仮想LAN

仮想ローカル エリア ネットワーク( VLAN ) は、データ リンク層( OSI レイヤー 2 )でコンピュータ ネットワーク内で分割され分離されたブロードキャスト ドメインです。 ^{[2] [3]}この文脈では、仮想とは、ローカル エリア ネットワーク内で追加のロジックによって再作成および変更された物理オブジェクトを指します。基本的に、VLAN は、他の VLAN と同じ物理構造を共有しながらも論理的には分離できる仮想スイッチまたはネットワーク リンクのように動作します。VLAN は、ネットワーク フレームにタグを適用し、ネットワーク システムでこれらのタグを処理することで機能し、実質的に、単一の物理ネットワーク上にあるネットワーク トラフィックが別々のネットワークに分割されているかのように動作します。このようにして、VLAN は、同じ物理ネットワークに接続されているにもかかわらず、ネットワーク アプリケーションを分離しておくことができ、複数セットのケーブルやネットワーク デバイスを展開する必要はありません。

VLAN を使用すると、ホストが同じネットワーク スイッチに直接接続されていない場合でも、ネットワーク管理者はホストをグループ化できます。VLAN メンバーシップはソフトウェアで設定できるため、ネットワークの設計と展開が大幅に簡素化されます。VLAN がない場合、リソースに応じてホストをグループ化するには、ノードを再配置したり、データ リンクを配線し直すという作業が必要です。VLAN を使用すると、別々にしておく必要のあるデバイスが物理ネットワークの配線を共有しながら、直接相互にやり取りしないようにすることができます。この管理された共有により、シンプルさ、セキュリティ、トラフィック管理、経済性が向上します。たとえば、VLAN を使用すると、企業内のトラフィックを、個々のユーザーまたはユーザー グループやその役割 (ネットワーク管理者など) に基づいて、またはトラフィックの特性 (低優先度のトラフィックがネットワークの他の機能に影響を与えないようにするなど) に基づいて分離できます。多くのインターネット ホスティング サービスでは、VLAN を使用して顧客のプライベート ゾーンを互いに分離し、個々のサーバーがデータ センター内のどこにあっても、各顧客のサーバーを 1 つのネットワーク セグメントにグループ化できるようにしています。特定の VLAN からトラフィックが「逃げる」こと ( VLAN ホッピングと呼ばれる) を防ぐために、いくつかの予防措置が必要です。

ネットワークを VLAN に分割するには、ネットワーク機器を構成します。より単純な機器では、各物理ポートのみをパーティション分割する場合があります (それさえもパーティション分割できない場合)。その場合、各 VLAN は専用のネットワーク ケーブルで実行されます。より高度なデバイスでは、 VLAN タグ付けによってフレームにマークを付けることができるため、単一の相互接続 (トランク) を使用して複数の VLAN のデータを転送できます。VLAN は帯域幅を共有するため、VLAN トランクはリンク アグリゲーション、サービス品質の優先順位付け、またはその両方を使用してデータを効率的にルーティングできます。

VLAN は、スケーラビリティ、セキュリティ、ネットワーク管理などの問題に対処します。ネットワーク設計者は、ネットワークをセグメント化するために VLAN を設定します。VLAN 間のルーターは、ブロードキャスト トラフィックをフィルタリングし、ネットワーク セキュリティを強化し、アドレスの集約を実行し、ネットワークの輻輳を緩和します。

サービス検出、アドレスの割り当てと解決、およびその他のサービスにブロードキャストを利用するネットワークでは、ネットワーク上のピアの数が増えると、ブロードキャストの頻度も増加します。VLAN は、複数のブロードキャスト ドメインを形成することで、ブロードキャスト トラフィックの管理に役立ちます。大規模なネットワークを小さな独立したセグメントに分割すると、各ネットワーク デバイスとネットワーク セグメントが処理しなければならないブロードキャスト トラフィックの量が減ります。スイッチは、VLAN 間のネットワーク トラフィックをブリッジできません。これを行うと、VLAN ブロードキャスト ドメインの整合性が損なわれるためです。

VLAN は、単一の物理インフラストラクチャ上に複数のレイヤー 3ネットワークを作成するのにも役立ちます。VLAN はデータ リンク レイヤー(OSI レイヤー 2) 構造であり、ネットワークレイヤー (OSI レイヤー 3) 構造であるインターネット プロトコル(IP)サブネットに類似しています。VLAN を使用する環境では、VLAN と IP サブネットの間に 1 対 1 の関係が存在することがよくありますが、1 つの VLAN に複数のサブネットが存在することも可能です。

