家庭と小規模オフィスでIoT機器を隔離するVLAN対応スイッチの選び方

家庭や小規模オフィスの多くは、パソコンもスマート家電もネットワークカメラも同じ一つのネットワークにつないだフラットな構成になっています。この構成は配線が楽な反面、ある1台が乗っ取られると、同じネットワークにいる他の機器へ攻撃者が横に移動しやすいという弱点を抱えます。ここで役立つのが、IEEE 802.1QのタグVLANに対応したスイッチです。ネットワークを論理的な区画に分け、IoT機器やゲスト、業務端末を別々の区画に置くと、侵害された1台から到達できる範囲を狭められます。

この記事は、これからネットワーク分離を始める購入担当や運用担当に向けて、VLAN対応スイッチを選ぶときに見る軸を整理します。取り上げるのは製品の選び方が中心で、攻撃の再現手順は扱いません。検証は自組織や自宅など、自分が管理する環境に限って行う前提で書いています。仕様はメーカー公式で確認できた範囲を土台にし、確認できない項目は要確認と記します。なお本記事はアフィリエイトリンクを含みます。紹介する製品の効果や適合性を保証するものではなく、購入判断はご自身の用途に照らしてお願いします。詳細は広告およびアフィリエイトについてをご覧ください。

なぜVLANでネットワークを分けるか#

同じL2ネットワークにつながった機器どうしは、原則として互いに直接通信できます。攻撃者が一つの機器に侵入すると、同じネットワーク内の別の機器を探し、認証の弱いサービスや既知の脆弱性を足がかりに横へ移っていきます。この横方向の移動をラテラルムーブメントと呼びます。IoT機器は更新が行き届きにくく、侵入の入り口にされやすいため、業務端末と同じ区画に同居させておくと影響が広がりやすくなります。

タグVLANは、1本のケーブルやポートに流れるフレームへVLAN ID（IEEE 802.1Qのタグ）を付け、どの区画に属する通信かを識別する仕組みです。IDが異なるVLANはブロードキャストの届く範囲が分かれ、論理的に別のネットワークとして扱われます。IoT用、ゲスト用、業務用を別々のVLANに割り当てれば、区画を越えた通信には経路上の判断が必要になり、侵害された1台から一気に全体へ広がる経路を絞れます。

ここで押さえておきたいのは、スイッチのVLANだけでは区画をまたぐ通信を遮断しないという点です。VLANはあくまで区画を分ける仕組みで、VLANの間を通す通信と止める通信を決めるのは、ルーターやファイアウォールが持つVLAN間のフィルタです。分離を通信制御として機能させるには、スイッチでVLANを設計したうえで、ルーター側で区画間の通信可否を定義する作業が組みになります。ネットワークを分ける考え方の基礎は関連記事で整理しています。

あわせて読みたい

ネットワークセグメンテーションで侵入後の被害を広げない設計

CISAはネットワークセグメンテーションを、ネットワークを複数のセグメントに分けて各区画を独立したサブネットワークとして扱う手法と説明し、機器やデータへのアクセスとネットワーク間の通信を制限すると述べています。適切に構成したDMZやファイアウォールが、区画間の不正なアクセスを防ぐ役割を担うとしています。

802.1QタグVLAN対応を最優先に置く#

スイッチは大きく分けて、設定を持たないアンマネージ、簡易な設定ができるスマートやプラス、細かく制御できるマネージドに分かれます。ネットワークを分けるには、アンマネージでは足りません。VLAN対応スイッチを名乗る製品でも、ポートベースVLANだけでタグVLANに対応しない機種があるため、購入前にIEEE 802.1Q（タグVLAN）への対応を仕様欄で確認します。

IoT用やゲスト用の通信を、ルーターまで1本のケーブルでまとめて運ぶには、タグVLANが要ります。ルーターとスイッチをつなぐポートを複数VLANのタグ付き（トランク）にし、末端の機器をつなぐポートはそれぞれのVLANのタグなし（アクセス）にする、という設計が基本形です。この構成が取れるのが、802.1Qに対応したスマートやプラス、マネージドのスイッチです。

TP-LinkはTL-SG108Eについて、IEEE 802.1qに準拠したTag VLANやMTU VLAN、ポートベースVLANに対応し、ユーティリティやWeb管理画面から設定できると案内しています。ファンレス設計で、8ポートの1000Mbps対応と記載されています。

ポート数とPoEの要否#

必要なポート数は、つなぐ機器の数に配線の余裕を少し足して見積もります。8ポートは小さな家庭やデスク周りに向き、16ポートは機器が増える小規模オフィスに向きます。VLANを分ける場合、ルーターへ向かうトランク用に1ポートを使うため、その分も勘定に入れます。

ネットワークカメラや無線アクセスポイントを電源配線なしで設置したい場合は、PoE（Power over Ethernet）対応が選択肢になります。PoE対応スイッチはLANケーブル1本で給電できるため、カメラの設置場所を選びやすくなります。ただしPoE対応機は価格と消費電力が上がり、給電できる合計電力（PoEバジェット）に上限があります。給電が不要なら、PoE非対応の機種を選ぶと静音性や消費電力の面で有利です。ネットワークカメラを別VLANに隔離する考え方は関連記事にまとめています。

あわせて読みたい

ネットワークカメラを乗っ取られずに選ぶための安全面の見方

管理方式と管理VLANの分離#

設定の入口となる管理方式は、Web GUIで行う機種、専用ユーティリティを使う機種、スマートフォンアプリに対応する機種があります。日常的に設定を触るなら、日本語の管理画面が用意されているかは使い勝手を左右します。海外メーカーの機種では管理画面が英語のみの場合があるため、確認しておくと導入時に迷いません。

