 102
Switch(config-vlan)# exit

Switch(config)# interface GigabitEthernet1/0/1
Switch(config-if)# switchport mode private-vlan host
Switch(config-if)# switchport private-vlan host-association 100 101
Switch(config-if)# exit

Switch(config)# interface GigabitEthernet1/0/2
Switch(config-if)# switchport mode private-vlan promiscuous
Switch(config-if)# switchport private-vlan mapping 100 101 102
Switch(config-if)# exit

2. VLAN間ルーティングの高度な設定

VLAN間ルーティングをより効率的に行うためのテクニックです。

2.1. ルーティングプロトコルの選択

VLAN間ルーティングに使用するルーティングプロトコルの選択基準を以下に示します。

プロトコル特徴適した環境設定の複雑さ
静的ルーティング手動設定、リソース消費が少ない小規模ネットワーク、ルート数が少ない場合低
RIP距離ベクトル型、簡単な設定小中規模ネットワーク、帯域に余裕がある場合中
OSPFリンクステート型、高速な収束中大規模ネットワーク、冗長経路が必要な場合高
EIGRPシスコ独自、高度な機能シスコ機器のみの環境、高度な制御が必要な場合高
BGP経路制御が柔軟、インターネット接続向け大規模ネットワーク、マルチホーム接続非常に高

OSPFを使用したVLAN間ルーティングの設定例（Cisco）：

Switch(config)# router ospf 1
Switch(config-router)# network 192.168.10.0 0.0.0.255 area 0
Switch(config-router)# network 192.168.20.0 0.0.0.255 area 0
Switch(config-router)# exit

2.2. VRF（Virtual Routing and Forwarding）の活用

VRFを使用すると、同一の物理ルータ上で複数の独立したルーティングテーブルを持つことができます。主な用途は以下の通りです。

  • サービスごとのルーティング分離（例：音声、データ、ビデオ）
  • マルチテナント環境での顧客間の通信分離
  • セキュリティ要件の厳しい環境でのルーティング制御

VRFの設定例（Cisco）：

Switch(config)# ip vrf VOICE
Switch(config-vrf)# rd 100:1
Switch(config-vrf)# exit

Switch(config)# interface Vlan100
Switch(config-if)# vrf forwarding VOICE
Switch(config-if)# ip address 192.168.100.1 255.255.255.0
Switch(config-if)# exit

Switch(config)# router ospf 1 vrf VOICE
Switch(config-router)# network 192.168.100.0 0.0.0.255 area 0
Switch(config-router)# exit

2.3. ポリシーベースルーティング（PBR）

PBRを使用すると、パケットの送信元、宛先、ポート番号などに基づいてルーティングを制御できます。主な用途は以下の通りです。

  • 特定のアプリケーションのトラフィックを特定の経路に誘導
  • 帯域制御のためのトラフィック分類
  • セキュリティ要件に応じたルーティング制御

PBRの設定例（Cisco）：

Switch(config)# access-list 100 permit tcp any any eq 80
Switch(config)# access-list 100 permit tcp any any eq 443

Switch(config)# route-map WEB_TRAFFIC permit 10
Switch(config-route-map)# match ip address 100
Switch(config-route-map)# set ip next-hop 192.168.1.100
Switch(config-route-map)# exit

Switch(config)# interface Vlan10
Switch(config-if)# ip policy route-map WEB_TRAFFIC
Switch(config-if)# exit

3. QoS（Quality of Service）との連携

VLAN設計とQoSを連携させることで、ネットワークのパフォーマンスを最適化できます。主な連携ポイントは以下の通りです。

  • トラフィック分類：VLAN IDやDSCP値に基づくQoSポリシー
  • 帯域制御：VLANごとの帯域保証や制限
  • 優先度制御：リアルタイムトラフィック（VoIP、ビデオ）の優先処理

例えば、音声VLANとデータVLANを分離したうえでDSCP値（EF：Expedited Forwarding）をVoIPトラフィックに割り当て、帯域が逼迫した場合でも通話品質を優先させる設計が一般的です。QoSポリシーはL3スイッチやルータのインターフェース単位で適用し、VLAN間ルーティングのポイントと合わせて設定することで効果を発揮します。

ルータによるセグメント分割とL3スイッチの使い分け

「ルータ セグメント分割」で検索する方の多くは、VLANで論理分割したネットワークを、実際にどの機器でルーティング（セグメント間通信の制御）すべきか迷っているケースが多いです。ここでは外部ルータとL3スイッチによるセグメント分割の使い分けを整理します。

方式向いている環境メリットデメリット
外部ルータ（Router on a Stick含む）小規模拠点、VLAN数が少ない環境既存ルータを流用でき初期コストが低いトランクリンク1本に通信が集中しボトルネックになりやすい
L3スイッチ（SVI）中〜大規模ネットワーク、VLAN数が多い環境スイッチ内部でルーティングするため高速、拡張性が高い初期投資がルータより高くなる場合がある

小規模ネットワークでVLANが2〜3程度であれば、既存のルータ1台とトランクポート（Router on a Stick構成）で十分なケースが多いです。一方、VLAN数が増え、VLAN間通信の帯域要件が高まる中〜大規模環境では、L3スイッチでSVIを使ったセグメント分割に移行するのが一般的な設計パターンです。将来的な拡張を見越して、最初からL3スイッチを選定しておくと、VLAN追加時の再設計コストを抑えられます。

ルータやL3スイッチを実際に操作するには、CLIの基本操作と確認コマンドを押さえておく必要があります。最初に覚えるべきコマンドはCiscoルータのCLI基礎入門で解説しています。

まとめ：VLAN設計とセグメント分割のポイント

VLANによるセグメント分割は、物理配線を変更せずにセキュリティとパフォーマンスを両立できる、企業ネットワーク設計の基本技術です。本記事で解説したポイントを振り返ります。

  • VLAN設計は要件定義→VLAN数・ID割り当て→ポートマッピング→VLAN間通信設計→物理構成との整合性確認、という順序で進める
  • VLAN間のセグメント分割は、小規模なら外部ルータ（Router on a Stick）、中〜大規模ならL3スイッチのSVIが基本パターン
  • Cisco・Juniper・HPE・Arubaでコマンド体系は異なるが、「VLAN作成→ポート割り当て→トランク設定→VLANインターフェース設定」という設計の流れ自体は共通
  • プライベートVLANやVRF、PBR、QoSとの連携によって、より高度なセグメント分割・トラフィック制御が可能になる

実際の導入では、まず小規模な検証環境でVLAN設計をテストし、トラブルシューティング手順（show vlan brief、show interfaces trunk等の確認コマンド）を確立してから本番環境へ展開することをおすすめします。

設計したサーバーセグメントに複数台のWebサーバーを並べる場合は、その前段に置くロードバランサーの構成も検討対象になります。仕組みと設定手順はロードバランサーの仕組みと設定方法入門で解説しています。

【編集・制作ポリシー】
本記事はInfra Academy編集部が各ベンダー公式ドキュメント・エンジニア監修をもとに作成しています。インフラ・クラウド構築は環境により異なります。本番環境への適用前に必ずテストを実施してください。情報の正確性には万全を期していますが、最新情報は各公式ドキュメントをご確認ください。
編集ポリシーはこちら
ABOUT ME
たから
フリーランスIT講師/エンジニア。 ◆経験：IT講師/インフラエンジニア/PM/マネジメント/採用/運用・保守・構築・設計 ◆取得資格：CCNA/CCNP/LPIC-1/AZ-900//サーティファイC言語/情報処理技術者 ◆サイドビジネス：アパレル事業/複数のWEBメディアを運営