来客のスマホが経理のパソコンに見える
VLAN（仮想LAN）は、一台のスイッチを、見えない壁で複数のネットワークに分ける技術です。壁があれば、来客のWi-Fiから経理のパソコンへ直接は届きません。
小さな会社でも、経理と来客を同じスイッチにつなぐことがあります。スイッチを買い足さずに分ける方法を見ましょう。
このレッスンのゴール
メモ
一台のスイッチで二つのグループを分ける設計を説明できる。
重要な言葉
| ことば | いみ | れい |
|---|---|---|
| VLAN | 一台のスイッチの中で分けた、別々のネットワーク | |
| VLAN ID | VLANを見分ける番号 | 30 |
| アクセスポート | 機器を一つのVLANにつなぐ口 | |
| トランクポート | 複数のVLANをまとめて運ぶ口 | |
| タグ | パケットに付けて、VLANの番号を伝える印 | |
| ブロードキャスト | 同じネットワークの全員に向けた呼びかけ |
学生が入力するセルは、このプレビューでは空白です。
VLANはスイッチの中の見えない壁
普通のスイッチは、つないだ機器をすべて同じネットワークに入れます。一人のブロードキャストが、全員に届きます。
VLANを使うと、口ごとに番号を決めて、番号が同じ口どうしだけをつなぎます。別の番号の機器には、スイッチの中では届きません。
例：会社を二つに分ける
| グループ | VLAN ID | アドレスの範囲 | 主な機器 |
|---|---|---|---|
| 経理 | 30 | 192.168.30.0/24 | 経理のパソコン、サーバー |
| 来客 | 40 | 192.168.40.0/24 | 来客のスマホ、ノートPC |
学生が入力するセルは、このプレビューでは空白です。
ラボの機器を見る
vlanlab statusここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
同じ範囲のsrvへping
sudo ip netns exec h10 ping -c 2 -W 1 10.10.0.100ここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
別の範囲のsrvへping
sudo ip netns exec h20 ping -c 2 -W 1 10.10.0.100ここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
まだ壁は無く、ルーターも無い
ラボの始めは、すべての口がまだ VLAN 1 に入っています。status には、五つの機器とスイッチのVLANの表が出ます。
一つ目の ping は、h10 と srv が同じ範囲なので、返事が返ります。二つ目は、h20 のアドレスが別の範囲で、出口のルーターもまだ動いていないので、返事は一つも来ません。
アクセスポートとトランクポート
機器をつなぐ口は、アクセスポートです。一つのVLANだけに入り、機器の側にタグは付きません。
ルーターへつなぐ一本には、複数のVLANを通します。これがトランクポートで、パケットにVLANの番号のタグを付けて運びます。
スイッチのVLANの表を見る
sudo ip netns exec sw bridge vlan showここでは表示のみで、実行されません。無料アカウントを作成すると、実行ボタンで自分のラボのターミナルに入力できます。
VLANの表は口ごとの番号表
出力は、口の名前ごとにVLANの番号が並ぶ表です。始めは、ほとんどの口が 1 だけです。
設定が終わると、機器の口には一つの番号、ルーターの口には二つの番号が並びます。このラボの課題は、その表を自分で作ることです。
VLANのあいだはルーターを通る
別のVLANの機器どうしは、ルーターを通らないとやり取りできません。ルーターがあれば、通すかどうかをルールで決められます。
来客から経理への通信は止め、経理から外への通信は通す、という決め方ができます。
例：誰が誰に届くか
| 送る側 | 受ける側 | ルーターがあるとき |
|---|---|---|
| 経理（30） | 経理（30） | 直接届く |
| 経理（30） | 来客（40） | ルーター経由。ルールで決める |
| 来客（40） | 経理（30） | ルーター経由。止めるルールを置く |
学生が入力するセルは、このプレビューでは空白です。
よくある間違い
注意
VLANを分ければ、もう安全だと思いがちです。分けただけでは、ルーターが二つをつなげば届いてしまいます。守るには、ルーターに「来客から経理へは通さない」というルールを置きます。
さらに挑戦：三つ目のグループ
会社に、防犯カメラのグループ VLAN 50 を足します。カメラは、経理にも来客にも届かなくてよいとします。
自分の can_reach に、カメラの行を足して試しましょう。ルーターで「カメラから出る通信を止める」ルールは、どう書くでしょうか。