LANセグメントを分ける仮想LAN、VLANのお話

前回の勉強内容

ponsuke-tarou.hatenablog.com

勉強のきっかけになった問題

VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると、スイッチのポートをセグメントを分けない場合に比べて、どのようなセキュリティ上の効果が得られるか。

  1. スイッチが、PCから送出されるICMPパケットを全て遮断するので、PC間のマルウェア感染のリスクを低減できる。
  2. スイッチが、PCからのブロードキャストパケットの到達範囲を制限するので、アドレス情報の不要な流出のリスクを低減できる。
  3. スイッチが、PCのMACアドレスから接続可否を判別するので、PCの不正接続のリスクを低減できる。
  4. スイッチが、物理ポートごとに、決まったIPアドレスをもつPCの接続だけを許可するので、PCの不正接続のリスクを低減できる。

情報処理安全確保支援士平成31年春期 午前Ⅱ 問12

VLANは、1つの物理的スイッチで複数のスイッチがあるみたいにLANセグメントを分けることができる技術です。

  • 正式名称 : Virtual Local Area Network(Virtual LAN)

VLANではない場合、1つの物理スイッチには1つのLANセグメントがあります。
VLANにすると、まるで複数のスイッチがあるように複数のLANセグメントに分割することができます。

https://www.infraexpert.com/studygif/vlanz1.gif
VLANとは

LANスイッチは、複数の機器をネットワークと接続できるようにする機器です。

OSI参照モデル 機器 説明
ネットワーク層 L3スイッチ ネットワークの中継機器の一つで、
ネットワーク層とリンク層の両方の制御情報に基づいてデータの転送先の決定を行います。
データリンク層 L2スイッチ MACアドレスを含んだ情報を使って
適切なポートにイーサネットフレームを転送します。

https://news.mynavi.jp/kikaku/switch-1/images/001.jpg
https://news.mynavi.jp/kikaku/switch-1/images/002.jpg
いまさら聞けないスイッチの基礎(1) LANスイッチとは? | TECH+

スイッチ内に作られた仮想スイッチのポートを物理的なポートに割り当てることでLANセグメントを分割します。

VLAN対応スイッチでは、仮想的に作られたスイッチ、いわゆる仮想スイッチがスイッチ内部で動いている。スイッチの物理ポートを仮想スイッチのポートに割り当てることで、ネットワークの分割を実現している。
https://cdn-xtech.nikkei.com/atcl/nxt/column/18/00131/020600002/ph01.jpg?__scale=w:500,h:197&_sh=0c20a502a0
ポートVLANとタグVLANの違いとは? | 日経クロステック(xTECH)

ブロードキャストドメインを分割できるので、他のセグメントへのARPを防止します。

https://milestone-of-se.nesuke.com/wp-content/uploads/2016/12/VLAN3.png
【図解】初心者にも分かる VLAN 入門〜仕組み,メリットや必要性について〜 | SEの道標

ARPは、IPアドレスからMACアドレスを取得するために使われるプロトコルです。
ponsuke-tarou.hatenablog.com
スイッチが、PCからのブロードキャストパケットの到達範囲を制限するので、アドレス情報の不要な流出のリスクを低減できます。

https://www.sc-siken.com/kakomon/31_haru/img/12.gif
情報処理安全確保支援士平成31年春期 午前Ⅱ 問12

L3スイッチの内部ルーターを使うことで分割したLANセグメント同士を接続することができます。

L3スイッチは、L2スイッチの内部にルーターの機能を組込んでルーターによるVLAN間ルーティングをするネットワーク機器です。

https://news.mynavi.jp/article/vlan-4/images/002.jpg
今さら聞けない「VLANの基本」(4) VLAN間ルーティング | TECH+

LANセグメントごとにIPアドレスを割り当てて、LANセグメント同士を接続します。

https://network.oreda.net/_media/device/switch/svi.png
https://network.oreda.net/_media/device/switch/routedport.png
L3スイッチで、VLAN間ルーティング(SVIかルーテッドポート) [現場で必要なネットワーク技術入門]

