VLANとは？

VLANの意味

物理的な配線とは独立に、スイッチ上で論理的にブロードキャストドメインを分割する技術。部署や用途ごとに通信範囲を分けることで、盗聴やブロードキャストの波及、侵害時の横展開を抑える。複数VLANを1本の回線でタグ付きで運ぶポートをトランクポートと呼ぶ。

VLANの具体例

工場のPLCと事務用PCが同一L2にあり、事務PCのマルウェアが制御機器へ広がる恐れがあった。制御系・事務系・来客無線を別VLANに分け、相互通信はFW経由の3ポートだけに限定。トランクポートに不要なVLANを載せない設定も併せて確認した。

VLANは試験でどう引っ掛けられる？

VLAN間の通信にはルータやL3スイッチによるルーティングが必要であり、そこでアクセス制御をかけられる。

VLANと関連する用語

• ネットワークセグメンテーション
• スパニングツリープロトコル
• ゼロトラスト

VLANが出た過去問

• IEEE 802.1QのVLAN機能を有したスイッチにおいて,複数のVLANに所属しているポートを何と呼ぶか。

  正解：トランクポート

  要点：複数VLANをタグ付きで束ねて運ぶのがトランクポート

  IEEE 802.1QのタグVLANでは、スイッチ間やスイッチとサーバの間で複数のVLANの通信を1本の物理リンクにまとめて流す。この用途のポートをトランクポートと呼び、フレームにVLAN IDを含むタグを付けて、どのVLANの通信かを識別できるようにする。これに対し単一のVLANだけに属し、タグなしフレームを扱うポートがアクセスポートである。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問19（IPA）

• VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると，スイッチのポートをセグメントに…

  正解：スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

  要点：VLANはブロードキャスト範囲を分離し情報流出を抑える

  VLANはスイッチのポートを論理的なグループに分け、グループごとに別々のブロードキャストドメインを構成する機能である。ブロードキャストの到達範囲がセグメント内に限られるため、ARP要求などから読み取れるアドレス情報が他セグメントへ漏れず、盗聴による情報収集や不要な通信の広がりを抑えられる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）

• レイヤ3ネットワーク内に論理的なレイヤ2ネットワークをカプセル化によって構築するプロトコルはどれか。

  正解：VXLAN

  要点：VXLANはIP網上に論理的なL2網をカプセル化で作る

  VXLANは、イーサネットフレームをUDPで包んでIPネットワーク上を運ぶことで、レイヤ3で分断された拠点やサーバ間に論理的なレイヤ2セグメントを作る技術である。24ビットのVNIによって約1,677万の論理ネットワークを識別でき、VLAN IDが12ビットで4,094までに限られる制約を解消する。データセンタの仮想化基盤やマルチテナント環境で広く使われる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）