VLANでホームネットワークのセキュリティを強化するには--仕組みと導入手順を解説

VLANとはどんなものなのか

　VLANは、「Virtual Local Area Network」（仮想ローカルエリアネットワーク）の頭字語だ。複雑なネットワーク用語を使わずに説明すると、VLANは、既存のLANの中に作られる二次的なネットワークのようなもので、ネットワークの他の領域から隔離されている。メインのLANのアドレス体系が「192.168.1.x」である場合、VLANのアドレス体系は「192.168.2.x」のようになる。

　この構成で重要なのは、アドレス体系が異なるため、VLANからLANには直接アクセスできないことだ。こうして分離することで、デバイスが隔離される。

　先ほどの例を使って、ネットワークにLAN1とLAN2という名前を付けることにしよう（LAN1がメインのLANで、LAN2がVLAN）。

　LAN1にはデスクトップPCとノートPC、タブレット、スマートフォンを接続し、LAN2には全てのIoTデバイスを接続する。もしIoTデバイスがハッキングされたとしても、LAN2上に隔離されているため、そのIoTデバイスがアクセスできるのはLAN2上のデバイスだけだ。つまり、デスクトップとノートPC、タブレット、スマートフォンのセキュリティが侵害されることはない（このようにデバイスを分離することについては、後で詳しく説明する）。

　このアプローチをさらに発展させて、2つのVLANを作成することも可能だ。例えば、スマートフォンおよびタブレット用のVLANとIoTデバイス用のVLANを作成してもいいだろう。この場合、ネットワーク構成は以下のようになる。

LAN：デスクトップとノートPC（プリンターをこの構成に加えることも可能）。

VLAN1：スマートフォンとタブレット。

VLAN2：IoTデバイス。

　LANは自らのネットワーク上の全てのデバイスに加えて、VLAN1およびVLAN2上の全てのデバイスにもアクセスできるが、VLAN1とVLAN2はLAN上のデバイスにアクセスできない、という設定にすることも可能である。適切なネットワーク機器があれば、VLAN2を設定して、デバイス同士が通信できないようにし、外部（またはWAN）へのアクセスのみを許可することさえ可能だ。この設定が重要になる場合もある。これによって、あるIoTデバイスが別のIoTデバイスに悪影響を及ぼすのを防げるからだ。

　子どものデバイス用に3つ目のVLANを作成することもできる。VLAN3を作成して、子どもがアクセスできるウェブサイトを制限するペアレンタルコントロールを追加してもいいだろう。この設定がメインのLAN上のデバイスに影響を及ぼすことはない。

　このアプローチをさらに発展させて、ゲスト用に4つ目のVLAN、在宅勤務用に5つ目のVLAN（このネットワークはVPN経由でルーティングされるように設定してもいいだろう）を作成することも可能だ。

　もちろん、VLANの数が増えれば増えるほど、複雑さも増す。重要なのは、ネットワーク上のデバイスを把握し、それらを隔離する方法を理解することだ。

VLANを作成する方法

　ここからはかなり複雑な話になる。ネットワークルーターやモデム、スイッチの仕様は製品ごとに異なるからだ。VLANの作成方法も、使用するハードウェアによって異なる。

　例えば、筆者の利用しているネットワークプロバイダーは、自社のハードウェア経由でVLANを作成することを許可していない。実は、ほとんどのISPは、自社の機器でVLANをサポートしていない。

　そのため、筆者の環境で実行可能なのは、以下の2つの選択肢だ。

　1. ルーターとして機能する「Linux」ディストリビューション（「OPNsense」や「IPFire」など）を導入する。

　2. サードパーティー製のルーターを購入する。

　1つ目の選択肢はほとんどの人にとって少し難しいので、サードパーティー製ルーターの購入をお薦めする。

　サードパーティー製ルーターを使えば、複数のVLANを設定できるが、ルーターの設定方法は機種によって異なるため、ルーターのマニュアルに目を通して、手順を確認した方がいいだろう。

　利用しているISPのルーターやモデムがVLANをサポートしている幸運なケースでは（前述したように、サポートされていることはまれだ）、おそらく、ルーターやモデムのウェブユーザーインターフェース（UI）で、VLANがゲストネットワークやモバイルデバイス、ストリーミングデバイスとしてすでに設定されているはずだ。

　サードパーティー製ルーター（特に無線ルーター）を選択する場合は、現在使用しているものよりも通信範囲が広い製品を購入できる、というメリットがある。

VLANに名前を付ける

　VLAN1、VLAN2、VLAN3といった名前を付けることに言及したが、IoT、Mobile（モバイル）、Kids（子ども）、Guests（ゲスト）といった命名規則を採用することも可能である。ただし、筆者はお薦めしない。そうした命名規則の問題点は、いろいろなことが外部から丸分かりになってしまうことだ。悪意を持った人間があなたの家の近所をウォードライビングしていて、IoTという名前の無線VLANを見つけたら（WANから見える設定になっている場合）、セキュリティが脆弱（ぜいじゃく）なデバイスに接続して、（必要なスキルを持っている場合）悪事を働くかもしれない。こうしたリスクがあるため、VLANには、用途を容易に推測できないような名前を付けることをお薦めする。

VLANは完全に安全なのか

　完全に安全ではない。これまで何度も述べてきたように、ネットワークに接続されたデバイスは脆弱である。それでも、全てを単一のネットワーク上に配置するよりは、VLANを設定した方が安全だ。

　ただし、VLANホッピングと呼ばれるものが存在する。これは、スイッチポートの設定不備やVLANタギングの仕組みを悪用して、VLANからメインのLAN（あるいは、VLANから別のVLAN）へ移動する攻撃手法だ。この手法を使うことで、攻撃者はネットワーク上のあらゆるデバイスに不正アクセスできる可能性がある。

　そのため、（使用するハードウェアに合わせて）VLANを適切に設定すること、ルーターのファームウェアを最新の状態に維持すること、そして、全てのネットワーク上のデバイスのOSとソフトウェアを最新の状態に維持することが重要である。

　VLANは、セキュリティの課題を完全に解決できるわけではないが、ハードウェアを隔離して、セキュリティレベルの低いデバイス（IoT機器など）が機密情報を含むマシンにアクセスするのを防ぐ有効な手段である。