VTPv3の深淵：拡張VLAN、プライベートVLAN、そしてMD5認証がもたらすスイッチングドメインの静かなる革命
ネットワークエンジニアのキャリアにおいて、VLAN（Virtual Local Area Network）の管理ほど「油断すると足元をすくわれる」領域はない。小規模な環境であればVLANの追加や削除など手動で何とかなるが、数百台規模のアクセススイッチが乱立するキャンパスネットワークやデータセンターにおいて、VLAN情報の同期を自動化するVTP（VLAN Trunking Protocol）は、かつてインフラの生命線であった。
しかし、歴史を振り返れば、VTPv1やv2は「エンジニアの悪夢」の代名詞だった。誤って高リビジョン（Revision Number）を持つ設定ファイルを流し込んだ瞬間、プロダクション環境の全VLANが吹き飛ぶという恐怖のディザスターを、幾度となく現場の修羅場で目の当たりにしてきたはずだ。
Cisco Systemsはこの構造的な欠陥を静かに、だが根本から修正した。それが VTPv3 である。
今回は、VTPv3が導入した拡張VLAN（1005以上）のサポート、プライベートVLAN（PVLAN）の完全伝播、そして暗号学的アプローチによるMD5認証の深部へと踏み込み、パケットレベルの挙動から堅牢な設計論までを解き明かしていこう。
—
1. VTPv1/v2の呪縛とVTPv3のアーキテクチャ的断絶
従来のVTPv1およびv2は、VLANデータベース（vlan.dat）の同期に無条件のリビジョン番号比較メカニズムを採用していた。ドメイン名が一致しさえすれば、より高いリビジョンを持つパケットを受信した瞬間に、ローカルのVLAN設定が無慈悲に上書きされる。ここにセキュリティレイヤーの概念は皆無であり、悪意ある、あるいは設定ミスのレイヤー2フレームが1つ流れ込むだけで、ネットワーク全体が沈黙するという脆弱性を抱えていた。
VTPv3は、この設計思想を根底から覆した。
最大の変更点は、VTPを単なる「VLAN伝播プロトコル」から、「レイヤー2データベースのマルチトポロジ管理フレームワーク」へと昇華させたことだ。
プライマリーサーバとセカンダリーサーバの厳格な役割分与
VTPv3では、ドメイン内のスイッチを無秩序にサーバとして動作させることをやめた。
- プライマリーサーバ（Primary Server）: ドメイン内で唯一、VLANデータベースの書き込み・変更が許可される権威あるノード。
- セカンダリーサーバ（Secondary Server）: プライマリーからデータベースを受信し、読み取り専用として同期するノード。
- クライアント（Client）: 従来のクライアントと同様の挙動だが、v3では明示的なモード分離がなされている。
この階層化により、ネットワークのどこであっても意図しないVLANの改変が発生するリスクが物理的に排除された。プライマリーサーバを昇格させる際には、管理者が明示的にパスワードまたはコンソールからのインタラクティブな承認を行う必要がある。
—
2. 拡張VLAN（1005超）とプライベートVLAN（PVLAN）の伝播メカニズム
VTPv2の致命的な制限の一つが、IEEE 802.1Qで規定される拡張VLAN範囲（1001を超えるID、すなわち1005〜4094）およびプライベートVLAN（PVLAN）の設定をサポートしていなかった点だ。これらは手動で全スイッチに投入するか、Ciscoプロプライエタリな別のメカニズムに頼る必要があった。
VTPv3はこの制限を打ち破り、全4094個のVLAN ID、さらにマルチプルVLAN（Primary/Secondary VLAN）の構造を完全にパケットに載せて同期する。
パケットレベルでのデータ構造の進化
VTPv3のフレームは、L2フレーム（通常はネイティブVLANまたは指定されたVLAN上のLLCフレーム、または特定のSNAPカプセル化）として流れる。内部のTLD（Type-Length-Value）構造は拡張され、以下のデータ構造をアトミックに（不可分に）カプセル化する。
1. VLAN Instance Database: 標準VLAN（1-1005）に加え、拡張VLAN（1006-4094）のパラメータ（名前、ステータス、MTU、SAI等）。
2. Primary/Secondary VLAN Mapping: プロミスキャスポート、コミュニティポート、アイソレートポートの紐付けを含むPVLANの孤立・共有関係のトポロジ情報。
これにより、アクセス層からディストリビューション層、コア層に至るまで、PVLANによるセキュアなマルチテナント分離環境（例えば、同一サブネット内でのホスト間通信の完全ブロック）を、VTPのコマンド一発で全ドメインに伝播させることが可能になった。
—
3. MD5認証とシークレットハッシュの現実
インフラストラクチャセキュリティの観点から、VTPv3における最大の進化は 「暗号学的完全性の担保」 である。VTPv2にもパスワード機能は存在したが、実態は平文、あるいは極めて脆弱なスクランブル処理にとどまっており、スニッフィングによって容易に突破される代物だった。
