ネイティブVLAN(ネイティブブイラン)とは | 意味や読み方など丁寧でわかりやすい用語解説

ネイティブVLANとは、IEEE 802.1Qで標準化されたVLAN（Virtual LAN）環境において、タグ付けされていないイーサネットフレーム（タグなしフレーム）を特定のVLANに割り当てるための仕組みである。一般的に、VLANはイーサネットフレームにVLAN ID（VID）という識別子を付加する「タグ付け」によって、どの仮想ネットワークに属するかを区別する。しかし、ネットワーク上にはVLANタグを認識しない機器や、タグなしフレームを生成するプロトコルも存在する。ネイティブVLANは、このようなタグなしフレームをトランクポート上でどのように扱うかを定義する重要な概念だ。

VLANは、物理的なネットワーク構成とは独立して、論理的なグループを作成する技術である。これにより、異なるVLANに属するデバイスは、たとえ同じ物理スイッチに接続されていても、お互いに直接通信できない。このVLANを実現するために、スイッチはフレームがどのVLANに属するかを識別する必要があり、その手段としてIEEE 802.1Q規格に基づくVLANタグがフレームに付加される。VLANタグはフレームのヘッダ部分に挿入され、VLAN ID（VID）などの情報を含む。

多くの企業ネットワークでは、複数のスイッチを接続し、多数のVLANが運用されている。スイッチ間の接続に使われるポートは「トランクポート」と呼ばれ、複数のVLANのトラフィックを伝送できるよう設定される。トランクポートを通過するフレームは、通常、所属するVLANを示すタグ（802.1Qタグ）が付加されている。これにより、受信側のスイッチはそのタグを基に、フレームを正しいVLANへ転送できる。

しかし、全てのフレームがVLANタグを持っているわけではない。例えば、ルーターや一部のサーバーなど、VLANタグを意識しない機器がトランクポートに接続された場合、それらの機器から送信されるフレームはタグなしフレームとなる。また、スイッチ自身の管理プロトコル（CDP、LLDPなど）が生成するフレームも、多くの場合タグなしフレームとして扱われる。ネイティブVLANは、このようなタグなしフレームがトランクポートに到達した際に、どのVLANに属するものとして処理するかを明示的に指定するためのVLAN IDである。

具体的には、トランクポートがタグなしフレームを受信した場合、そのフレームはネイティブVLANに割り当てられたものとして扱われる。つまり、タグなしフレームはネイティブVLANのメンバーであるかのように、そのVLAN内でのみ転送される。逆に、ネイティブVLANに属するフレームがトランクポートから送信される際には、VLANタグは付加されずに送信される。これは、VLANタグを認識しない機器がそのフレームを正しく処理できるようにするための動作である。

多くのネットワーク機器、特にCiscoなどのスイッチでは、初期設定でVLAN 1がネイティブVLANとして設定されていることが多い。VLAN 1は、多くのスイッチで自動的に作成されるデフォルトVLANであり、特別な設定なしに全てのポートがこのVLANのメンバーとなる。しかし、セキュリティ上の理由から、VLAN 1をネイティブVLANとして使用することは推奨されない場合がある。VLAN 1は広く知られたVLAN IDであるため、悪意のあるユーザーによる攻撃の標的になりやすいからだ。そのため、未使用のVLAN IDをネイティブVLANに設定したり、VLAN 1以外の特定のVLANをネイティブVLANとして明示的に指定し、そのVLANをネットワークの他の部分から隔離することが一般的なプラクティスとなっている。

ネイティブVLANの設定は、セキュリティ上非常に重要である。もしトランクポートのネイティブVLANが適切に設定されていない、あるいはデフォルトのまま放置されている場合、攻撃者は「VLANホッピング攻撃」と呼ばれる手法を用いて、意図しないVLANのネットワークにアクセスできる可能性がある。これは、攻撃者がタグなしフレームを送信し、スイッチのネイティブVLANの処理を利用して、本来アクセスできないはずのVLANに侵入しようとする攻撃である。このようなリスクを軽減するためには、トランクポートの両端でネイティブVLAN IDを一致させること、そしてそのネイティブVLANに重要なデータが流れないように管理することが不可欠だ。具体的には、ネイティブVLANを未使用のVLAN IDに設定し、そのVLANにはエンドデバイスを接続しない、といった運用が推奨される。

また、トランクポートに接続されたスイッチ間でネイティブVLANの設定が一致していない場合、通信の不具合や予期せぬ挙動が発生する原因となる。例えば、一方のスイッチがタグなしフレームをネイティブVLAN 10として扱い、もう一方のスイッチがそのフレームをネイティブVLAN 20として扱ってしまうと、タグなしトラフィックが正しく転送されず、通信が途絶えたり、誤ったVLANに転送されてしまったりする可能性がある。そのため、ネットワーク設計と実装において、ネイティブVLANの設定は慎重に行い、トランクポートの両端で常に一致していることを確認する必要がある。ネイティブVLANの適切な理解と設定は、安定した安全なVLAN環境を構築する上で欠かせない要素だ。