最終更新日：2026年6月29日
sg sg-security-measures network access_control
まず結論
VLAN（Virtual LAN）は、同じスイッチに接続された端末を、物理的な配線とは別に論理的なネットワークへ分ける仕組みです。
SG試験では、VLANを「ブロードキャストの到達範囲を限定し、不要な通信や情報の流れを減らす対策」として判断できることが重要です。
このページで切り分けること（先にここだけ）
このページは、VLANによるセグメント分割を中心に整理します。
- VLAN：同じスイッチ上でも、端末を論理的に別ネットワークへ分ける
- 認証VLAN：認証結果に応じて、所属させるVLANを切り替える
- MACアドレスフィルタリング：MACアドレスで接続可否を判定する
迷ったら、
「ネットワークを分ける話か、接続を許可する話か」 を見ます。
SG試験で選択肢を切る判断軸（VLAN編）
-
「ポートをグループ化して複数のセグメントに分ける」
→ VLANの話 -
「ブロードキャストの到達範囲を制限する」
→ VLANのセキュリティ効果 -
「MACアドレスから接続可否を判断する」
→ VLANではなく、MACアドレスフィルタリング寄りの説明
関連記事との役割分担（混同防止）
- VLANでネットワークを論理的に分ける考え方を確認したい → このページ
- 認証結果で接続先を変える話を確認したい → WPA2・WPA3・802.1Xとは？無線LAN認証の違いを整理【SG試験】
- ルータ、スイッチ、ブリッジのOSI層の違いを確認したい → ルータ・ブリッジ・リピータ・スイッチングハブの違いは？OSI層で切り分ける【SG試験】
直感的な説明
1台の大きなスイッチに、総務部、営業部、開発部のPCが全部つながっている場面を考えます。
何も分けていないと、同じLAN内の端末として扱われるため、不要なブロードキャスト通信が広い範囲に届きます。設定や運用を誤ると、本来関係のない端末同士が見えやすくなることもあります。
VLANを使うと、同じスイッチにつながっていても、
- 総務部用のVLAN
- 営業部用のVLAN
- 開発部用のVLAN
のように、論理的にネットワークを分けられます。
イメージとしては、同じ建物の中にいても、部署ごとに部屋を分けるようなものです。同じフロアにいても、必要な相手にだけ情報が届くように区切ることで、不要な通信の広がりを抑えます。
定義・仕組み
VLANは、Virtual LANの略です。
物理的には同じスイッチに接続されていても、設定によって端末を複数の論理的なLANに分けます。
代表的な方式として、次のようなものがあります。
| 種類 | 判断ポイント |
|---|---|
| ポートベースVLAN | スイッチのポート単位で所属VLANを決める |
| タグVLAN | フレームにVLAN識別情報を付けて、複数スイッチ間でもVLANを扱う |
| 認証VLAN | 認証結果に応じて、所属させるVLANを切り替える |
SG試験で特に押さえたいのは、VLANごとにブロードキャストの範囲が分かれることです。
通常、ブロードキャストは同じネットワーク内の端末へ広く届きます。しかしVLANでセグメントを分けると、ブロードキャストは同じVLAN内に限定されます。
その結果、次のような効果が期待できます。
- 不要なブロードキャスト通信の到達範囲を狭める
- 部署や用途ごとにネットワークを分離する
- 関係のない端末へ情報が流れるリスクを下げる
- 障害や感染拡大の範囲を限定しやすくする
ただし、VLANだけで全てのアクセス制御が完了するわけではありません。異なるVLAN間で通信させる場合は、ルータやL3スイッチ、ファイアウォールなどで経路や許可条件を設計します。
どんな場面で使う？
VLANは、同じ物理ネットワークを使いながら、用途や利用者ごとにネットワークを分けたい場面で使います。
代表的な場面は次のとおりです。
| 場面 | VLANで分ける目的 |
|---|---|
| 部署ごとの分離 | 部署に関係ない通信や情報の流れを抑える |
| 来客用ネットワーク | ゲスト端末を社内LANから分離する |
| サーバ系と利用者PCの分離 | 重要サーバへの不要な到達を減らす |
| 検証環境と本番環境の分離 | テスト通信や設定ミスの影響を広げにくくする |
SG試験では、細かな設定コマンドよりも、何を分けるための仕組みかを問われます。
特に、問題文に次のような表現があればVLANを疑います。
- スイッチのポートをグループ化する
- 複数のセグメントに分ける
- 同一スイッチ上の端末を論理的に分離する
- ブロードキャストの到達範囲を制限する
一方で、「利用者を認証して接続先を変える」と書かれている場合は、通常のVLANだけでなく、認証VLANや802.1Xとの関係を考えます。
よくある誤解・混同
誤解1：VLANはICMPを全部遮断する仕組みである
VLANは、特定のプロトコルを一律に遮断する仕組みではありません。
ICMPを止めるかどうかは、ファイアウォールやルータなどのフィルタリング設定の話です。VLANの中心は、論理的にネットワークを分けることです。
誤解2：VLANはMACアドレスで接続可否を判定する仕組みである
MACアドレスで接続を許可・拒否するのは、MACアドレスフィルタリングの考え方です。
VLANでもMACアドレスや認証結果と組み合わせた方式はありますが、SG試験で「ポートをグループ化」「セグメントに分ける」と出たら、まずはVLANによるネットワーク分離を考えます。
誤解3：VLANを使えば認証も暗号化も自動的にできる
VLANは、ネットワークを分ける仕組みです。
利用者を本人確認するには802.1Xなどの認証、無線通信を暗号化するにはWPA2やWPA3などの暗号化方式を考えます。VLAN、認証、暗号化は役割が違います。
誤解4：異なるVLAN同士は絶対に通信できない
異なるVLANは、基本的には別ネットワークとして扱われます。
ただし、ルータやL3スイッチで経路を設定すれば、VLAN間通信は可能です。その場合は、業務上必要な通信だけを許可するように、アクセス制御を設計します。
確認問題（SG試験対策）
同じフロアのスイッチに、来客用端末と社内業務端末が接続されている。両者をVLANで分ける目的として、最も適切なものはどれか。
- ア. すべての通信を暗号化し、無線LANの盗聴を防ぐ。
- イ. 論理的にネットワークを分け、不要なブロードキャストや直接通信の範囲を狭める。
- ウ. 端末のウイルス定義ファイルを自動更新する。
- エ. 利用者のパスワード強度を検査し、弱いパスワードを拒否する。
▶ クリックして答えと解説を見る（ここを開く）
正解：イ
解説
- ア：不適切。通信の暗号化は、TLSや無線LAN暗号化方式などの論点です。
- イ：適切。VLANは、論理的なセグメント分割によって通信範囲を整理する仕組みです。
- ウ：不適切。ウイルス定義ファイルの更新は、マルウェア対策ソフトなどの運用です。
- エ：不適切。パスワード強度の検査は、認証・アカウント管理の論点です。
👉 判断ポイント
「同じ物理構成でも論理的にネットワークを分ける」「ブロードキャスト範囲を狭める」があれば、VLANを考える。
まとめ（試験直前用）
- VLANは、物理構成とは別にネットワークを論理的に分ける仕組みです。
- SG試験では、ブロードキャストの到達範囲を制限する効果を押さえます。
- 「MACアドレスで接続可否」はMACアドレスフィルタリング、「認証結果で所属先を変える」は認証VLANと切り分けます。
- VLAN間通信を許可する場合は、ルータ、L3スイッチ、ファイアウォールなどで制御します。