VLAN 機能がない場合、ユーザーは地理に基づいてネットワークに割り当てられ、物理的なトポロジと距離によって制限されます。VLAN はネットワークを論理的にグループ化して、ユーザーのネットワークの場所を物理的な場所から切り離すことができます。VLAN を使用すると、トラフィック パターンを制御し、従業員や機器の再配置に迅速に対応できます。VLAN は、ネットワーク要件の変化に適応する柔軟性を提供し、管理を簡素化します。^[3]

VLANは、ローカルネットワークをいくつかの異なるセグメントに分割するために使用できます。例: ^[4]

• 生産
• ボイスオーバーIP
• ネットワーク管理
• ストレージエリアネットワーク(SAN)
• ゲストインターネットアクセス
• 非武装地帯（DMZ）

VLANトランク間で共有される共通インフラストラクチャは、比較的低コストで柔軟性の高いセキュリティ対策を提供できます。サービス品質スキームは、リアルタイム（VoIPなど）または低遅延要件（SANなど）に合わせてトランクリンク上のトラフィックを最適化できます。ただし、セキュリティソリューションとしてのVLANは、慎重に実装しないと無効になる可能性があるため、細心の注意を払って実装する必要があります。^[5]

クラウドコンピューティングでは、クラウド内のVLAN、IPアドレス、MACアドレスはエンドユーザーが管理できるリソースです。セキュリティの問題を軽減するためには、クラウドベースの仮想マシンをインターネット上に直接配置するよりも、VLAN上に配置する方が望ましい場合があります。^[6]

VLAN機能を備えたネットワーク技術には以下のものがある: ^[要出典]

• 非同期転送モード (ATM)
• ファイバー分散データインターフェース (FDDI)
• イーサネット
• ハイパーソケット
• インフィニバンド

1981 年から 1984 年にかけてイーサネット経由の音声伝送の実験が成功した後、W. David SincoskieはBellcoreに入社し、イーサネット ネットワークの拡張の問題に取り組み始めました。10 Mbit/s のイーサネットは、当時のほとんどの代替手段よりも高速でした。しかし、イーサネットはブロードキャスト ネットワークであり、複数のイーサネット ネットワークを接続する適切な方法はありませんでした。このため、イーサネット ネットワークの合計帯域幅は 10 Mbit/s に制限され、ノード間の最大距離は数百フィートに制限されていました。

対照的に、既存の電話ネットワークの個々の接続の速度は 56 kbit/s (イーサネットの速度の 100 分の 1 未満) に制限されていましたが、そのネットワークの総帯域幅は 1 Tbit/s ^[要出典] (イーサネットの 100,000 倍) と推定されていました。

IPルーティングを使用して複数のイーサネットネットワークを接続することは可能でしたが、コストが高く、比較的低速でした。シンコスキーは、パケットあたりの処理が少ない代替手段を探し始めました。その過程で、彼は現代のイーサネットスイッチで使用されている技術である透過ブリッジングを独自に再発明しました。^[7]しかし、スイッチを使用して複数のイーサネットネットワークをフォールトトレラントな方法で接続するには、そのネットワークを通る冗長パスが必要であり、そのためにはスパニングツリー構成が必要です。これにより、ネットワーク上の任意のソースノードから任意の宛先へのアクティブなパスが1つだけであることが保証されます。これにより、中央に配置されたスイッチがボトルネックになり、相互接続されるネットワークが増えるにつれてスケーラビリティが制限されます。

この問題を緩和するために、シンコスキーは各イーサネット フレームにタグを追加することで VLAN を発明しました。これらのタグは、赤、緑、青などの色と考えることができます。この方式では、各スイッチを 1 色のフレームを処理するように割り当て、残りを無視することができます。ネットワークは、各色に 1 つずつ、3 つのスパニング ツリーで相互接続できます。異なるフレーム色を混ぜて送信することで、総帯域幅を向上させることができます。シンコスキーはこれをマルチツリー ブリッジと呼びました。彼とチェイス コットンは、システムを実現可能にするために必要なアルゴリズムを作成し、改良しました。^[8]この色は、現在イーサネット フレームでIEEE 802.1Qヘッダー、または VLAN タグとして知られているものです。VLAN は現代のイーサネット ネットワークで一般的に使用されていますが、ここで最初に想定された方法では使用されていません。^{[説明が必要]}

