CiscoのVLAN1を使い続けるリスク｜native VLAN・未使用ポート対策

CiscoのVLAN 1はdefault VLANで、多くのplatformでdefault access VLANや一部制御トラフィックとの関係があります。『VLAN 1を使うだけで脆弱』と単純化せず、利用者トラフィック、native VLAN、管理プレーン、未使用ポートを分離し、trunk許可VLANを必要最小限にします。

この記事はネットワークエンジニアの仕事内容の各論です。工程の全体像から確認したい場合はそちらへ。

(出典：けんと＠設計構築チャンネルのポスト（X）（X：VLAN1は管理SVI、未使用ポート、native VLAN、trunk許可範囲に残りやすいと説明したポスト。）)

CiscoのVLAN1を使い続けると何が問題？

先に答えると、CiscoのVLAN 1はdefault VLANで、多くのplatformでdefault access VLANや一部制御トラフィックとの関係があります。『VLAN 1を使うだけで脆弱』と単純化せず、利用者トラフィック、native VLAN、管理プレーン、未使用ポートを分離し、trunk許可VLANを必要最小限にします。

VLAN1とnative VLANは同じ？

それぞれの役割と、実務で見るところを次の表に整理します。

User VLAN 20/30 ---- trunk allow 20,30,999 ---- Core
Native VLAN 999 (unused, no user host)
Mgmt VLAN 100 (ACL restricted)
Unused access ports → VLAN 998 + shutdown

管理VLANをどう分離する？

確認は「VLAN1のポート・SVI・trunk利用を棚卸し」から始め、「STP、trunk、管理、ユーザー通信を試験」まで進めます。「制御/データ両面」を確認できれば完了です。

vlan 998
 name UNUSED
vlan 999
 name NATIVE_UNUSED
interface range GigabitEthernet1/0/10-48
 switchport mode access
 switchport access vlan 998
 shutdown
interface GigabitEthernet1/0/1
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 20,30,100,999

show interfaces trunk
show vlan brief

Port Gi1/0/1
Native VLAN: 999
Vlans allowed: 20,30,100,999
Vlans forwarding and not pruned: 20,30,100,999

未使用ポートをどう設定する？

症状ごとの原因候補と、次に確認することを次の表にまとめます。正常時の出力と並べて差を見ます。

変更前後に何を試験する？

VLAN1から移す作業は、セキュリティ設定だけでなく管理到達性を変えます。コンソールまたはout-of-band経路を確保し、両端trunk、SVI、gateway、ACL、監視を一つの移行計画にします。

• 対象機器・インターフェース・VRF/VLAN
• 取得日時・タイムゾーン・ソフトウェアバージョン
• 変更前後の同一コマンド出力
• 期待値・実測値・判定者
• 異常時の停止条件と切り戻し結果

関連する記事

• 未知のユニキャストフラッディングとは？MAC未学習時の動作
• L2スイッチはARPテーブルを持つ？L3機器・管理SVIとの違い

まとめ：VLAN番号そのものより、用途分離とtrunk範囲を設計する

要点は、VLAN番号そのものより、用途分離とtrunk範囲を設計することです。native VLANとaccess VLANの設計値を、変更前後のconfig差分として残します。

この記事の執筆・監修者

けんと＠設計構築チャンネル

ネットワーク設計構築エンジニア／インフラ転職コンパス編集者

30歳・IT未経験からSIerへ転職。ネットワークエンジニアとして、金融系・オフィス系ネットワークの設計・構築に携わり、PL・PMも経験。自身の未経験転職と現場経験をもとに、仕事内容・技術・キャリア・求人選びをわかりやすく解説しています。

YouTube登録者5,000人 Xフォロワー5,000人

執筆者プロフィール・編集方針