2026.07.12 インフラ

VLANとは？仕組み・ポートVLAN/タグVLAN・IEEE 802.1QからVLAN間ルーティング設計まで実装者向けに解説

VLAN（Virtual LAN／仮想LAN）は、1台の物理スイッチや1本のケーブルの上に、論理的に分割した複数のネットワークを共存させる仕組みです。ケーブルやスイッチを物理的に別々へ用意しなくても、業務用・ゲスト用・管理用・IP電話用といったネットワークを分離できるため、ブロードキャストの波及範囲を絞り、セキュリティの境界を引けるのが利点です。この記事では、VLANがイーサネットフレームのどこにタグを付けて実現されるのか、ポートVLANとタグVLAN（トランク）の違い、VLAN IDとサブネットの対応づけ、VLAN間ルーティングの実装形態までを実装者向けに整理します。さらに、どこをVLANで分けるべきか・分けなくてよい場面はどこか、VLANホッピングへの備え、障害切り分けの手順まで、現場の判断を条件付きで言い切ります。

目次

まとめ：VLAN設計で先に押さえる結論

VLANは「1つの物理ネットワークを、タグという目印で複数の論理ネットワークに切り分ける」技術です。標準はIEEE 802.1Qで、イーサネットフレームに12ビットのVLAN ID（1〜4094の範囲）を持つタグを差し込み、スイッチはそのIDごとに通信を隔離します。同じスイッチに挿さっていても、VLANが違えば直接は通信できず、越えるにはルーティングを経由します。

設計判断の勘所は3点に集約できます。第一に、VLAN IDとサブネット（IPネットワーク）は1対1で対応づけるのを基本とし、両者の割り当て表を先に固める。第二に、末端の機器をつなぐポートは1つのVLANに固定する「アクセスポート」、スイッチ間を束ねる幹線は複数VLANを相乗りさせる「トランクポート」と、役割で明確に分ける。第三に、VLAN間の通信が必要な箇所だけをレイヤ3スイッチやルーターに集約し、そこを境界としてセキュリティ制御を効かせる。オンプレのVLAN設計と、クラウド側の仮想ネットワーク（AWSのVPCとサブネット等）を一体で組みたい場合は、インフラ構築（AWS/GCP/Azure）の相談窓口で構成段階から検討すると、物理と仮想のセグメント設計のズレを防げます。

VLANの仕組み：物理ネットワークをタグで論理分割する技術の正体

VLANを設定する前に、「何を目印にネットワークを分けているのか」を押さえておくと、後段のトランクやルーティングの話が丸暗記になりません。起点はイーサネットフレームとタグの関係です。

VLANが解決するネットワーク肥大化の課題とセグメント分割の目的

VLANがない環境では、1台のスイッチに挿さった機器はすべて同じネットワーク（同じブロードキャストドメイン）に属する構成です。台数が増えるとブロードキャストが全機器へ届いて帯域を圧迫し、部署をまたいだ機器同士も自由に通信できてしまうため、障害の波及やセキュリティの緩さが問題になります。VLANはこの1つの塊を論理的に区切り、「部署ごと」「用途ごと」にブロードキャストの範囲を閉じ込めます。物理配線を引き直さずにネットワークを再編できる点が、VLANを使う最大の動機です。VLANが載る土台はイーサネットのフレームそのものなので、イーサネットのフレーム構造とMACアドレス転送の仕組みを押さえておくと、タグがどこに入るかが直感的に理解できます。

IEEE 802.1QのVLANタグはフレームのどこに入るか

VLANの標準規格がIEEE 802.1Qです。仕組みは、イーサネットフレームの送信元MACアドレスの直後に4バイトのVLANタグを挿し込むというもので、このタグの中に12ビットのVLAN ID（VID）が入ります。12ビットで表せる範囲から、実際に使えるVLAN IDは1〜4094です（0と4095は予約）。タグはデータリンク層で付与・除去されるため、VLANはOSI参照モデルのレイヤ2（データリンク層）に属する技術です。各層の役割分担はOSI参照モデルの7階層とTCP/IPとの対応で整理できます。タグにはVLAN IDのほか、通信の優先度を示すCoS（クラスオブサービス）のフィールドも含まれ、音声VLANなどで優先制御に使われます。

