ネイティブVLANの深淵：タグなしフレームが織りなす挙動の妙とセキュリティの罠
ネットワークの現場において、VLAN（Virtual Local Area Network）はもはや空気のような存在だ。スイッチのポートを分割し、ブロードキャストドメインを適切に隔離する。この基礎的なL2技術の上に、私たちのモダンなITインフラストラクチャは成り立っている。
しかし、「トランクポート」と「ネイティブVLAN（Native VLAN）」の組み合わせについて、パケットレベルの挙動を自信を持って説明できるインフラエンジニアはどれほどいるだろうか？
IEEE 802.1Q規格が策定されて久しいが、今なお現場では「ネイティブVLANのミスマッチ」に起因する不可解な通信断や、VLANホッピングといった悪名高いセキュリティインシデントが後を絶たない。本稿では、パケットがワイヤー上を駆け抜ける物理的な挙動から、極限の可用性とセキュリティを担保するためのアーキテクチャ設計まで、ネイティブVLANの深層を徹底的に解き明かしていく。
—
1. ネイティブVLANの本質とパケットレベルの挙動
そもそも、なぜ「ネイティブVLAN」という概念が存在するのだろうか？
IEEE 802.1Qトランクリンクは、複数のVLANに属するフレームを多重化して送受信するため、元のイーサネットフレームの源流（Source MACアドレス）の直後に4バイトの「802.1Qタグ（TPID 0x8100 とTCI）」を挿入する。これにより、受信側のスイッチはどのVLANIDに属するフレームであるかを識別する。
しかし、トランクリンク上を流れるすべてのフレームにタグが必須かといえば、そうではない。
歴史的経緯や、VLANを認識しないレガシーデバイス（ハブや古いIP電話、あるいはスイッチの管理用トラフィック）との接続性を維持するため、「タグが付与されていない状態（Untagged）で到着したフレームを、どのVLANに所属させるか」を定義する必要がある。これがネイティブVLANの正体だ。
送信時の挙動（Egress）
スイッチのトランクポートからフレームが送り出される際、その挙動は所属するVLANによって分岐する。
1. アクセスVLAN以外のVLAN（タグ付き）: 802.1Qタグを付与して送信する。
2. ネイティブVLANに属するフレーム: スイッチの内部アーキテクチャおよびCisco等の標準実装では、802.1Qタグを剥ぎ取って（ストリップして）タグなしでワイヤー上に送り出す。（※一部ベンダや設定により、ネイティブVLANのフレームにあえてタグをつけて送信する「Native VLAN tagging」を有効にすることも可能だが、デフォルトはアンタグドである）
受信時の挙動（Ingress）
トランクポートにタグなしのフレームが飛び込んできた瞬間、スイッチASICは次のように処理する。
- 受信ポートのコンフィグレーションを参照し、そのポートに割り当てられたネイティブVLANのIDをフレームに付与（内部VLANタグの付与）して、スイッチファブリック内へ転送する。
この「タグの剥離と付与」という暗黙の変換処理こそが、ネイティブVLANが絡むトラブルの温床となる。
—
2. スイッチ間設定ミスがもネクサス（悪夢）の引き金
もし、隣接する2台のスイッチ（SW1とSW2）を接続するトランクリンクにおいて、双方のネイティブVLANのIDが一致していなかったらどうなるだろうか？
例えば、SW1のトランクポートで native vlan 10 を指定し、対向するSW2のトランクポートで native vlan 20 を指定したとする。
[SW1 (Native VLAN 10)] ==== (トランクリンク) ==== [SW2 (Native VLAN 20)]1. SW1側のVLAN 10に所属するデバイスがフレームを送信する。
2. SW1はこのフレームがネイティブVLAN（10）のものであるため、タグを剥がしてアンタグドのままリンクへ送出する。
3. 対向のSW2がこのアンタグドフレームを受信する。
4. SW2は受信ポートのネイティブVLAN設定に従い、このフレームをVLAN 20の所属として内部処理し、VLAN 20のセグメントへ転送してしまう。
結果として、VLAN 10とVLAN 20という、本来論理的に完全に隔離されているべき2つのセグメントが、ネイティブVLANのミスマッチを介してL2レベルで直結（ブリッジ）されてしまう。これはスパニングツリー（STP）のトポロジー計算にも混乱をもたらし、最悪の場合はブロードキャストストームを引き起こす。
実機（Cisco IOS）における設定例とベストプラクティス
現場でこのミスを防ぐための最も効果的なアプローチは、「すべてのトランクポートでネイティブVLANを明示的に一致させ、かつデータプレーンで使用しないダミーのVLAN（例: VLAN 999）に固定する」こと、そして「ネイティブVLANのタグ付けを強制する」ことだ。
以下のCiscoスイッチ向け設定スニペットを確認してほしい。
! 冗長性を考慮したトランクポートの標準設定例
interface GigabitEthernet0/1
description === Uplink to Core Switch ===
switchport trunk encapsulation dot1q
switchport mode trunk
! デフォルトのVLAN 1をネイティブVLANとして使わず、専用の未使用VLANへ退避させる
switchport trunk native vlan 999
! 不要なVLANの流通を遮断し、トラフィックを厳格に制御する
