（図１）１台のスイッチで複数のＶＬＡＮを構成した例
ＶＬＡＮとは、Virtual Local Area Networkの略で、仮想ＬＡＮという意味です。
今までのＬＡＮでは、ＬＡＮを物理的なネットワークに縛られた構成にしかできないのが現状でした。
ところが、ＶＬＡＮでは、この制約を取り除いた構成が可能です。
これによって、柔軟なネットワーク構成が可能で、今では一般的なＬ２スイッチ（レイヤ２スイッチ）の代表的な機能として位置づけられています。
ＶＬＡＮは、一つのスイッチしかなくても、あたかも複数のスイッチがあるかのようにＬＡＮを構成できるという特徴があります。
以下の図のようなイメージになります。
（図１）１台のスイッチで複数のＶＬＡＮを構成した例
ＶＬＡＮを構成した場合、それぞれのＶＬＡＮは独立したネットワークとなります。
これらのネットワークは、論理的なネットワークとなります。
つまり、ＬＡＮを仮想化し、見かけ上複数のネットワークがあるかのように見せる仕組みです。
また、ＶＬＡＮは、ブロードキャストドメインを複数に分けることができる仕組みという見方もできます。
ブロードキャストドメインとは、ブロードキャストフレームが到達できる範囲のことを言います。
ブロードキャストフレームでは、宛先のＭＡＣアドレスのビットがすべて１になっています。
１６進数で書くと、FF-FF-FF-FF-FF-FFの６オクテットのアドレスです。
通常、リピータハブは勿論、スイッチも、このブロードキャストフレームを通してしまいます。
通常、このブロードキャストフレームを遮断するには、ルーターが必要です。
つまり、ブロードキャストドメインは、ルーターがネットワークに繋がっていれば、ルーターで区切られたネットワークごとに複数存在します。
ルーターがなければ一つということになります。
ＶＬＡＮによって分割された仮想的なネットワークは、ブロードキャストドメイン一つ一つと対応しています。
ＶＬＡＮは、スイッチでこのブロードキャストドメインを複数作るための仕組みなので、ブロードキャストフレームを遮断できます。
通常、ＶＬＡＮ同士は通信できません。
従って、この独立したＶＬＡＮ同士を繋ぐには、通常ＶＬＡＮ対応のルーターか、Ｌ３スイッチ（レイヤ３スイッチ）が必要となります。
ＶＬＡＮの機能は、Ｌ２スイッチ（レイヤ２スイッチ）だけではなく、Ｌ３スイッチ（レイヤ３スイッチ）にもあります。
従って、Ｌ３スイッチがあれば、特にルーターを必要としません。
また、ＶＬＡＮは、複数のスイッチにまたがって構成することもできるので、より柔軟性があり、ＬＡＮ構成の幅が広がります。
組織内で人事異動などがあった場合、ＬＡＮに接続されている機器の構成を変更せず、設定変更するだけで論理的なＬＡＮ構成を変更できることがＶＬＡＮの最大のメリットです。
これなら、非常に管理がしやすいです。
ネットワーク管理者泣かせの物理的な変更作業を減らせます。
ＶＬＡＮには、機能別に幾つかの種類に分かれます。
ポートベースＶＬＡＮ、ＭＡＣアドレスベースＶＬＡＮ、サブネットベースＶＬＡＮなどがあります。
これらのＶＬＡＮをスタティックＶＬＡＮとダイナミックＶＬＡＮの２つに分類することもできます。
スタティックＶＬＡＮとは、スイッチのポートを番号によって区別し、静的にＶＬＡＮを割り当てるタイプのＶＬＡＮで、ポートベースＶＬＡＮがこのタイプです。
ポートベースＶＬＡＮでは、スイッチのポートをグループ化して、それぞれのグループごとにＶＬＡＮを割り当てることができます。
上の図１は、シンプルなポートベースＶＬＡＮの例で、ポート１〜３までの３つのポートがＶＬＡＮ１というグループに所属し、ポート４〜６までの３つのポートがＶＬＡＮ２というグループに所属します。
この例では、仮想的に２つのＬＡＮができたことになります。
ポートベースＶＬＡＮでは、静的にＶＬＡＮを割り当てるため、ポートとＰＣなどのノードが固定されてしまいます。
一方、ダイナミックＶＬＡＮは、アドレスなどをＶＬＡＮの識別に利用し、スイッチの各ポートに接続されるＰＣを動的にグループ分けして、それぞれのグループごとにＶＬＡＮを割り当てるタイプのＶＬＡＮです。