タグ付きフレームとタグなしフレームが流れる区間の違いと役割の整理

実務で混乱しやすいのが「どのフレームにタグが付いているか」です。原則として、末端のPCやプリンタといった機器はVLANを意識せず、タグの付いていない通常のフレームを送受信します。タグを付けたり外したりするのはスイッチの役目です。機器から届いたタグなしフレームを、スイッチが「このポートはVLAN 10」と判断してタグを付与し、スイッチ間の幹線を通すときはタグ付きのまま流し、出口のポートで再びタグを外して機器へ渡します。つまりタグは「スイッチとスイッチの間の相乗り区間」でだけ姿を見せる、と捉えると設計時の見通しが良くなります。

ポートVLANとタグVLAN（トランク）の違いと役割ごとの使い分け

VLANの設定方式は、ポート単位で割り当てる方式と、1本の幹線に複数VLANを相乗りさせる方式に大別できます。ここを役割で分けられるかどうかが、設計の成否を分けます。

末端の機器を収容するポートVLAN（アクセスポート）の基本の考え方

ポートVLANは、スイッチの物理ポートごとに「このポートはVLAN 10」と固定的に割り当てる方式です。この単一VLANに固定したポートをアクセスポートと呼び、PC・プリンタ・IP電話など末端の機器を収容します。アクセスポートにつながった機器はタグを意識せず、そのポートに設定されたVLANのメンバーとして扱われます。設定がシンプルで事故が起きにくいため、末端収容はアクセスポートを基本とするのが定石です。

タグVLAN（トランクポート）で複数VLANを1本に相乗りさせる

タグVLANは、1本の物理リンクに複数のVLANを相乗りさせる方式で、この設定をしたポートをトランクポートと呼びます。スイッチ間を結ぶ幹線に用いる方式で、フロアスイッチからコアスイッチへ複数VLANのフレームをまとめて流す構成です。トランクではフレームにVLANタグが付いたまま転送され、受け取った側のスイッチがタグを見てVLANを識別します。トランクを使えば、10個のVLANを通すのにケーブルを10本引く必要はなく、1本のトランクリンクに集約できます。設定のポイントは、トランクで通すVLANを許可リストで絞り込み、必要なVLANだけを載せることです。全VLANを無制限に流すと、障害時の波及範囲とブロードキャストの負荷が広がります。

スイッチ間トランクに潜むネイティブVLANの落とし穴と回避策

トランクポートには、タグなしフレームを受け取ったときに割り当てる「ネイティブVLAN」という設定があります。既定ではVLAN 1がネイティブVLANになっている機器が多く、ここが設計上の落とし穴です。トランクの両端でネイティブVLANの番号が食い違うと、意図しないVLANへフレームが漏れ込みます。加えて、ネイティブVLAN 1のまま運用すると、後述するVLANホッピングの入口になり得ます。対策は、業務で使うVLANとは別に「どこにも使わない番号」を専用のネイティブVLANとして割り当て、トランクの両端で番号を揃えることです。VLAN 1を管理・データいずれの用途にも使わない運用が、事故を減らす堅い設計になります。

VLAN間ルーティングとサブネット設計・クラウドVPCとの対応関係

VLANで分けたネットワーク同士は、そのままでは通信できません。「分けたうえで、必要な経路だけを開ける」のがVLAN設計の後半戦で、ここが実装者の腕の見せどころです。

VLAN IDとIPサブネットを1対1で対応づける設計の基本

VLANはレイヤ2の分割、IPのサブネットはレイヤ3の分割ですが、運用ではこの2つを1対1で対応づけるのが基本です。たとえばVLAN 10に192.168.10.0/24、VLAN 20に192.168.20.0/24というように、VLAN IDの下2桁とサブネットの第3オクテットを揃えると、障害調査時に「どのVLANがどのIP帯か」を即座に判断できます。この割り当て設計の土台になるのが、サブネットマスクの計算とセグメント分割の理解です。VLANを増やす前に、VLAN IDとサブネットの対応表を1枚作っておくと、後からの拡張で番号がぶつかる事故を防げます。

