社内ネットワークや店舗、学校などでWi-Fiを用途別に分離したい場合、SSIDごとに異なるVLANを割り当てる構成がよく利用されます。例えば「社内用SSIDはVLAN 10」「ゲスト用SSIDはVLAN 20」のように分ければ、同じアクセスポイントから提供する無線LANでもネットワークを論理的に分離できます。
この構成で重要なのは、単に複数SSIDを作成できることではありません。SSIDごとのVLAN割り当てとIEEE 802.1QのVLANタグを扱えるアクセスポイント（AP）が必要です。一般家庭向けWi-Fiルーターでは対応していないことも多いため、製品選定時には仕様を確認する必要があります。
SSIDとVLAN IDを紐付けることは可能
法人向け・業務向けを中心に、SSIDとVLAN IDを対応付けられる無線LANアクセスポイントがあります。製品によって「SSID VLAN」「VLAN tagging」「VLAN ID」「802.1Q VLAN」など機能の名称は異なります。
例えばSSID「Office」をVLAN 10、SSID「Guest」をVLAN 20、SSID「IoT」をVLAN 30として設定します。APへ届いた無線端末の通信をSSIDに応じたVLANへ所属させることで、1台のAPから複数の論理ネットワークを提供できます。
| SSID | 用途 | VLAN ID | ネットワーク例 |
|---|---|---|---|
| Office | 社内端末 | 10 | 192.168.10.0/24 |
| Guest | 来客用 | 20 | 192.168.20.0/24 |
| IoT | IoT機器 | 30 | 192.168.30.0/24 |
このような設計なら、利用者は接続するSSIDを選ぶだけで対応するVLANへ収容されます。
必要なのは「Wi-Fiルーター」よりVLAN対応アクセスポイント
この用途では「VLAN対応Wi-Fiルーター」を探すより、802.1QとSSID単位のVLAN割り当てに対応したアクセスポイントを探すと製品を選びやすくなります。ルーティングやDHCP、ファイアウォールを上流のゲートウェイに担当させ、APは無線LANとVLANの橋渡しを担当させる構成です。
法人向け無線LAN製品では、このような構成は珍しくありません。製品を比較するときは「複数SSID対応」だけでは不十分で、それぞれのSSIDに異なるVLAN IDを設定できるか確認してください。
また、APの有線LANポートが802.1Qタグ付きVLANを扱えることも重要です。複数VLANを1本のEthernetケーブルでゲートウェイやスイッチまで運ぶためです。
802.1Qトランクを利用した基本構成
代表的な構成は「ゲートウェイ → VLAN対応スイッチ → 無線LAN AP」です。小規模環境では機器構成によってゲートウェイとAPを直接接続できる場合もあります。
論理的には「Gateway ── 802.1Q trunk ── AP」という形になり、トランクリンク上をVLAN 10、20、30などの通信がタグ付きで流れます。AP側ではSSIDごとにVLAN IDを指定します。
例えば端末が「Guest」に接続すると、APはそのSSIDに設定されたVLAN 20として通信を上流へ渡します。ゲートウェイ側にはVLAN 20用のインターフェースを作成し、必要に応じてDHCPやインターネットアクセス、ファイアウォールルールを設定します。
ゲートウェイ側で必要になる設定
SSIDとVLANの関連付けだけではネットワークは完成しません。上流側にも各VLANを受け取れる設定が必要です。例えば物理インターフェース上にVLAN 10、VLAN 20、VLAN 30のサブインターフェースまたはVLANインターフェースを作成します。
それぞれに「192.168.10.1/24」「192.168.20.1/24」「192.168.30.1/24」のようなゲートウェイアドレスを設定し、必要なら各セグメント用のDHCPスコープを用意します。
さらにファイアウォールでVLAN間通信を制御します。例えばGuest VLANからOffice VLANへの通信を拒否し、Guest VLANからインターネットへの通信だけを許可すれば、来客端末から社内端末へ直接アクセスされるリスクを抑えられます。
