--- title: "VLANとは？ネットワークを論理的に分ける仕組み【SG試験】" description: "VLANを同一スイッチ上の端末を論理的に分ける仕組みとして整理し、ブロードキャスト範囲、セグメント分割、認証VLAN、MACアドレスフィルタリングの違いを見分けます。物理配線を変えずに部署や用途で通信範囲を分ける問題で、認証や暗号化だけではない対策を選べます。" last_modified_at: "2026-06-29" canonical_url: "https://stemtazoo.github.io/sg/vlan/" section: "sg" --- ## まず結論 VLAN（Virtual LAN）は、**同じスイッチに接続された端末を、物理的な配線とは別に論理的なネットワークへ分ける仕組み**です。 SG試験では、VLANを「ブロードキャストの到達範囲を限定し、不要な通信や情報の流れを減らす対策」として判断できることが重要です。 ## このページで切り分けること（先にここだけ） このページは、**VLANによるセグメント分割**を中心に整理します。 - VLAN：同じスイッチ上でも、端末を論理的に別ネットワークへ分ける - 認証VLAN：認証結果に応じて、所属させるVLANを切り替える - MACアドレスフィルタリング：MACアドレスで接続可否を判定する > 迷ったら、 > **「ネットワークを分ける話か、接続を許可する話か」** を見ます。 ## SG試験で選択肢を切る判断軸（VLAN編） - 「ポートをグループ化して複数のセグメントに分ける」 → VLANの話 - 「ブロードキャストの到達範囲を制限する」 → VLANのセキュリティ効果 - 「MACアドレスから接続可否を判断する」 → VLANではなく、MACアドレスフィルタリング寄りの説明 ## 関連記事との役割分担（混同防止） - VLANでネットワークを論理的に分ける考え方を確認したい → このページ - 認証結果で接続先を変える話を確認したい → [WPA2・WPA3・802.1Xとは？無線LAN認証の違いを整理【SG試験】](https://stemtazoo.github.io/sg/wifi-auth-wpa2-wpa3-8021x/) - ルータ、スイッチ、ブリッジのOSI層の違いを確認したい → [ルータ・ブリッジ・リピータ・スイッチングハブの違いは？OSI層で切り分ける【SG試験】](https://stemtazoo.github.io/sg/router-bridge-repeater-switch-difference/) --- ## 直感的な説明 1台の大きなスイッチに、総務部、営業部、開発部のPCが全部つながっている場面を考えます。 何も分けていないと、同じLAN内の端末として扱われるため、不要なブロードキャスト通信が広い範囲に届きます。設定や運用を誤ると、本来関係のない端末同士が見えやすくなることもあります。 VLANを使うと、同じスイッチにつながっていても、 - 総務部用のVLAN - 営業部用のVLAN - 開発部用のVLAN のように、論理的にネットワークを分けられます。 イメージとしては、同じ建物の中にいても、部署ごとに部屋を分けるようなものです。同じフロアにいても、必要な相手にだけ情報が届くように区切ることで、不要な通信の広がりを抑えます。 --- ## 定義・仕組み VLANは、Virtual LANの略です。 物理的には同じスイッチに接続されていても、設定によって端末を複数の論理的なLANに分けます。 代表的な方式として、次のようなものがあります。 | 種類 | 判断ポイント | |---|---| | ポートベースVLAN | スイッチのポート単位で所属VLANを決める | | タグVLAN | フレームにVLAN識別情報を付けて、複数スイッチ間でもVLANを扱う | | 認証VLAN | 認証結果に応じて、所属させるVLANを切り替える | SG試験で特に押さえたいのは、**VLANごとにブロードキャストの範囲が分かれる**ことです。 通常、ブロードキャストは同じネットワーク内の端末へ広く届きます。しかしVLANでセグメントを分けると、ブロードキャストは同じVLAN内に限定されます。 その結果、次のような効果が期待できます。 - 不要なブロードキャスト通信の到達範囲を狭める - 部署や用途ごとにネットワークを分離する - 関係のない端末へ情報が流れるリスクを下げる - 障害や感染拡大の範囲を限定しやすくする ただし、VLANだけで全てのアクセス制御が完了するわけではありません。