VTPv3では、ドメイン全体の管理権限を保護するために MD5ハッシュベースの認証 が導入された。ここで重要なのは、VTPv3の認証は単に「パケットが本物か」を検証するだけでなく、「誰がプライマリーサーバの昇格権限を持つか」という権威の移譲をも暗号学的に保護している点だ。
認証方式の選択肢
1. 隠しパスワード（Hidden Password）: 設定された文字列からSHA-256またはMD5ベースのハッシュを生成し、コンフィグ上から平文を隠蔽する。
2. 明示的パスワード（Password）: 管理者が直接文字列を指定する。
実運用におけるVTPv3のMD5認証設定のサンプルを見てみよう。
! コアスイッチ（プライマリーサーバ候補）での設定
Switch(config)# vtp domain ENTERPRISE_CORE
! VTPのバージョンを3に固定（v1/v2との混在環境におけるダウングレード攻撃を防ぐため重要）
Switch(config)# vtp version 3
! 強力なパスワードによるMD5認証の有効化
Switch(config)# vtp password SecretNetworkKeyEncrypt hidden
! このスイッチをプライマリーサーバに指定（プロンプトで確認またはパスワード要求が発生）
Switch(config)# vtp primaryこの設定を行うと、スイッチ間で交わされるVTPv3のトランザクションにおいて、ペイロードの一部がシークレットキーと組み合わされたMD5ハッシュによって署名される。中間者攻撃（MitM）や、不正なスイッチの接続によるリビジョン改ざん攻撃は、この層で完全にブロックされる。
—
4. 実務の現場における設計・運用のベストプラクティス
VTPv3は前世代の悪夢を払拭した極めて洗練されたプロトコルだが、ネットワークスペシャリストとして現場に投入する際には、いくつかの厳格なルールとガードレールを設けるべきだ。
① バージョンのダウングレード脆弱性の排除
VTPv3は、下位互換性のためにv1やv2のメッセージを理解するモードを持つ。しかし、セキュリティを最優先するエンタープライズ環境においては、ドメイン内のすべてのスイッチがv3をサポートしていることを確認し、以下のようにモードを厳格にロックすることが望ましい。
! すべてのスイッチでバージョンを3に強制
Switch(config)# vtp version 3
! 必要に応じてVTPを完全に無効化（そもそもVLAN同期が不要なエッジや小規模構成の場合）
Switch(config)# no vtp大規模なデータセンターや金融機関のネットワークにおいて、動的なVLAN同期自体がリスクとみなされる場合、VTPを一切使わず（vtp mode off またはトランクごとの手動設定）、L2ループ防止とSTPの安定性を優先するアーキテクチャも依然として主流である。しかし、数百台のアクセススイッチを持つキャンパスLANにおいて、VTPv3の正しく設計されたPVLAN同期は運用コストを劇的に下げる。
② トラブルシューティング：同期不良時のデバッグコマンド
もしVTPv3のデータベース同期がスタックした場合、パケットキャプチャを行う前に、以下のIOSコマンドで内部状態を精査する。
! VTPの状態、バージョン、プライマリーサーバのIP/MACアドレスを確認
Switch# show vtp status
VTP Version : 3
Configuration Revision : 14
Maximum VLANs supported locally : 4094
Number of existing VLANs : 45
VTP Operating Mode : Server
VTP Domain Name : ENTERPRISE_CORE
VTP Pruning Mode : Disabled
VTP Password : set
Model number : WS-C3850-48T
Primary ID : 0050.56FF.8C12
Primary Timestamp : Mar 28 2026 14:22:10もし Primary ID が意図したスイッチを指していない場合、誰かが誤って別のスイッチで vtp primary を叩いたか、ドメイン名やパスワードの不一致によるスプリットブレインが発生している。その場合は、問題のセカンダリー側で vtp mode client から再度 server へ変更し、データベースを強制的にリセットするアプローチが必要となる。
—
5. 結びにかえて
VTPv3は、単なる「古いプロトコルのマイナーアップデート」ではない。
レイヤー2トポロジの管理権限を明確に定義し、暗号学的認証によってインフラの信頼性を担保するという、ネットワークエンジニア長年の悲願を形にしたプロトコルである。
パケットが流れるその瞬間に、暗号化されたハッシュが正当性を証明し、拡張VLANやプライベートVLANの複雑な構造が寸分違わず全ノードに同期していく——その裏側の挙動を完全に理解しているか否かで、インフラアーキテクトとしての技量が問われる。
教科書的なコマンドの羅列を超え、プロトコルの内側にある設計思想とセキュリティ境界を把握した上で、堅牢なスイッチングドメインを構築してほしい。
コメント