管理面で見落とされやすいのが、スイッチ自身の管理画面へアクセスできる区画です。管理用のIPアドレスを業務やIoTと同じ区画に置くと、その区画の機器から管理画面に到達できてしまいます。管理を専用のVLANに分け、限られた端末からのみ管理画面へ届く構成にすると、スイッチの設定を書き換えられる経路を絞れます。導入時には初期パスワードを必ず変更し、使わないリモート管理は無効にしておきます。

ファーム更新とサポート期間#

スイッチもソフトウェアで動く機器のため、脆弱性が公表されればファームウェアの更新が必要になります。購入前に、メーカーがファームウェアを提供しているか、更新の入手方法が明確かを確認します。あわせて、その型番がいつまでサポートされるか（EOL、提供終了の見通し）も見ておきます。サポートが終わった機種は新たな脆弱性が見つかっても修正が届かず、動いていても保守できない状態になります。

家庭向けの入口機器であるルーターの選び方とあわせて考えると、ネットワーク全体の更新方針がそろいます。ルーター側の選定は関連記事で扱っています。

あわせて読みたい

セキュリティ重視の無線LANルーターの選び方。WPA3と自動更新、ネットワーク分離で選ぶ買い方ガイド

静音と消費電力、技適と付加機能#

小規模オフィスや自宅では、設置場所の近くで人が作業することが多いため、ファンレスかどうかは体感の静けさに直結します。8ポート級のスマートスイッチはファンレスの機種が多く、常時稼働でも音が気になりにくい構成を選べます。消費電力は機種ごとに差があり、PoE対応機は給電分だけ大きくなります。

国内で使う無線を含む機器では技適マークの有無が問われますが、有線スイッチでも国内正規流通品かどうかは保証やサポートの受けやすさに関わります。並行輸入品は管理画面が日本語化されていない場合や、国内サポートの対象外になる場合があります。付加機能では、ケーブルの誤接続によるループを検知する機能や、動画配信などのマルチキャストを効率化するIGMPスヌーピングを備えた機種があります。これらは必須ではありませんが、用途に合えば運用を楽にします。

NETGEARのS350シリーズのデータシートは、GS308Tを含む8ポート機がファンレス設計で静音動作すると記載し、IEEE 802.1Q VLAN Taggingへの対応と、IGMPマルチキャストやスパニングツリーなどの機能を挙げています。

導入手順の要点#

VLAN対応スイッチは、買って挿すだけでは分離になりません。次の順序で設計と設定を進めると、区画を越えた通信の可否まで意図どおりに整えられます。

実在する製品の候補#

ここからは、メーカー公式でIEEE 802.1QのタグVLAN対応を確認できた機種を挙げます。いずれも8ポート級のスマートやプラス、マネージドのスイッチで、ネットワーク分離の入口に向く構成です。スイッチは型番の改訂や世代交代があるため、購入前に次を各メーカー公式で確認してください。(a)その型番が現行モデルか、後継機があるか。(b)ファームウェア提供やサポート終了（EOL）の見通し。(c)IEEE 802.1Q対応と、必要なVLAN数。(d)国内正規流通品か。効果や適合性を保証するものではなく、つなぐ機器の数と用途に照らして判断してください。

TL-SG108Eは版数の改訂があるため、購入時にその個体が現行版か、後継や併売の有無、国内正規流通品かをTP-Link公式と販売店で確認してください。

GS308Eは版（v数）の違いで仕様が変わる場合があります。購入前に、その版が現行でファーム提供が続くか、後継機の有無、国内正規流通品かをNETGEAR公式と販売店で確認してください。

GS308TはS350シリーズの一つで、上位や別ポート数の兄弟機があります。購入前に、その型番が現行かEOLの見通し、後継機の有無、国内正規流通品かをNETGEAR公式と販売店で確認してください。

BS-GS2008はシリーズ内にポート数やPoEの異なる型番があります。購入前に、その型番が現行かサポート継続の見通し、後継機の有無、国内正規流通品かをバッファロー公式と販売店で確認してください。

バッファローはBS-GS2008について、10/100/1000Mの8ポートとファンレス筐体、日本語Web設定インターフェースを記載し、IEEE802.1Q VLAN taggingへの対応を仕様に挙げています。

上の4機種について、確認したい軸を一覧にすると次のようになります。表の内容は執筆時点で各公式ページやデータシートから確認できた範囲で、記載が見つからなかった項目や改訂の可能性がある項目は要確認としています。購入前に各メーカー公式で最新の仕様を確かめてください。

PoEでカメラやアクセスポイントへ給電したい場合は、同じシリーズのPoE対応型番が候補になります。給電の合計電力や対応規格は型番ごとに異なるため、必要な給電量を先に見積もってから選ぶと過不足が出にくくなります。

買う前のチェックリスト#

VLAN対応スイッチは、フラットなネットワークを区画に分け、侵害された1台から広がる範囲を狭めるための土台になります。出発点は、IEEE 802.1QのタグVLANに対応し、ファーム提供とサポートが続き、用途に合うポート数と管理方式を備えた機種を選ぶことです。そのうえで、ルーター側のVLAN間フィルタと組み合わせて初めて通信の制御になります。手元の機器を安全に運用する設定の堅牢化は、選び方とあわせて押さえておくと安心です。

あわせて読みたい

家庭用ルーターのセキュリティと買い替えの目安。ファーム更新・初期パスワード・サポート期間で守る