CiscoのVLAN 1はdefault VLANで、多くのplatformでdefault access VLANや一部制御 トラフィックとの関係があります。『VLAN 1を使うだけで脆弱』と単純化せず、利用者トラフィック、native VLAN、管理plane、未使用ポートを分離し、trunk許可VLANを必要最小限にします。
⭕️ネットワークエンジニアが
意外と軽く見がちなものVLAN1
Cisco系のスイッチを触ると、
最初から存在しているVLANがある。それがVLAN1。
何も設定していないアクセスポートは、
デフォルトでVLAN1に所属していることが多い。このとき、
使っていないポートがVLAN1に残っていると
少し怖い。… pic.twitter.com/vRtLgg1LLc— けんと＠設計構築チャンネル (@yeiquer12) 2026年5月20日
VLAN1は管理SVI、未使用ポート、native VLAN、trunk許可範囲に残りやすいと説明したポスト。
(出典：https://x.com/yeiquer12/status/2057064974753857759（X：VLAN1は管理SVI、未使用ポート、native VLAN、trunk許可範囲に残りやすいと説明したポスト。）)
CiscoのVLAN1を使い続けると何が問題？
先に答えると、CiscoのVLAN 1はdefault VLANで、多くのplatformでdefault access VLANや一部制御 トラフィックとの関係があります。『VLAN 1を使うだけで脆弱』と単純化せず、利用者トラフィック、native VLAN、管理plane、未使用ポートを分離し、trunk許可VLANを必要最小限にします。
VLAN1とnative VLANは同じ？
VLAN 1は「default VLAN」を担い、実務では「default access所属・削除不可のplatformあり」を確認します。続く表で各要素の役割と判断点を比べます。
| 項目 | 仕組み・役割 | 実務での判断 |
|---|---|---|
| VLAN 1 | default VLAN | default access所属・削除不可のplatformあり |
| native VLAN | 802.1Qでuntagged フレームを扱うVLAN | VLAN1以外へ変更可能 |
| 管理 VLAN | 管理IPを置く設計上のVLAN | VLAN1と同義ではない |
| unused VLAN | 未使用ポート隔離用 | 経路せず利用者VLANと分離 |
User VLAN 20/30 ---- trunk allow 20,30,999 ---- Core
Native VLAN 999 (unused, no user host)
Mgmt VLAN 100 (ACL restricted)
Unused access ports → VLAN 998 + shutdown管理VLANをどう分離する？
確認は「VLAN1のポート・SVI・trunk利用を棚卸し」から始め、「STP、trunk、管理、ユーザー通信を試験」まで進めます。「制御/データ両面」を確認できれば完了です。
| STEP | 実施内容 | 確認する結果 |
|---|---|---|
| 1 | VLAN1のポート・SVI・trunk利用を棚卸し | 現状影響 |
| 2 | native/管理/ユーザー/制御用途を分離 | to-be設計 |
| 3 | 両端trunkを同一変更で更新 | ネイティブVLANの不一致防止 |
| 4 | STP、trunk、管理、ユーザー通信を試験 | 制御/データ両面 |
vlan 998
name UNUSED
vlan 999
name NATIVE_UNUSED
interface range GigabitEthernet1/0/10-48
switchport mode access
switchport access vlan 998
shutdown
interface GigabitEthernet1/0/1
switchport mode trunk
switchport trunk native vlan 999
switchport trunk allowed vlan 20,30,100,999
show interfaces trunk
show vlan briefPort Gi1/0/1
Native VLAN: 999
Vlans allowed: 20,30,100,999
Vlans forwarding and not pruned: 20,30,100,999未使用ポートをどう設定する？
「ネイティブVLANの不一致」の場合は「両端設定差」を原因候補にし、次に「CDP/ログとshow trunk」を確認します。正常時との差を症状ごとに追います。
| 症状・誤り | 主な原因候補 | 次に確認すること |
|---|---|---|
| ネイティブVLANの不一致 | 両端設定差 | CDP/ログとshow trunk |
| 管理断 | SVI/経路/ACL変更漏れ | out-of-band接続を用意 |
| 制御 プロトコル影響 | platform固有動作 | 公式 guideとlab 試験 |
| 許可 allのまま | 不要VLAN伝播 | 必要VLAN listと変更管理 |
変更前後に何を試験する？
VLAN1から移す作業は、セキュリティ設定だけでなく管理到達性を変えます。コンソールまたはout-of-band経路を確保し、両端trunk、SVI、gateway、ACL、monitoringを一つのmigration planにします。
- 対象機器・インターフェース・VRF/VLAN
- 取得日時・タイムゾーン・software バージョン
- 変更前後の同一コマンド出力
- 期待値・実測値・判定者
- 異常時の停止条件と切り戻し結果
関連する仕組みを次に確認する
次の記事では、今回の確認を隣接するレイヤーや別の観測点へ広げます。
まとめ：VLAN番号そのものより、用途分離とtrunk範囲を設計する
要点は、VLAN番号そのものより、用途分離とtrunk範囲を設計することです。構成図、設定、確認コマンド、正常時と異常時の結果を同じ条件で保存すると、第三者も判断を再現できます。