異なるVLAN間で通信させる場合は、ルータやL3スイッチ、ファイアウォールなどで経路や許可条件を設計します。 --- ## どんな場面で使う？ VLANは、同じ物理ネットワークを使いながら、用途や利用者ごとにネットワークを分けたい場面で使います。 代表的な場面は次のとおりです。 | 場面 | VLANで分ける目的 | |---|---| | 部署ごとの分離 | 部署に関係ない通信や情報の流れを抑える | | 来客用ネットワーク | ゲスト端末を社内LANから分離する | | サーバ系と利用者PCの分離 | 重要サーバへの不要な到達を減らす | | 検証環境と本番環境の分離 | テスト通信や設定ミスの影響を広げにくくする | SG試験では、細かな設定コマンドよりも、**何を分けるための仕組みか**を問われます。 特に、問題文に次のような表現があればVLANを疑います。 - スイッチのポートをグループ化する - 複数のセグメントに分ける - 同一スイッチ上の端末を論理的に分離する - ブロードキャストの到達範囲を制限する 一方で、「利用者を認証して接続先を変える」と書かれている場合は、通常のVLANだけでなく、認証VLANや802.1Xとの関係を考えます。 --- ## よくある誤解・混同 ### 誤解1：VLANはICMPを全部遮断する仕組みである VLANは、特定のプロトコルを一律に遮断する仕組みではありません。 ICMPを止めるかどうかは、ファイアウォールやルータなどのフィルタリング設定の話です。VLANの中心は、**論理的にネットワークを分けること**です。 ### 誤解2：VLANはMACアドレスで接続可否を判定する仕組みである MACアドレスで接続を許可・拒否するのは、MACアドレスフィルタリングの考え方です。 VLANでもMACアドレスや認証結果と組み合わせた方式はありますが、SG試験で「ポートをグループ化」「セグメントに分ける」と出たら、まずはVLANによるネットワーク分離を考えます。 ### 誤解3：VLANを使えば認証も暗号化も自動的にできる VLANは、ネットワークを分ける仕組みです。 利用者を本人確認するには802.1Xなどの認証、無線通信を暗号化するにはWPA2やWPA3などの暗号化方式を考えます。VLAN、認証、暗号化は役割が違います。 ### 誤解4：異なるVLAN同士は絶対に通信できない 異なるVLANは、基本的には別ネットワークとして扱われます。 ただし、ルータやL3スイッチで経路を設定すれば、VLAN間通信は可能です。その場合は、業務上必要な通信だけを許可するように、アクセス制御を設計します。 --- ## 確認問題（SG試験対策） 同じフロアのスイッチに、来客用端末と社内業務端末が接続されている。両者をVLANで分ける目的として、最も適切なものはどれか。 - ア. すべての通信を暗号化し、無線LANの盗聴を防ぐ。 - イ. 論理的にネットワークを分け、不要なブロードキャストや直接通信の範囲を狭める。 - ウ. 端末のウイルス定義ファイルを自動更新する。 - エ. 利用者のパスワード強度を検査し、弱いパスワードを拒否する。
▶ クリックして答えと解説を見る（ここを開く） **正解：イ** ### 解説 - ア：不適切。通信の暗号化は、TLSや無線LAN暗号化方式などの論点です。 - イ：適切。VLANは、論理的なセグメント分割によって通信範囲を整理する仕組みです。 - ウ：不適切。ウイルス定義ファイルの更新は、マルウェア対策ソフトなどの運用です。 - エ：不適切。パスワード強度の検査は、認証・アカウント管理の論点です。 👉 判断ポイント 「同じ物理構成でも論理的にネットワークを分ける」「ブロードキャスト範囲を狭める」があれば、VLANを考える。
--- ## まとめ（試験直前用） - VLANは、物理構成とは別にネットワークを論理的に分ける仕組みです。 - SG試験では、**ブロードキャストの到達範囲を制限する**効果を押さえます。 - 「MACアドレスで接続可否」はMACアドレスフィルタリング、「認証結果で所属先を変える」は認証VLANと切り分けます。 - VLAN間通信を許可する場合は、ルータ、L3スイッチ、ファイアウォールなどで制御します。 ## 公式情報・参考リンク - [IPA 情報セキュリティマネジメント試験 試験内容](https://www.ipa.go.jp/shiken/kubun/sg/outline.html)