1998年、イーサネットVLANはIEEE 802.1Q -1998規格の初版で説明されました。^[9]これはIEEE 802.1adで拡張され、プロバイダーブリッジングのサービスでネストされたVLANタグを使用できるようになりました。このメカニズムはIEEE 802.1ah-2008で改良されました。

初期のネットワーク設計者は、イーサネット衝突ドメインのサイズを縮小してパフォーマンスを向上させることを目的として、物理 LAN をセグメント化することが多かった。イーサネット スイッチによってこれが問題ではなくなると (各スイッチ ポートが衝突ドメインであるため)、データ リンク層のブロードキャスト ドメインのサイズを縮小することに注目が集まった。VLAN は、1 つの物理メディア上の複数のブロードキャスト ドメインを分離するために最初に採用された。VLAN は、ネットワークの物理トポロジに関係なく、ネットワーク リソースへのアクセスを制限するためにも使用できる。^[a]

VLAN は、 OSI モデルのデータ リンク層で動作します。管理者は多くの場合、 VLAN を IP ネットワークまたはサブネットに直接マップするように設定し、ネットワーク層が関与しているように見えます。通常、同じ組織内の VLAN には、重複しない異なるネットワーク アドレス範囲が割り当てられます。これは、VLAN の要件ではありません。別々の VLAN で同一の重複アドレス範囲を使用しても問題はありません (たとえば、2 つの VLAN がそれぞれプライベート ネットワーク 192.168.0.0/16を使用している場合)。ただし、アドレスが重複している2 つのネットワーク間でデータをルーティングするには、 IP を慎重に再マッピングする必要があります。そのため、VLAN の目的が組織全体の大規模なネットワークのセグメント化である場合は、各個別の VLAN で重複しないアドレスを使用する必要があります。

VLAN 用に設定されていない基本スイッチでは、VLAN 機能が無効になっているか、デバイス上のすべてのポートをメンバーとして含むデフォルト VLANで永続的に有効になっています。 ^[3]デフォルト VLAN は通常、VLAN 識別子 1 を使用します。そのポートの 1 つに接続されているすべてのデバイスは、他のポートにパケットを送信できます。ポートを VLAN グループで分離すると、各グループに個別のスイッチを使用して各グループを接続するのとほぼ同じように、トラフィックが分離されます。

スイッチのリモート管理には、管理機能が 1 つ以上の設定済み VLAN に関連付けされている必要があります。

VLAN のコンテキストでは、トランクという用語は、パケットに挿入されたラベル (またはタグ)によって識別される複数の VLAN を運ぶネットワーク リンクを示します。このようなトランクは、VLAN 対応デバイスのタグ付きポート間で実行する必要があるため、多くの場合、ホストへのリンクではなく、スイッチ間またはスイッチとルータ間のリンクです (「トランク」という用語は、シスコが「チャネル」と呼ぶもの、つまりリンク アグリゲーションまたはポート トランキングにも使用されることに注意してください)。ルータ (レイヤー 3 デバイス) は、異なる VLAN 間を行き来するネットワーク トラフィックのバックボーンとして機能します。タグ付けは、VLAN ポート グループを別のデバイスに拡張する場合にのみ使用されます。2 つの異なるスイッチ上のポート間の通信は、関連する各スイッチのアップリンク ポートを介して行われるため、このようなポートを含むすべての VLAN には、関連する各スイッチのアップリンク ポートも含まれている必要があり、これらのポートを通過するトラフィックにはタグが付けられる必要があります。

スイッチには通常、配線クローゼットで作業する人に VLAN とポートの関連付けを示す組み込みの方法がありません。技術者がデバイスへの管理アクセス権を持ち、その構成を表示するか、VLAN ポート割り当てチャートまたは図を各配線クローゼットのスイッチの横に保管する必要があります。

現在、VLAN をサポートするために最も一般的に使用されているプロトコルは、IEEE 802.1Qです。IEEE 802.1ワーキング グループは、マルチベンダー VLAN サポートを提供するために、VLAN を多重化するこの方法を定義しました。802.1Q 標準が導入される前は、Cisco Inter-Switch Link (ISL) や3Comの Virtual LAN Trunk (VLT)など、いくつかの独自プロトコルが存在していました。Cisco は、IEEE 802.10 標準の目的に反して、 VLAN 情報をIEEE 802.10フレーム ヘッダーで伝送することにより、 FDDI経由で VLAN を実装しました。