VLAN間ルーティングの実装形態（レイヤ3スイッチとルーターオンアスティック）

VLANをまたいで通信させるには、レイヤ3の機能でルーティングします。実装形態は主に2つです。1つはレイヤ3スイッチにVLANごとの仮想インターフェース（SVI）を作り、各VLANのデフォルトゲートウェイをスイッチ自身に持たせる方式で、内部でVLAN間を高速に転送できるため現在の主流です。もう1つは、ルーターとスイッチを1本のトランクでつなぎ、ルーター側にVLANごとのサブインターフェースを切って折り返す「ルーターオンアスティック」で、小規模やルーター集約の構成で使われます。どちらの形でも、各機器から見た出口はVLANごとのゲートウェイになるため、デフォルトゲートウェイの役割と確認方法と合わせて設計するのが安全です。VLAN間にファイアウォールやアクセス制御リストを挟めば、「分けたうえで許可した通信だけを通す」境界制御が実現します。

クラウドの仮想ネットワーク（VPCサブネット）とVLANの違い

オンプレのVLANに慣れた人がクラウドで戸惑うのが、AWSやAzureにはVLANという設定項目が表に出てこない点です。クラウドではVPC（仮想プライベートクラウド）とその中のサブネットが、VLANとサブネットに相当する分離の役割を担います。利用者はVLAN IDやトランクを直接触らず、サブネットとルートテーブル、セキュリティグループで通信範囲を制御します。外部へ出る通信のアドレス変換自体はNAT（ネットワークアドレス変換）の仕組みと合わせて押さえると、内側と外側の境界での見え方を一貫して設計できます。概念としては「VLAN＝クラウドのサブネット」「VLAN間ルーティング＝ルートテーブルとゲートウェイ」と対応づけると理解が早いです。オンプレのVLAN設計とクラウドのVPC設計を地続きで組みたい場合は、インフラ構築（AWS/GCP/Azure）として物理と仮想を一体で相談すると、セグメントの粒度や責任分界を最初から揃えられます。

VLANの採用判断・分けない場面とセキュリティ・障害切り分けの実務

VLANは分ければ分けるほど良いわけではありません。どこを分け、どこは分けないか、そして分けた後のリスクと切り分けを、条件付きで示します。

ネットワークをVLANで分けるべき場面と分けなくてよい場面の判断

VLANで分ける価値が明確なのは、次の場面です。部署・拠点・用途でセキュリティ境界を引きたいとき、来客やゲストWi-Fiを社内ネットワークから隔離したいとき、IP電話や監視カメラを業務トラフィックから切り離して優先制御したいとき、そしてブロードキャストが増えて1つのセグメントが肥大化したときです。逆に、数台〜十数台規模で全員が同じ業務ネットワークを使い、外部からの隔離もルーターのファイアウォールで足りる小規模オフィスでは、VLANを細かく切る手間がリスク低減に見合わないことがあります。「分ける理由（隔離・優先制御・ブロードキャスト抑制）を1つ以上言えるか」が、無用な複雑化を避ける採用の基準です。分けたVLANの数だけルーティングとアクセス制御の設計が増える点を、コストとして織り込んで判断します。

VLANホッピングを防ぐセキュリティ設定上の注意点と基本の対策

VLANは分離の仕組みですが、設定を誤ると分離をすり抜けられます。代表例がVLANホッピングで、攻撃者が二重のタグを付けたフレームを送ったり、アクセスポートをトランクとして交渉させたりして、本来届かないVLANへ侵入する手法です。備えは設定側で完結します。末端に向くポートは自動トランク交渉（DTP等）を無効にしてアクセスポート固定にする、トランクのネイティブVLANを未使用番号に変える、トランクで許可するVLANを必要分だけに絞る、使っていないポートは未使用VLANに落としてシャットダウンする、という基本を徹底します。VLANはあくまでネットワークの区切りであり、機器やアプリ側の認証・暗号化と組み合わせて多層で守る前提を崩さないことが肝心です。

