【ITニュース解説】Why Your Router's Device List and a Network Scan Disagree

ネットワークを使っている際、ルーターの管理画面に表示される接続デバイスのリストと、ネットワークスキャンツールで調べた結果が食い違うことは珍しくない。例えば、ルーターが18台のクライアントを表示しているのに、同じネットワークをスキャンすると14台や23台と結果が出ることがある。これはどちらかの情報が自動的に誤っているわけではない。これらのツールは異なる「質問」に、異なる「タイミング」で答え、ネットワークを異なる「視点」で見ているため、結果が異なるのだ。身に覚えのないデバイスがリストに表示されたからといってすぐに不正侵入と判断したり、リストにないからといってデバイスがオフラインだと決めつけたりする前に、この違いを理解することが重要である。ルーターは、過去にIPアドレスを割り当てたデバイスや、ネットワーク上で学習したデバイスの記録を保持する一方、ネットワークスキャナーは、スキャン実行時にネットワーク上で実際に応答しているデバイスを探す。どちらの方法も有用だが、単独でネットワーク上のすべてのデバイスの完全かつ永続的なインベントリ（台帳）を提供するわけではないことを認識しておこう。この解説は、自分が所有または管理権限を持つネットワークを対象に、なぜこれらのリストが一致しないのか、設定を変更せずに比較する方法、そして調査が必要な場合にどのような情報を残すべきかを具体的に説明する。

ルーターの管理画面に表示される「接続済みデバイス」や「DHCPクライアント」「既知のデバイス」といった項目は、似ていてもそれぞれ異なる情報を示している。「DHCPクライアントリスト」は、主にDHCP（Dynamic Host Configuration Protocol）という仕組みによってルーターがデバイスにIPアドレスを割り当てた「リース履歴」の記録である。ルーターはそのリース記録をリース期間が満了するまで保持することがあるため、デバイスがすでにスリープ状態に入っていたり、家から持ち出されたり、別のネットワークに接続を切り替えていたりしても、リストにはまだ残っている可能性がある。記憶されたホスト名やアイコンも、実際の接続がなくなった後も表示され続ける場合がある。ルーターのメーカーやファームウェア（ルーターの制御ソフトウェア）によって、表示方法や、現在の接続と過去の接続の区別方法は様々だ。画面上部に表示される合計数だけを鵜呑みにせず、個々のエントリについて「ステータス表示」「最終接続時刻」「接続タイプ」「IPアドレス」「MACアドレス」といった詳細情報を確認することが重要である。最近の活動がなくてもリースが残っているエントリは、過去の接続に関する手がかりであり、そのデバイスが「今」オンラインである証明ではない。

一方、ネットワークスキャナーは、スキャンを実行しているその瞬間にネットワーク上で「応答」するホストを探す。有線LANやWi-Fiネットワークでは、ARP（Address Resolution Protocol）という仕組みを使って特定のIPv4アドレスを所有するデバイスはどれかと問いかけたり、ICMP（Pingで使われるプロトコル）、TCP、UDPなどのプロトコルを用いたりする。使用するスキャンツールやその設定によって、検出方法は様々だ。静かで応答しないホストや、特定の通信がフィルターされているホストは、スキャン方法によって見逃されることがある。また、スキャンを実行する「場所」も結果に影響を与える。例えば、ゲストWi-Fiに接続されたデバイスからのスキャンは、意図的にメインLAN上のデバイスから隔離されていることが多い。あるいは、あるVLAN（仮想LAN）から実行されたスキャンは、別のVLANに属するデバイスには届かないこともある。スキャンは、デバイスにその身元を完全に自己申告させるわけではない。デバイスがARPには応答してもPingはブロックしたり、省電力のためにプローブの合間にスリープしたりすることがあるため、スキャンで見逃される可能性がある。スキャンによってルーター、アクセスポイント、プリンター、NAS（ネットワーク接続ストレージ）などが見つかっても、それらに有用な名前が付けられていないこともある。スキャン結果は、特定の時間に「何が観測されたか」を示すものであり、そのデバイスの所有者が誰か、何のために使われているかを確定するものではない。

ルーターのリストとネットワークスキャン結果が不一致になる主な原因は複数ある。まず最も基本的なのは「タイミング」だ。スマートフォンがスキャンが完了した後にWi-Fiに接続した可能性もあれば、タブレットがスキャンが実行される前にスリープ状態に入った可能性もある。比較する際には、ルーターの管理ページを更新し、数分以内にもう一度スキャンを実行することが有効だ。次に「アドレス」と「名前」の違いがある。ルーターに表示されるデバイス名は、DHCP経由で取得されたものやデバイス自身のホスト名、あるいは管理者が手動で入力したラベルに由来する。一方、スキャナーはリバースDNS、mDNS、NetBIOSなどでホスト名を取得したり、MACアドレスからメーカー情報を特定したりするが、これらは食い違うことがある。エントリを照合する上で最も有用なのはMACアドレスと現在のIPアドレスだ。 現代のスマートフォンやノートパソコンは、トラッキング（追跡）を減らすために、ネットワークごとに異なる「プライベートWi-Fiアドレス」を使用することがある。このアドレスが変わると、使い慣れた既知のデバイスでもルーターのリスト上では新しいエントリのように見えてしまうことがある。ベンダー名がない、あるいはMACアドレスが見慣れないという理由だけで、すぐにそのエントリをブロックしたり削除したりせず、まずデバイス自身のWi-Fi設定を確認することが重要である。プライベートアドレスが変更されていないか、リセットされていないかなどを調べてみよう。 さらに重要なのは「スコープ（範囲）」だ。メッシュWi-Fiシステムはメインルーターと複数のノード（中継器）で構成され、それぞれが独自のアドレスを持つことがある。また、有線スイッチ、アクセスポイント、仮想化ホスト（Dockerのような技術で仮想ネットワークを作成する）なども、複数のアドレスを公開することがあり、これらは通常の家庭用デバイスとは異なるインフラストラクチャのエントリである可能性がある。すべてのエントリを無理に1対1でリストに合わせようとせず、どのエントリがインフラストラクチャを表し、どのエントリがエンドポイント（実際にデータを利用する機器）を表すのかを区別して記録することが大切だ。

