【入門編】スイッチのポートベースVLANとタグベースVLANの混在 – ネットワーク基礎とWebセキュリティ実践ガイド

こんにちは！ネットワークの世界へようこそ。
インフラやネットワークの勉強を始めると、必ずと言っていいほどぶつかる壁がありますよね。「VLANってなんだか難しそう…」「ポートベースとタグベースって、一体何が違うの？」と、頭を悩ませている方も多いのではないでしょうか。

教科書を開けば、何やら難しい英語やビットの計算式が並んでいて、思わずそっと閉じたくなる気持ち、よく分かります。でも、安心してください！一歩ずつ、身近な例えを交えながら優しく紐解いていけば、VLANの仕組みは驚くほどスッキリと理解できるようになります。

今回は、現場のエンジニアもよく頭を悩ませる「スイッチのポートベースVLANとタグベースVLANの混在」について、パケットの旅立ちからルーターでのバトンタッチまで、じっくりと覗いていきましょう！

—

1. VLANってそもそも何だろう？身近な例えで考えてみる

会社や学校でネットワークを使うとき、全員が同じ一つの大きな部屋にいると想像してみてください。
経理部の机も、開発部のサーバーも、一般の社員のパソコンも、ぜーんぶ同じ空間につながっていたらどうでしょう？経理部の秘密のファイルが、隣の席の人に丸見えになってしまうかもしれませんし、誰かが大量のデータをダウンロードしたせいで、みんなの通信が遅くなってしまいますよね。

現実世界なら、壁を作って部屋を分ければ解決です。
ネットワークの世界でも同じことをします。一本の物理的なLANケーブルや一つのスイッチという「同じ建物」の中に、論理的な「壁」を作って部屋を分ける技術。これがVLAN（Virtual Local Area Network）です。

そして、この部屋を分けるやり方には、大きく分けて2つのアプローチがあるんです。

ポートベースVLAN：スイッチの「穴（ポート）」ごとに部屋を割り振る方法
タグベースVLAN（IEEE 802.1Q）：荷物に「〇〇部行き」の荷札（タグ）を貼って、同じ穴から色々な荷物を混ぜて送る方法

この2つが現場で混在するとき、スイッチの境界線上でいったい何が起きているのでしょうか？次の章で、郵便配達の仕組みに例えて見ていきましょう！

—

2. 境界におけるパケットの変身劇：アクセスポートとトランクポート

スイッチの裏側を見たことはありますか？たくさんのLANケーブルを挿すポート（穴）が並んでいますよね。
VLANを語る上で絶対に外せないのが、「アクセスポート」と「トランクポート」という2つの顔を持つポートたちです。

アクセスポート（一般家庭のポスト）

アクセスポートは、パソコンやプリンターなどの端末が直接つながるポートです。
ここにつながる端末は、自分がVLANに所属しているなんて意識していません。ただ普通のデータを送り出すだけです。

郵便配達で例えるなら、「一般的な住宅の郵便受け」のようなものです。
住人が手紙をポストにポンと入れると、配達員が回収します。このとき、手紙に「うちはVLAN 10です」なんて書いておく必要はありませんよね。アクセスポートは、「このポートに挿された端末は、みんな一律でVLAN 10の住人だ！」とみなして、スイッチの中に入る瞬間に、勝手に心の中で「VLAN 10の荷物ね」とタグを貼って受け取ります。逆に、外に出ていくときはそのタグを綺麗に剥がして、素の状態でパソコンに渡します。

トランクポート（巨大な物流トラック）

一方で、トランクポートはスイッチとスイッチ、あるいはスイッチとルーターをつなぐための、いわば「高速道路を走る大型トラック」です。

会社の中に「VLAN 10（営業部）」と「VLAN 20（開発部）」という2つの部屋があるとします。スイッチが2台あるとき、それぞれの部屋をつなぐためにわざわざ2本のケーブルを引っ張るのは面倒ですよね。
そこで、1本のケーブル（トランクポート）の上に、営業部の荷物も開発部の荷も、仲良く混ぜて一緒に走らせます。

ただし、混ぜてしまうと「どれが誰の荷物かわからなくなっちゃう！」ですよね。
だからこそ、トランクポートを通る荷物には、「私はVLAN 10です！」「私はVLAN 20です！」という小さな荷札（IEEE 802.1Qのタグ）をピタッと貼り付けておくのです。これがタグベースVLANの正体です。