各VLANを識別するために割り振られる番号をVLAN IDといいます。

f:id:ponsuke_tarou:20211005172936j:plain
同じVLAN IDに所属する機器同士は通信できます。
VLAN IDの「0」と「4095」は予約済みの番号です。

VLAN ID 用途
0 VLANにも属していないフレームであることを表す特殊なID
4095 システム用

VLANは、LANセグメントの分割方法によって方式があります。

名前 概要
デフォルトVLAN(VLAN1) L2スイッチの初期状態で、1だけが設定されているVLANです。
VLAN1だけなのでLANセグメントは分割されず1つだけです。
プライベートVLAN 同一VLAN内でのアクセス制御が可能なVLANです。
ダイナミックVLAN スイッチに接続する機器のMACアドレスやユーザー情報によって自動で割り当てるVLANを決めます。
ポートベースVLAN スイッチにの差込口(ポート)でLANセグメントを分割します。
タグVLAN フレームにタグをつけてVLANを見分けます。

ポートベースVLANは、複数のポートを論理的なグループにまとめグループ内だけの通信を可能にします。

  • 別名 : ポートVLAN、スタティックVLAN

ポートベースVLAN
スイッチの接続ポート単位でグルーピング
ソフトウェア開発技術者平成18年秋期 午前問59

https://news.mynavi.jp/article/vlan-2/images/003.jpg
今さら聞けない「VLANの基本」(2) ポートベースVLANとは | TECH+

物理的なポートごとにLANセグメントを分割するので、1つのポートにつけられるVLAN IDは1つです。

https://cdn-xtech.nikkei.com/atcl/nxt/column/18/00131/020600002/ph02.jpg?__scale=w:500,h:238&_sh=0c40f00df0
ポートVLANとタグVLANの違いとは? | 日経クロステック(xTECH)

タグVLANは、イーサネットフレームにタグ情報を挿入してフレーム単位でLANセグメントを分割します。

イーサネットフレームのタグで判別するので、1つのポートに複数のVLAN IDをつけられます。

タグVLAN (Tag VLAN) とは、複数のVLANを1本のLAN 接続だけで複数スイッチ間で共有できる技術です。IEEE802.1qという規格で規定されており、VLAN IDは1~4094が使えます。
https://milestone-of-se.nesuke.com/wp-content/uploads/2017/10/tag-vlan-1.png
【図解】タグVLANとネイティブVLAN (PVID)の違い,native vlanを変更する理由,不一致による影響 | SEの道標

イーサネットフレームは、イーサネットでの通信で使用するデータフォーマットのことです。
ponsuke-tarou.hatenablog.com
タグのフォーマットは、IEEE802.1Q(通称 : ドット1キュー)で標準化されています。

https://www.n-study.com/grafic/newvlan12.gif
トランクプロトコルのまとめ ~IEEE802.1QとISL~ | VLAN(Virtual LAN)の仕組み | ネットワークのおべんきょしませんか?

EEE802.1Qでは送信元MACアドレスとタイプフィールドの間にタグと呼ばれる4バイトのフィールドを挿入します。
https://www.infraexpert.com/studygif/vlanz10.gif
VLAN - アクセスポートとトランクポート

複数のVLANに所属しているポートをトランクポートといいます。

https://www.sc-siken.com/kakomon/30_haru/img/19.gif
情報処理安全確保支援士平成30年春期 午前Ⅱ 問19

トランクポートは複数のVLANに所属するポートです。主にスイッチ同士を接続する際に使用するポートです。
https://www.infraexpert.com/studygif/vlanz9.gif
VLAN - アクセスポートとトランクポート

タグVLANで使う物理ポートをトランクポート、トランクポート同士をつなぐリンクを「トランクリンク」と呼ぶ。トランクポートには通常、パソコンなどの端末を接続せず、スイッチのトランクポート同士をつなぐために使う。
https://cdn-xtech.nikkei.com/atcl/nxt/column/18/00131/020600002/ph04.jpg?__scale=w:500,h:253&_sh=0b70bf0750
ポートVLANとタグVLANの違いとは? | 日経クロステック(xTECH)

f:id:ponsuke_tarou:20161230114147j:plain
いつか見た景色

次回の勉強内容

ponsuke-tarou.hatenablog.com