ダイナミックＶＬＡＮには、ＭＡＣアドレスベースＶＬＡＮやサブネットベースＶＬＡＮなどがあります。
ＭＡＣアドレスベースＶＬＡＮは、ＭＡＣアドレスで独立した異なるＶＬＡＮを識別するタイプのＶＬＡＮです。
ＭＡＣアドレスベースＶＬＡＮは、ＬＡＮ関連の文献やホームページなどでは、ＭＡＣベースＶＬＡＮとかＭＡＣアドレスＶＬＡＮなどと記載しているものも見られます。
ＭＡＣアドレスベースＶＬＡＮでは、ＭＡＣアドレスとＶＬＡＮの対応関係を設定し、グループ分けします。
例えば、仮にＭＡＣアドレス１とＭＡＣアドレス２があったとしたら、これらをＶＬＡＮ１に割り当て、ＭＡＣアドレス３とＭＡＣアドレス４はＶＬＡＮ２に割り当てることができます。
もし、ある会社で社員の席が移動して、現在ＰＣがある場所から離れた場所に来て接続するポートを変更する必要があった場合、ＭＡＣアドレスベースＶＬＡＮならポートを変更してもＭＡＣアドレスを自動的に認識し、対応しているグループのＶＬＡＮに動的に割り当ててくれるので非常に便利です。
サブネットベースＶＬＡＮは、ＩＰアドレスのサブネットアドレスで独立した異なるＶＬＡＮを識別するタイプのＶＬＡＮです。
異なるサブネットアドレスを独立したＬＡＮとして、グループ分けし、ＶＬＡＮを区別します。
サブネットベースＶＬＡＮの場合も、ＭＡＣアドレスベースＶＬＡＮと同じように、サブネットアドレスを自動的に認識し、対応しているグループのＶＬＡＮに動的に割り当ててくれます。
サブネットベースＶＬＡＮの場合も、前述のようにＰＣの移動があってポートを変更する必要があっても、ポートを変更してもサブネットアドレスを自動的に認識し、対応しているグループのＶＬＡＮに動的に割り当ててくれるので非常に便利です。
ＶＬＡＮには、他にも幾つか分類できます。
マルチプルＶＬＡＮやタグＶＬＡＮというものもあります。
マルチプルＶＬＡＮでは、特定のポート（マルチプルポート）だけを複数のＶＬＡＮに属するように設定でき、このマルチプルポートだけを特別な目的に使用することができます。
例えば、マルチプルポートをインターネットに接続しているルーターに接続し、すべてのＶＬＡＮに属するＰＣからインターネットに接続する時、マルチプルＶＬＡＮは便利です。
マルチプルＶＬＡＮでは、異なるＶＬＡＮ間の通信は遮断されているので、サーバーやインターネットへすべての人がアクセスできる状態で、セキュリティも保てるという優れた特徴があります。
ちなみに、マルチプルポートは、オーバーラップポートとも呼ばれます。
スイッチのメーカーによっては、アップリンクポートとかトランクポートと呼んでいる場合もあります。
オーバーラップポートを通した複数のＶＬＡＮの接続をトランクリンクと言います。
これに対して、一つのＶＬＡＮにしか属さないポートをクライアントポートと言って、マルチプルポートのような複数のＶＬＡＮに属するポートと区別します。
スイッチのメーカーによっては、クライアントポートをプライベートポートと呼んでいる場合もあります。
単一のＶＬＡＮにしか属していないクライアントポートを通したノードとＶＬＡＮの接続をアクセスリンクと言います。
ポートベースＶＬＡＮでは、マルチプルＶＬＡＮのように特定のポートを通して複数のＶＬＡＮを構成することはできません。
ポートベースＶＬＡＮでこのように不都合な場合が生じたらマルチプルＶＬＡＮの導入も検討してみましょう。
ただし、メーカーやスイッチの機種によって、独特な仕組みになっている場合があり、導入の場合はメーカー別、機種別によく検討する必要があります。
次は、タグＶＬＡＮです。
タグＶＬＡＮは、タグベースＶＬＡＮとかタギングＶＬＡＮとも呼ばれます。
「ＶＬＡＮは、複数のスイッチにまたがって構成することもできる」と前に述べましたが、これを実現するのがタグＶＬＡＮです。
スイッチ間で個別のＶＬＡＮを認識して通信を行うためにＩＥＥＥ８０２.１Ｑという規格があります。
ＩＥＥＥ８０２.１Ｑでは、タグと呼ばれる４オクテットの識別情報をＭＡＣフレームに挿入します。
