ネイティブVLANの「負の遺産」：トランクリンクに潜むL2の悪魔を暴く
ネットワークエンジニアという職業は、時に「見えないもの」を信じ、その挙動をパケットレベルで解像度高くイメージしなければならない職人芸です。特にレイヤー2のスイッチング、その中でも「ネイティブVLAN」という仕様は、IEEE 802.1Qの規格策定当時、移行期の利便性を優先した結果生まれた、いわば技術的負債の最たるものと言えるでしょう。
今日は、多くのアーキテクトが「設定して終わり」にしがちなネイティブVLANの深淵と、それが引き起こすセキュリティのリスク、そして現代のインフラに求められる防御的姿勢について、パケットの挙動を追いつつ解説します。
—
ネイティブVLAN：なぜ「タグなし」が存在するのか
IEEE 802.1Qが標準化された際、トランクポート上で「タグを付けないフレーム」を許容する設計がなされました。これは、VLAN非対応のレガシーなスイッチやホストと共存するための後方互換性という名の「逃げ道」でした。
トランクポートを流れるパケットにおいて、ネイティブVLANに属するフレームはタグ（VLAN ID）が付与されません。この仕様は、スイッチがフレームを受信した際、「タグがないなら、このポートのネイティブVLANに所属しているものとみなす」という暗黙の了解を強制します。これが、多くのトラブルとセキュリティリスクの入り口となります。
VLANホッピング攻撃：パケットは「タグ」を越えて跳ねる
ネイティブVLANの脆弱性を突いた攻撃として有名なのが「VLANホッピング（Switch Spoofing / Double Tagging）」です。特に、攻撃者が自身の端末をネイティブVLANと同じIDに設定し、悪意を持って二重にタグを付与したパケットを送り込む手法は、パケットの転送アルゴリズムの盲点を突きます。
1. 第1のタグ: スイッチのネイティブVLANと一致させる（スイッチはこれを取り外す）。
2. 第2のタグ: 本来到達できないターゲットVLANのIDを仕込む。
スイッチは「ネイティブVLANだからタグを剥がそう」と処理し、剥がした結果、内部に残された第2のタグを「次のトランクへ転送すべきタグ」と誤認します。こうして、物理的に隔離されているはずのVLAN間を、パケットが自在にすり抜ける事態が発生するのです。
現代のインフラアーキテクトが取るべき「防衛的設定」
このリスクを回避するための鉄則は、「ネイティブVLANをトランクのデータ転送に使わないこと」です。さらに、制御プレーンの保護を含めた以下のベストプラクティスを遵守してください。
1. ネイティブVLANのデッドエンド化
ネイティブVLANを、誰も利用していない、あるいは存在しないVLAN ID（VLAN 999など）に強制的に変更します。これにより、万が一タグなしパケットが混入しても、何もルーティングされずドロップされる環境を作ります。
# Cisco IOSでの設定例
# ネイティブVLANを未使用のVLAN IDへ変更する
interface GigabitEthernet0/1
description Trunk_to_Core_Switch
switchport trunk encapsulation dot1q
switchport mode trunk
# 使用していないIDをネイティブVLANに指定
switchport trunk native vlan 999
# ネイティブVLANに対するタグ付与を強制（現代のスイッチでは必須）
vlan dot1q tag native2. トランクポートのハードニング
スイッチングの基本ですが、トランクポートには決してエンドホストを接続させないでください。DTP（Dynamic Trunking Protocol）を無効化し、ポートを静的に trunk モードへ固定することは、セキュリティの基本中の基本です。
# DTPを無効化し、攻撃による動的なトランク化を防ぐ
interface GigabitEthernet0/1
switchport nonegotiateパフォーマンスとセキュリティの境界線
ネットワークスペシャリストとして強調したいのは、セキュリティ対策が「単なる制限」ではないという点です。例えば、ネイティブVLANの悪用を防ぐために vlan dot1q tag native コマンドを有効にすることは、スイッチ内の処理ロジックをシンプルに保つことにも繋がります。
また、広域ネットワークでの通信最適化（RTT削減）を考える際、L2のヘッダー情報（VLANタグ）が予測通りに処理されることは、TCPバッファチューニングやTLSハンドシェイクの遅延を抑えるための前提条件です。パケットがスイッチ内で「処理に迷う」ような曖昧な設定は、マイクロバーストやキューの輻輳を引き起こし、結果としてアプリケーションのパフォーマンスを損なう要因となります。
結びに代えて：プロトコルの美学
ネイティブVLANの仕様は、かつての相互運用性を重んじる時代の遺物です。しかし、現代のデータセンターやエンタープライズ環境では、その「曖昧さ」こそが脆弱性となります。
私たちの仕事は、プロトコルが想定していない挙動をパケットレベルで想像し、それを技術的に封じ込めることです。show interfaces trunk を叩いた時に表示されるそのVLAN IDが、単なる数字ではなく「セキュリティの境界線」であることを、今一度確認してみてください。
ネットワークの深淵を覗くとき、そこには必ず、設計者の意図と現代の脅威との間で揺れるパケットたちの苦悩があります。それを正しくルーティングしてやることこそが、我々エンジニアの矜持なのです。
コメント