VLANがらみの疎通不良をレイヤ2から順に切り分ける実務手順

「同じVLANなのに通じない」「VLANをまたいだ通信だけ落ちる」といった不具合は、レイヤ2からレイヤ3へ順に切り分けると原因に速く到達します。

  1. 該当ポートのVLAN割り当てを確認する。アクセスポートが意図したVLANに入っているか、そもそもリンクが上がっているかを見る。
  2. スイッチ間のトランク設定を確認する。トランクで対象VLANが許可されているか、両端のネイティブVLANが一致しているかを照合する。
  3. 同一VLAN内で通じるかを切り分ける。同じVLANで通じるなら物理・L2は正常で、問題はVLAN間ルーティング側にある。
  4. VLAN間の通信が落ちる場合は、各VLANのゲートウェイ（SVIやサブインターフェース）とルーティング、アクセス制御リストの許可設定を確認する。

この順序を守ると、実はトランクの許可VLAN漏れだったものを、上位のIP設定ばかり見て遠回りする失敗を避けられます。オンプレとクラウドをまたいだ構成で切り分けが複雑になる場合は、設計段階からインフラ構築（AWS/GCP/Azure）として一体で相談すると、VLANとVPCサブネットの境界を明確にしたうえで問題箇所を絞り込めます。

よくある質問

VLANについて実務でよく挙がる疑問を、設計・運用の観点から簡潔に答えます。

ポートVLANとタグVLANの違いは何ですか？

ポートVLAN（アクセスポート）は、スイッチの物理ポート単位で1つのVLANを固定的に割り当てる方式で、PCやプリンタなど末端の機器を収容します。タグVLAN（トランクポート）は、1本の物理リンクに複数のVLANを相乗りさせる方式で、スイッチ間の幹線に使い、フレームにVLANタグを付けたまま転送します。末端はアクセスポート、幹線はトランクポートと役割で分けるのが基本です。

VLAN IDはいくつまで設定できますか？

IEEE 802.1QのVLAN IDは12ビットで表現され、実際に使えるのは1〜4094の範囲です（0と4095は予約）。VLAN 1は多くの機器で既定VLANとして扱われるため、事故を避ける運用では業務用途にVLAN 1を使わず、明示的に別の番号を割り当てるのが堅い設計です。

VLANを分けると通信できなくなるのはなぜですか？

VLANはレイヤ2でネットワークを隔離するため、異なるVLANに属する機器同士は既定では直接通信できません。VLANをまたいで通信させるには、レイヤ3スイッチのSVIやルーターによるVLAN間ルーティングを設定し、各VLANにゲートウェイを用意する必要があります。「分けたら、越える経路を別途開ける」という2段構えで捉えると理解しやすいです。

VLANとサブネットは同じものですか？

別物ですが、運用では対応づけて使います。VLANはレイヤ2（データリンク層）の論理分割、サブネットはレイヤ3（IP）の分割です。実務ではVLAN IDとサブネットを1対1で割り当て、障害調査や設計の見通しを良くします。VLANだけ分けてサブネットを揃えないと、同じIP帯が複数VLANにまたがって混乱の原因になります。

VLANとVPN・VPCの違いは何ですか？

VLANは同一拠点内のスイッチ上でネットワークを論理分割する技術です。VPNは拠点間やリモート接続を暗号化トンネルで結ぶ技術で、目的が「分離」ではなく「離れた場所を安全につなぐ」点で異なります。VPCはクラウド上の仮想ネットワークで、そのサブネットがオンプレのVLAN＋サブネットに相当する役割です。分離はVLAN/VPCサブネット、拠点間接続はVPNと整理できます。

関連記事

資料請求

RELATED POSTS 関連記事

一覧へ戻る