ＩＥＥＥ８０２.１Ｑに対応している機種なら、異なるメーカーのスイッチ同士でもタグＶＬＡＮを構成できるようになっています。
以下の表は、タグを挿入したＭＡＣフレーム（タグフレームまたはタグ付きフレーム）で、スイッチ間の通信で使用されます。
|
送信先 アドレス |
送信元 アドレス |
|
プロトコル タイプ |
〜〜〜 | ||||
| ６ | ６ | ４ | ２ | ４６〜１５００ |
|
|
上の表に示したタグ付きフレームをスイッチ間で送受信します。
以下に示した図２を御覧下さい。
（図２）２台のスイッチで複数のＶＬＡＮを構成した例
タグ付きフレームは、図２の赤いケーブルを通り、隣のスイッチに流れます。
双方向で流れます。
赤いケーブルが接続されている２つのポートは、オーバーラップポートと言い、２つのスイッチを接続しています。
複数のＶＬＡＮのフレームを流せる通路と見ることもできます。
オーバーラップポート以外は、クライアントポートと言います。
図２のように、同じＶＬＡＮに属するＰＣが複数のスイッチに存在します。
ポートベースＶＬＡＮでも、タグＶＬＡＮのように特定のポートを通して複数のＶＬＡＮを構成することはできますが、ＶＬＡＮの数だけポートが必要になり、その分ＰＣを接続できなくなり、ＰＣが増えたらポートが足りなくなってしまうかもしれません。
図２のように、タグＶＬＡＮならそれぞれのスイッチで一つずつオーバーラップポートを設けて、この間をケーブルで繋げば済みます。
上の表で示した４オクテットのタグ情報は、オーバーラップポートからＭＡＣフレームが出る時に上の表で示した水色の部分に挿入され、隣のスイッチに流れます。
この後、ＰＣへ向けてクライアントポートからＭＡＣフレームが出る際にタグ情報はカットされます。
タグＶＬＡＮは、大きい企業で大勢社員がいてスイッチもたくさんある環境に向いています。
タグＶＬＡＮは、ポートベースＶＬＡＮよりポートを効率的に使えるのでＰＣやＶＬＡＮの数が多い環境に向いています。
ＶＬＡＮの説明はここまでにしておきます。
ところで、ＶＬＡＮに対応したスイッチを購入する場合、最近ではだいぶ価格が安くなってきましたので手に入りやすくなりました。
それでも、５千円くらいの激安スイッチングハブではＶＬＡＮ機能はありません。
今では、３万５千円〜３万６千円くらいで買えるＬ２インテリジェントスイッチがあります。
ＳＯＨＯや小さな組織で使用するのに向いているでしょう。
このくらいの機種でもＶＬＡＮを利用できます。
ずいぶん価格が下がりました。
ページトップへ
IEEE802.1xというＬＡＮで使用する通信機器のポート別にアクセス制御を行うための規格があります。
これによって、ポート単位、個人単位でのアクセス制御が可能となり、不正アクセスの防止が可能になり、企業情報の漏洩の防止にも役立ちます。
認証ＶＬＡＮ（Authentication Virtual Local Area Network）では、IEEE802.1xという規格に従ってユーザー認証を行って、ユーザーＩＤとパスワードによって、所属するＶＬＡＮを分けることができます。
つまり、ユーザーＩＤごとに、所属するＶＬＡＮが切り分けられているため、あるＶＬＡＮに接続しているユーザーは、他のＶＬＡＮにアクセスすることはできません。
ただし、使用するスイッチがIEEE802.1xの規格に対応していなければなりません。
IEEE802.1xに対応しているスイッチは、送信元のＭＡＣアドレスを使用してポートに接続するＰＣを識別し、ユーザーＩＤとパスワードによって認証を行います。
まだ認証されていないＰＣからのアクセスは、認証が完了するまで認証に必要なフレーム以外のすべてのフレームを受け付けません。
認証が成功しなかったＰＣに対しては、ポートへのアクセスを拒否されます。
IEEE802.1xでは、スイッチ以外に無線ＬＡＮのアクセスポイントも対象となります。
IEEE802.1xに対応しているアクセスポイントならIEEE802.1xに従ったユーザー認証を行うことができます。
このページでは、スイッチのみを対象にしてIEEE802.1xの説明を続けていきます。