—

3. なぜVLAN間ルーティングが必要なの？論理的な壁の向こう側

さて、ポートベースVLANで部屋を分け、タグベースVLANで上手に荷物を運びました。
ここで一つ、大きな疑問が生まれます。

「別々のVLAN（部屋）にいるパソコン同士は、どうやって通信するの？」

実は、VLANで綺麗にネットワークを分断してしまうと、それはもう「別々の小さな会社」になったようなものです。セキュリティがしっかり守られる一方で、VLAN 10のパソコンから、VLAN 20のサーバーへ直接データを届けることができなくなります。

「えっ、同じスイッチに繋がっているのに？」と思いますよね。
レイヤー2（データリンク層）の世界では、VLANという壁があるだけで、お互いの存在が見えなくなってしまうのです。

ここで登場するのが、ネットワークの道案内人であるルーター（あるいはレイヤー3スイッチ）です。
異なるVLANの間を行き来するためには、一度ルーターのところまで荷物を持ち込み、「すいません、VLAN 10宛ての荷物をVLAN 20に届けてください！」と宛先を変えてもらう必要があります。この仕組みを「VLAN間ルーティング（Inter-VLAN Routing）」と呼びます。

よく使われる手法として、1つの物理的なルーターのポートの中に、論理的なサブインターフェースをいくつも作り、それぞれに各VLANの「門番（ゲートウェイ）」としてのIPアドレスを割り当てる「router-on-a-stick（棒にぶら下がったルーター）」という構成があります。

—

4. 実務で役立つ！スイッチとルーターの設定サンプル

それでは、ここまでの知識を実際のネットワーク機器の設定に落とし込んでみましょう。
今回は、Cisco製の機器を例に、アクセスポートとトランクポートが混在する環境のコンフィグ（設定例）を見ていきます。難しいコマンドに見えるかもしれませんが、日本語のコメントを読めば、やっていることは先ほどの郵便配達と同じだとわかりますよ！

スイッチ側の設定（VLANの作成とポートの割り当て）

! --- VLAN 10（営業部）と VLAN 20（開発部）をスイッチの中に作成します ---
vlan 10
 name Sales-Department
vlan 20
 name Development-Department

! --- ポート1を「アクセスポート」にして、VLAN 10専用の部屋にします ---
interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10
 description 営業部のPCがつながるポートです

! --- ポート2を「アクセスポート」にして、VLAN 20専用の部屋にします ---
interface FastEthernet0/2
 switchport mode access
 switchport access vlan 20
 description 開発部のPCがつながるポートです

! --- ポート24を「トランクポート」にして、すべてのVLANの荷札付きパケットを通します ---
interface FastEthernet0/24
 switchport mode trunk
 description ルーターへ向かう大型トラックのルートです

ルーター側の設定（VLAN間ルーティングの有効化：子インターフェースの活用）

スイッチのトランクポートからやってきた「荷札付きの荷物」を受け取り、ルーター内で道案内をするための設定です。

! --- 物理ポート（GigabitEthernet 0/0）自体の電源を入れます ---
interface GigabitEthernet0/0
 no shutdown

! --- VLAN 10用の仮想的な門番（サブインターフェース）を作ります ---
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10        ! VLAN 10の荷札を認識するように設定します
 ip address 192.168.10.1 255.255.255.0  ! VLAN 10のデフォルトゲートウェイIP

! --- VLAN 20用の仮想的な門番（サブインターフェース）を作ります ---
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20        ! VLAN 20の荷札を認識するように設定します
 ip address 192.168.20.1 255.255.255.0  ! VLAN 20のデフォルトゲートウェイIP

この設定により、192.168.10.x のネットワークにいるパソコンが、192.168.20.x のネットワークと通信したいとき、パケットは一度スイッチのトランクポートを通り、ルーターのサブインターフェース（GigabitEthernet0/0.10 と 0.20）の間でルーティングされて、無事に宛先へ届くようになります。

—

5. おわりに：パケットの流れをイメージできれば怖くない！

今回は、スイッチにおけるポートベースVLANとタグベースVLANの混在、そしてVLAN間ルーティングの必要性について、郵便配達のストーリーを交えながら解説してきました。

アクセスポートは、荷札なしでやってくる一般家庭のポスト（自動でタグ付け・剥がしを行う）。
トランクポートは、荷札をつけたまま複数のVLANの荷物を一緒に運ぶ大型トラック。
異なるVLAN同士の会話には、ルーターという「お引越しの連絡係（VLAN間ルーティング）」が絶対不可欠。

ネットワークのトラブルシューティングに直面したとき、「今、目の前のパケットには荷札がついているはずだっけ？」「ルーターへの道はちゃんと繋がっている？」と頭の中でパケットの旅をイメージできるようになれば、あなたはもう立派なネットワークエンジニアです！

一歩ずつ、確実にスキルアップしていきましょう。それでは、また次回の技術解説でお会いしましょう！