途中にスイッチを置く場合もVLAN設定が必要
ゲートウェイとAPの間にスイッチがある場合、そのスイッチも802.1Q VLANに対応している必要があります。一般に「マネージドスイッチ」「スマートスイッチ」などとして販売されている製品が対象になります。
ゲートウェイとスイッチ間、スイッチとAP間では、必要な複数VLANをタグ付きで通過させます。メーカーによって設定画面の用語は異なり、「Tagged」「Trunk」「Allowed VLAN」などと表現されます。
ここで注意したいのが、Cisco系で使われる「trunk」という用語と、メーカーによってリンクアグリゲーションを意味する「trunk」が混在することです。製品マニュアルでは名称だけで判断せず、IEEE 802.1Qによるタグ付きVLANを複数通せる設定かを確認することが大切です。
AP自身の管理通信とSSIDのVLANは分けて考える
設定時に混乱しやすいのが、AP自身の管理用ネットワークと、無線クライアントが利用するVLANの違いです。AP本体にもIPアドレスが必要で、その管理通信をどのVLANへ所属させるか決める必要があります。
例えばAP管理用をVLAN 99、OfficeをVLAN 10、GuestをVLAN 20とする設計があります。この場合、管理者だけがVLAN 99からAPの管理画面へアクセスできるようファイアウォールで制限すると、セキュリティを高められます。
APによっては管理VLAN、Native VLAN、Untagged VLANなどの設定方法が異なります。ここはメーカーの仕様を確認し、上流スイッチ側のTagged/Untagged設定と一致させることが重要です。
VLAN対応アクセスポイントを選ぶときのチェック項目
購入前には、単に製品説明に「VLAN対応」と記載されているだけで判断せず、実際に必要な機能が揃っているか仕様書や管理マニュアルで確認するのがおすすめです。
- IEEE 802.1Q VLANに対応している
- 複数SSIDを作成できる
- SSIDごとにVLAN IDを指定できる
- 有線アップリンクで複数のタグ付きVLANを扱える
- 管理用VLANを設定できるか
- 必要なSSID数・VLAN数をサポートしている
- ゲストネットワークやクライアント分離など必要な機能がある
業務向けAPには、複数台を集中管理できるコントローラー型やクラウド管理型の製品もあります。APを何台も設置する予定なら、VLAN機能だけでなく一括設定や監視のしやすさも選定基準になります。
よくある設定ミスと確認方法
「SSIDには接続できるのにIPアドレスが取得できない」という場合、APのSSID側VLAN ID、スイッチのVLAN設定、ゲートウェイのVLANインターフェース、DHCP設定のどこかが一致していない可能性があります。
例えばSSID側をVLAN 20に設定していても、途中のスイッチでVLAN 20が許可されていなければDHCP要求がゲートウェイまで届きません。また、ゲートウェイにVLAN 20を作成していてもDHCPサーバーが設定されていなければ、端末は自動的に適切なIPアドレスを取得できません。
構築時は一度にすべてのSSIDを設定するより、最初にVLANを1つだけ作成して疎通を確認し、その後VLANとSSIDを追加すると問題箇所を切り分けやすくなります。
まとめ｜SSIDごとのVLAN割り当てには802.1Q対応APを選ぶ
SSIDとVLAN IDを紐付け、複数の無線ネットワークを1台のアクセスポイントから提供する構成は実現可能です。その際の中心となるのが、IEEE 802.1QとSSID単位のVLAN割り当てに対応した無線LANアクセスポイントです。
ゲートウェイで複数VLANと各VLANのゲートウェイを用意し、802.1Qのタグ付きリンクでAPまで運び、AP側で「SSID A＝VLAN 10」「SSID B＝VLAN 20」のように割り当てます。途中にスイッチが存在する場合は、そのスイッチにも適切なVLAN設定が必要です。
製品選定では「VLAN対応」という表記だけでなく、SSID単位のVLAN ID設定、802.1Qタグ付きアップリンク、管理VLANなどの仕様まで確認することが重要です。これらを正しく設計すれば、社内用・ゲスト用・IoT用などのWi-Fiを効率よく分離できます。
コメント