ISL と IEEE 802.1Q はどちらも明示的なタグ付けを実行します。フレーム自体に VLAN 識別子がタグ付けされます。ISL はイーサネット フレームを変更しない外部タグ付けプロセスを使用しますが、802.1Q はタグ付けにフレーム内部フィールドを使用するため、基本的なイーサネット フレーム構造が変更されます。この内部タグ付けにより、IEEE 802.1Q は標準のイーサネット ハードウェアを使用してアクセス リンクとトランク リンクの両方で動作できます。

IEEE 802.1Q では、特定のイーサネット ネットワーク上の VLAN の最大数は 4,094 です (12 ビットのVIDフィールドで提供される 4,096 の値から、範囲の両端の予約値 0 と 4,095 を引いた値)。1 つの VLAN に複数の IP サブネットを含めることができるため、このようなネットワークの IP サブネットの数に同じ制限が課されることはありません。IEEE 802.1ad では、複数のネストされた VLAN タグのサポートを追加することで、サポートされる VLAN の数を拡張しています。IEEE 802.1aq (最短パス ブリッジング) では、VLAN の制限を 1600 万に拡張しています。両方の改善点は、IEEE 802.1Q 標準に組み込まれています。

スイッチ間リンク（ISL）は、スイッチを相互接続し、トランクリンク上のスイッチ間でトラフィックが移動する際にVLAN情報を維持するために使用されるシスコ独自のプロトコルです。ISLはIEEE 802.1Qの代替として提供されています。ISLは一部のシスコ機器でのみ利用可能であり、非推奨となっています。^[11]

VLAN トランキング プロトコル (VTP) は、VLAN の定義をローカル エリア ネットワーク全体に伝播する Cisco 独自のプロトコルです。VTP は、ほとんどのCisco Catalystファミリ製品で使用できます。他のメーカーが使用している同等の IEEE 標準は、GARP VLAN 登録プロトコル(GVRP) または最近のマルチ VLAN 登録プロトコル(MVRP) です。

マルチ VLAN 登録プロトコルは、ネットワーク スイッチ上の VLAN 情報の自動設定を可能にするマルチ登録プロトコルのアプリケーションです。具体的には、VLAN 情報を動的に共有し、必要な VLAN を設定する方法を提供します。

VLAN メンバーシップは静的または動的に確立できます。

静的 VLAN は、ポートベース VLAN とも呼ばれます。静的 VLAN 割り当ては、ポートを VLAN に割り当てることによって作成されます。デバイスがネットワークに入ると、デバイスは自動的にポートの VLAN を引き継ぎます。ユーザーがポートを変更して同じ VLAN にアクセスする必要がある場合、ネットワーク管理者は新しい接続に対してポートと VLAN の割り当てを手動で行う必要があります。

ダイナミック VLAN は、ソフトウェアまたはプロトコルを使用して作成されます。VLAN管理ポリシー サーバー(VMPS) を使用すると、管理者は、ポートに接続されたデバイスの送信元 MAC アドレスや、そのデバイスへのログオンに使用するユーザー名などの情報に基づいて、スイッチ ポートを VLAN に動的に割り当てることができます。デバイスがネットワークに入ると、スイッチはデータベースにクエリを送信して、そのデバイスが接続されているポートの VLAN メンバーシップを取得します。プロトコル方式には、マルチ VLAN 登録プロトコル(MVRP) と、やや古いGARP VLAN 登録プロトコル(GVRP) があります。

プロトコル ベースの VLAN をサポートするスイッチでは、トラフィックはプロトコルに基づいて処理されます。基本的に、トラフィックの特定のプロトコルに応じてポートからのトラフィックを分離または転送します。他のプロトコルのトラフィックはポートで転送されません。これにより、たとえば、IP トラフィックと IPX トラフィックをネットワークによって自動的に分離できます。

VLAN クロス コネクト (CC または VLAN-XC) は、スイッチ VLAN を作成するために使用されるメカニズムです。VLAN CC は、MPLSと同様に S タグがラベルとして使用される IEEE 802.1ad フレームを使用します。IEEE は、 IEEE 802.1ad-2005のパート 6.11 でこのようなメカニズムの使用を承認しています。

• HVLAN、階層型VLAN
• 複数 VLAN 登録プロトコル、GARP VLAN 登録プロトコル
• ネットワーク仮想化
• プライベートVLAN
• ソフトウェア定義ネットワーク
• スイッチ仮想インターフェース
• 仮想拡張LAN (VXLAN)
• 仮想プライベートLANサービス
• 仮想プライベートネットワーク
• VLAN アクセス制御リスト
• 広域ネットワーク

• Andrew S. Tanenbaum、2003 年、「コンピュータ ネットワーク」、Pearson Education International、ニュージャージー。