L2の「見えない壁」を設計せよ：PVLANによるマルチテナント・アイソレーションの深淵
ネットワークエンジニアとしてキャリアを積んでいくと、VLANという概念がいかに「広すぎる」かに気づく瞬間が必ず訪れます。L2セグメントを分断すればルーティングが必要になり、かといって同一セグメントに置けば、隣接する未知のサーバーやクライアントと通信できてしまう。この「利便性とセキュリティのトレードオフ」を物理/論理設計だけで解決しようとすると、スパニングツリーの収束遅延やARPテーブルの肥大化という悪夢が待っています。
そこで、多くの現場で「最後の切り札」として重宝されるのが PVLAN (Private VLAN) です。今回は、この技術を単なる設定の羅列ではなく、パケットレベルの挙動とパフォーマンス、そしてセキュリティの観点から解剖してみましょう。
—
1. PVLANの「3つの型」：MAC学習とフォワーディングの制約
PVLANの本質は、スイッチのASICレベルで「VLAN ID」の中に「セカンダリVLAN」という階層構造を持ち込むことにあります。これら3つのポートタイプは、単なる通信制御ではなく、スイッチのMAC Address TableとForwarding Engineに対する「制約の適用」です。
プロミスキャスポート (Promiscuous Port)
このポートは、VLAN内の「特権階級」です。ルーターやゲートウェイ、あるいは監視用のIDS/IPSがここに接続されます。すべてのセカンダリVLAN（コミュニティ、アイソレーテッド）と直接通信が可能です。
アイソレーテッドポート (Isolated Port)
ここが最も厳しい。「アイソレーテッドポート間では、たとえ同一のサブネットであっても、L2レベルで通信が完全に遮断」されます。パケットは、プロミスキャスポートに向けてしか送出できません。これは、サーバーのマルチテナント化において、クライアント同士の横方向の攻撃（横展開：Lateral Movement）をハードウェアレベルで防ぐための強力な武器になります。
コミュニティポート (Community Port)
グループ単位での通信を許可したい場合に用います。同じコミュニティIDを持つポート間でのみL2通信が可能で、他のコミュニティやアイソレーテッドポートとは絶縁されます。
—
2. パケットの挙動とパフォーマンスの最適化
PVLAN環境下では、一般的なVLANよりも「ヘッダー処理」に注意が必要です。特に、アイソレーテッドポートからプロミスキャスポートへパケットが送出される際、スイッチはタグの付け替え（または内部的なVLAN変換）を行います。
RTT削減のためのTCPバッファチューニング
PVLANでセグメントを絞り込むと、多くの場合、トラフィックは「プロミスキャスポート（ゲートウェイ）」を介して折り返すことになります。この時、ゲートウェイの TCP Window Size が不適切だと、スループットは劇的に低下します。Linuxであれば、以下のチューニングが必須です。
# プロミスキャスポートに接続されたゲートウェイ/サーバーでの推奨設定
# 大規模なトラフィックを捌く場合、バッファを拡張する
sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sysctl -w net.ipv4.tcp_wmem="4096 65536 16777216"
# TCPウィンドウのスケーリングを有効化し、RTTの長い通信でも帯域を使い切る
sysctl -w net.ipv4.tcp_window_scaling=1パケットのヘッダー圧縮とTLSハンドシェイク
PVLAN配下のノードが相互に通信できない場合、サービス間の通信は必ずL3（プロミスキャスポート配下のルーターやL7ロードバランサー）を経由します。ここでボトルネックになるのは TLS Handshake です。
パケットが余計なホップ数を経由するため、RTT が増大します。これを防ぐには、TLS 1.3の 0-RTT (Zero Round Trip Time) を積極的に活用し、再接続時のハンドシェイクを削減してください。また、HTTP/3 (QUIC) を導入することで、UDPベースの通信におけるヘッドラインブロッキングを回避し、PVLANという物理的制約下でのパフォーマンスを最大化できます。
—
3. 実践的な設定サンプル（Cisco Catalyst想定）
PVLANの設定で最もミスが多いのは、VLANマッピングの不整合です。以下の設定は、アイソレーテッドポートをセキュアに構築する際のテンプレートです。
! プライマリVLANの定義（コミュニティやアイソレーテッドを束ねる）
vlan 100
private-vlan primary
! セカンダリVLAN（アイソレーテッド）の定義
vlan 200
private-vlan isolated
! 関連付け
vlan 100
private-vlan association 200
! インターフェース設定：アイソレーテッドポート
interface GigabitEthernet0/1
switchport mode private-vlan host
switchport private-vlan host-association 100 200
! ストームコントロールの併用を強く推奨
storm-control broadcast level 1.0—
4. 現場の知見：PVLAN運用における「落とし穴」
最後に、現場で泣きを見ないための注意点を一つ。
PVLANは「L2の分離」に特化していますが、L3のARPプロキシやGratuitous ARPの挙動には注意が必要です。アイソレーテッドポートにある端末が自身のMACアドレスをアナウンスしても、スイッチはそれを別のアイソレーテッドポートには転送しません。しかし、プロミスキャスポートにあるルーターのARPテーブルには、セグメント内のすべてのMACが登録されます。
大規模なPVLAN環境では、ARPテーブルが溢れるリスクがあるため、ルーター側で ip arp timeout を適切に短縮し、不要なエントリを追い出す運用が必要です。
PVLANは、単に「通信を止める」ための手段ではなく、「トラフィックの通り道を意図的にコントロールし、セキュリティとパフォーマンスの境界を設計する」ための高度なツールです。このアーキテクチャを理解すれば、あなたのネットワークは、より堅牢で、かつ予測可能なものへと進化するはずです。
ネットワークの深淵は常に足元にあります。次回の現場でも、ぜひこの「見えない壁」を有効に活用してください。
コメント