ルーターのリストとスキャン結果を効果的に比較するには、以下のステップで「比較ワークシート」を作成し、活用すると良い。まず、スキャンを実行した日付、時刻、タイムゾーン、ネットワーク名、そしてスキャンを実行したデバイスの情報を記録する。次に、ルーターの管理画面からデバイスリストをエクスポートするか、スクリーンショットを撮って保存し、特に確認が必要なエントリについては、現在のIPアドレス、MACアドレス、接続タイプ、最終接続時刻をメモする。その後、ローカルネットワークスキャンを1回だけ実行し、タイムスタンプ付きでその結果を保存する。 これらの情報を集めたら、まず「現在のIPアドレス」と「MACアドレス」を使ってエントリを照合し、デバイス名やメーカー情報は補助的な手がかりとして利用する。そして、一致しないエントリについては、「ルーターのみに表示」「スキャンのみで発見」「名前が変更された可能性」「プライベートアドレスの可能性」「確認が必要」といった分類をしてマークする。特に重要な、見慣れないエントリについては、スイッチのポート情報、Wi-Fiアクセスポイントの関連付けリスト、またはそのデバイス自身のネットワーク設定画面など、第二の情報源から確認する。 もし両方のビューでアクティブに表示されており、かつ全く身に覚えのないデバイスが見つかった場合、何かを変更する前に、現在の時刻、IPアドレス、MACアドレス、接続タイプ、ルーターやアクセスポイントの名前、そして可能であればホスト名といった証拠を保存する。まず自分のスマートフォン、タブレット、メディアデバイス、仕事用機器、来客のデバイス、スマートホーム機器などを全て確認し、家族がいる場合は、その接続が不正なものだと決めつける前に、必ず尋ねる。デバイスをブロックしたり、Wi-Fiのパスフレーズ（パスワード）を変更したりする前に、ルーターやネットワークインフラストラクチャを管理するために使っているデバイスを特定し、ルーターの管理インターフェース（設定画面）へ別の接続方法でアクセスできるかテストしておこう。間違ったエントリをブロックしてしまうと、正規のデバイスが使えなくなったり、最悪の場合、ルーターの管理アクセス自体を失ってしまったりする可能性があるからだ。不明なデバイスは、ルーターのアクセス制御機能を使ってネットワークから削除したりブロックしたりし、その後、もしネットワークのセキュリティ状況に応じて適切であれば、Wi-Fiのパスフレーズを変更し、既知のデバイスを意図的に再接続させる。セキュリティに関する設定変更はルーターの機種によって異なるため、他の機種で使われたコマンドをコピーするのではなく、自分のルーターの最新のドキュメント（取扱説明書など）に従って操作する。単一のネットワークスキャンだけでは、誰がそのデバイスを使用したか、あるいはなぜそれがネットワークに現れたかを特定することはできない。

一度、通常のデバイスの照合作業が完了したら、今後のために簡単な「インベントリ（台帳）」を維持する習慣をつけよう。デバイスの名前、もし適切であれば所有者や設置場所、MACアドレス、通常使われるIPアドレスのパターン、そしてそのデバイスを認識している理由などを記録するのだ。新しいカメラ、プリンター、NAS、アクセスポイント、あるいはゲストネットワークを追加した際には、忘れずにこのインベントリを更新する。また、このインベントリのスクリーンショットを公開するようなことは絶対に避けるべきだ。内部のホスト名、IPアドレス、デバイス名は、自宅や小規模オフィスに関する想像以上に多くの情報を外部に漏らしてしまう可能性があるからだ。 次回、ルーターのリストとネットワークスキャン結果が再び食い違った際には、この作成したベースラインとタイムスタンプから確認作業を始めることができるだろう。そうすれば、ただ「数が合わない」という漠然とした不安ではなく、「なぜこのIPアドレスが今ここに現れているのか？」や「なぜこの既知のNASが応答しないのか？」といった、より具体的な疑問に焦点を当てることで、デバイスが単にスリープしているのか、ラベルを修正すべきなのか、ネットワークのセグメンテーション（分割）を検査すべきなのか、あるいはセキュリティ上の措置を講じるべきなのかを判断するのに、適切な判断に役立つだろう。