switchport trunk allowed vlan 10,20,30さらに、最新のIOS-XEやNX-OSを搭載したエンタープライズ向けスイッチでは、ネイティブVLAN上を流れるコントロールトラフィックやデータフレームに意図しないタグなし混入を防ぐため、グローバルコンフィグレーションで以下のコマンドを投入することが推奨される。
! ネイティブVLANのフレームにも強制的に802.1Qタグを付与させる（Ciscoの場合）
vlan dot1q tag nativeこのコマンドを有効にすると、スイッチはネイティブVLAN宛ての送信フレームに対してもタグを付与して送信し、逆にタグなしで飛んできたフレームは不正なものとして破棄（ドロップ）するようになる。これにより、後述するVLANホッピング攻撃のベクトルを完全に断つことが可能になる。
—
3. セキュリティ脅威：ネイティブVLANを狙ったVLANホッピング攻撃
インフラセキュリティの文脈において、ネイティブVLANは長年、攻撃者の格好の標的となってきた。その代表例が「ダブルタギング（Double Tagging）攻撃」だ。
この攻撃のメカニズムは非常にエレガントかつ凶悪である。
1. 攻撃者の端末は、ネイティブVLAN（例えばVLAN 1）に属するアクセスポートに接続している。
2. 攻撃者は、自作のパケットに「二重の802.1Qタグ」を付与してフレームを送信する。
- 外側のタグ：自分のポートのネイティブVLAN（VLAN 1）
- 内側のタグ：自分が侵入したい標的のVLAN（VLAN 100）
3. 最初のスイッチ（アクセスポート）に到達した際、スイッチはポートがネイティブVLANに属しているため、外側のタグ（VLAN 1）を「自身へのタグなしフレーム」と誤認して剥ぎ取る。この時点で、フレームには内側のタグ（VLAN 100）だけが残された状態になる。
4. フレームはトランクポートを通過する際、すでに内側タグがついているため、そのまま標的のスイッチへと転送される。
5. 対向のスイッチは内側タグ（VLAN 100）を読み取り、本来アクセス権のないVLAN 100のセグメントへパケットを送り届ける。
この攻撃を防ぐための防衛策は明確だ。
1. アクセスポートでネイティブVLANを使わない（あるいは専用のVLANに閉じる）
2. すべてのトランクポートで vlan dot1q tag native を有効化し、タグなしフレームを一切受け付けない
3. 使用していない未使用ポート（Dark Port）はシャットダウンし、アクセス不可のブラックホールVLANへ割り当てる
ネットワークスペシャリストとしては、プロトコルの仕様の隙をついたこうした攻撃手法を頭に入れた上で、ハードウェアレベル（ASIC）でのパケット処理仕様を意識した設計が求められる。
—
4. パフォーマンス、RTT削減、そしてネットワークチューニングの観点
「たかがタグの有無、パケット処理のオーバーヘッドなどミリ秒単位の世界だろう」と侮ってはいけない。データセンターやハイパフォーマンス・コンピュート（HPC）環境、あるいは金融系の超低遅延（Low-Latency）ネットワークにおいて、L2レイヤーの処理効率はスループットとラウンドトリップタイム（RTT）に直結する。
1. MTU（Maximum Transmission Unit）とパケットフラグメンテーション
標準的なイーサネットフレームのMTUは1500バイトだが、802.1Qタグが付加されるとフレームサイズは1518バイト（Q-in-Qの場合はさらに増加）になる。
もしネットワーク機器や中継するトランクリンク上のジャンボフレーム（Jumbo Frames）設定が適切に施されていない場合、ネイティブVLANを経由する過程で微小なサイズ超過が発生し、思わぬフラグメンテーションやドロップを引き起こす原因となる。
インフラ設計においては、物理インターフェースのMTUを最低でも1522バイト以上（通常はジャンボフレーム対応として9216バイトなど）に設定し、タグ付加によるパケット再構築のオーバーヘッドを排除することが鉄則だ。
2. ハードウェアオフロードとASICの処理効率
近年の高密度スイッチでは、パケットのルーティングおよびタギング／アンタギング処理はすべてASIC（Application-Specific Integrated Circuit）のハードウェア回路によってワイヤースピードで処理される。
しかし、ミスマッチや不正なタグなしフレームが大量に流入すると、CPU例外処理（Control Plane Policing: CoPPの対象外となる異常パケットの処理など）を引き起こし、スイッチのコントロールプレーンに負荷をかける要因になり得る。
ネイティブVLANをクリーンに保ち、不要なタグなしトラフィックを一切流さない設計は、セキュリティだけでなく、スイッチのCPU負荷低減と安定した低RTT（Round Trip Time）維持というパフォーマンス上の大きなメリットを生むのだ。
—
5. 結びにかえて：プロトコルの「暗黙の仕様」を支配する
ネットワークプロトコルの世界では、「設定しなくても動く（デフォルトで動く）」機能ほど、エンジニアの足元をすくう罠が隠されている。ネイティブVLANはその最たる例だ。
「とりあえずデフォルトのVLAN 1のままで動いているからよしとする」――この妥協が、将来的なセキュリティインシデントや、原因究明に何時間も費やすハードなトラブルシューティングの種を蒔くことになる。
パケットがスイッチのポートを叩いた瞬間、ASICの内部で何が起き、どのVLANタグが剥がされ、どこへルーティングされるのか。その脳内シミュレーションを常にパケット単位で行えることこそが、真のインフラアーキテクトの条件である。
今日の構築作業から、あなたの手でトランクポートのネイティブVLANを見直し、セキュアで予測可能な堅牢なネットワークを構築してほしい。プロトコルの深淵を愛する者にとって、パケットに曖昧な挙動など存在しないのだから。
コメント