それでは、IEEE802.1xについて、表や図を交えてもう少し詳しく説明します。
IEEE802.1xでは、昔からインターネット接続で利用されているＰＰＰ（Point to Point Protocol）を拡張したＥＡＰ（Extensible Authentication Protocol）というプロトコルをユーザーの認証に利用しています。
ＥＡＰでは、複数の認証方式を使い分けることができるようになっています。
認証方式には、EAP-TLS（Transport Layer Security）、LEAP、PEAP、EAP-MD5、EAP-RADIUSなどがあります。
ＥＡＰに関する仕様は、ＲＦＣ３７４８が正式文書となっています。
詳細は、ＲＦＣ３７４８を御覧下さい。→ＲＦＣ３７４８
それでは、IEEE802.1xを導入した認証ＶＬＡＮの構成を見てみましょう。
IEEE802.1xと関係があるネットワークだけを見ると、以下のようなイメージになります。
（図３）認証ＶＬＡＮのネットワーク構成の例
IEEE802.1xでは、アクセス要求をするサプリカント（Supplicant）と呼ばれるホスト、アクセスをコントロールするオーセンティケーター（Authenticator）、及び、サプリカントの認証を行う認証サーバーの３種類の機器が必要となります。
サプリカントは、ネットワークへのアクセスを要求するユーザーのクライアントＰＣになります。
オーセンティケーターは、具体的にはクライアントＰＣからのユーザー認証を中継するスイッチまたは無線ＬＡＮのアクセスポイントになります。
認証サーバーには、多くの場合ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバーが利用されます。
ＲＡＤＩＵＳサーバーがクライアントＰＣからの不正なアクセスを制限します。
サプリカントがネットワークにアクセスするには、以下の表で示したＥＡＰメッセージを内包するＭＡＣフレームを使用してオーセンティケーターと通信します（図３では(1)の間）。
| ＭＡＣヘッダー | ＥＡＰメッセージ |
| ＭＡＣヘッダー | ＩＰヘッダー | ＵＤＰヘッダー | ＲＡＤＩＵＳ | ＥＡＰメッセージ |
| コード （1） |
識別子 （1） |
長さ （2） |
認証子 （16） |
属性 |
| コード | 種別名称 | 意味 |
|---|---|---|
| 1 | Access-Request | アクセス要求 |
| 2 | Access-Accept | アクセス許可 |
| 3 | Access-Reject | アクセス拒否 |
| 4 | Accounting-Request | 課金要求 |
| 5 | Accounting-Response | 課金応答 |
| 11 | Access-Challenge | アクセスチャレンジ |
ＲＡＤＩＵＳパケットの一番最後には、ＥＡＰメッセージが付いています。
ＲＡＤＩＵＳの説明が長くなりましたが、サプリカントがオーセンティケーターを経由してＲＡＤＩＵＳサーバーへＥＡＰメッセージを届けるところまで説明しました。
ＥＡＰメッセージを受け取ったＲＡＤＩＵＳサーバー側では、ＥＡＰメッセージに含まれるユーザー情報を使用してユーザーデータベースと照合して認証を行い、ユーザー情報が正しいと判断され、承認されれば、ユーザーデータベースから読み込んだ情報をオーセンティケーターに送信します。
その後、オーセンティケーターは、サプリカントに対してアクセスの許可の通知を行う。
サプリカントの認証手続きは以上のようになります。
以上で認証ＶＬＡＮの説明を終わりますが、最後に一つ注意点を述べておきます。
それは、Windows® 95などの古いWindows®やＰＤＡのような情報端末がある場合、IEEE802.1xの利用は難しいかもしれません。
ページトップへ
ＶＬＡＮ［メニュー］へ戻る
サイトマップ（ＬＡＮ技術研究室の案内図）
ネットワーク技術用語集へ行く
ＬＡＮ技術研究室のトップページへ
© 2007 Toyozi Masuda All rights reserved.