VLANを分けて、VLAN間ルーティングまで通してみよう(総合演習)

Cisco機器の操作で最初に覚えるのがモードです。プロンプトの記号が今どこにいるかを教えてくれます。

Switch>がユーザーモード。見ることしかできません。enableでSwitch#——特権モードに上がります。ここからconfigure terminalでSwitch(config)#——設定モードです。

設定を変えられるのは(config)から先だけです。「コマンドが通らない」というとき、たいていはモードが足りていません。プロンプトを見る癖をつけると迷わなくなります。

hostname SW1で機器に名前を付けます。プロンプトの表示が即座に変わるのが分かるはずです。台数が増えたとき、今どの機器を触っているかが名前で分かるので、実務では必ず設定します。

戻るときはexitで1段、endで一気に特権モードまで戻ります。

VLANは、1台のスイッチの中をいくつかの独立したスイッチに分ける仕組みです。物理的に線を分けなくても、設定だけでネットワークを分離できます。

何が嬉しいのか。部署ごとに分けておけば、営業部のパソコンから開発部のサーバーには届きません。事故も攻撃も、届かないところには広がりません。ネットワークが1つのままだと、1台が乗っ取られたとき全体が危なくなります。

vlan 10で作り、name salesで名前を付けます。番号だけだと半年後に意味が分かりません。名前は必ず付けてください。

プロンプトが(config-vlan)#に変わっているのに注目してください。VLANの設定をする専用のモードに入っています。exitで(config)#に戻ってから、次のVLANを作ります。

show vlan briefで一覧を確認できます。まだどのポートも割り当てていないので、Portsの欄は空です。

VLANを作っただけでは何も起きません。「どのポートがどのVLANか」を決めて初めて意味を持ちます。

interface GigabitEthernet0/1でポートの設定に入り、switchport mode access、switchport access vlan 10と続けます。

accessは「このポートは1つのVLAN専用」という意味です。パソコンやプリンタを繋ぐポートはこれです。対になるのがtrunkで、複数のVLANをまとめて流すためのもの——スイッチ同士を繋ぐ線に使います。

no shutdownを忘れないでください。Ciscoのポートは初期状態で閉じていることがあり、設定だけして繋がらない原因の定番です。noを頭に付けるとそのコマンドを打ち消す——これはCisco全体で共通の作法で、shutdownの逆がno shutdownです。

もう一方のポートをVLAN 20に割り当てたら、show vlan briefで確認します。Portsの欄にポート名が入っているはずです。

ここがVLAN間ルーティングの肝です。

今のままだと、VLAN 10とVLAN 20は完全に別のネットワークで、互いに一切通信できません。繋ぐにはそれぞれのVLANに「出入口」を用意する必要があります。

それがSVI(VLANインターフェース)です。interface Vlan10と打つと、その場でVLAN 10用の仮想的なポートが作られます。実機でも同じで、入った瞬間に生まれます。

ここにip address 192.168.10.1 255.255.255.0でIPアドレスを振ります。これがVLAN 10に繋がっている機器から見た「出口の住所」——いわゆるデフォルトゲートウェイになります。各パソコンにはこのアドレスを設定します。

VLANごとに違うネットワークを割り当てるのが原則です。VLAN 10は192.168.10.0/24、VLAN 20は192.168.20.0/24。同じ範囲を重ねてはいけません——どちらへ送るか判断できなくなります。

ここでもno shutdownが要ります。SVIも初期状態では落ちています。

SVIにIPを振っただけでは、まだVLANをまたいだ通信は流れません。スイッチは初期状態では「転送する係」ではないからです。

ip routing——この1行で、スイッチがルーターとしても振る舞うようになります。VLAN 10宛のパケットとVLAN 20宛のパケットを、間に立って中継し始めます。

この機能を持つ機器をレイヤ3スイッチと呼びます。かつてはVLAN間を繋ぐのに別途ルーターが必要で、1本の線に複数VLANを流すルーターオンアスティックという構成が使われていました。今はスイッチ自身がやってしまうのが主流です。

この1行を忘れるのが、VLAN間ルーティングで最も多いつまずきです。VLANもIPも正しいのに繋がらない——というとき、まずここを疑ってください。

show ip interface briefで確認しましょう。Vlan10とVlan20の両方にIPが付き、StatusもProtocolもup——これが繋がる状態です。片方でもdownなら、no shutdownの打ち忘れです。

最後に設定全体を見返して、保存します。

show running-configで今動いている設定が全部出ます。ip routingの行、VLANごとのSVIとIP、各ポートのVLAN割り当て——ここまでに打ったことが1枚にまとまって見えます。設定を引き継ぐときは、まずこれを読みます。

そしていちばん大事な最後の一手です。copy running-config startup-config(短くはwrite memory)。

これを打たずに再起動すると、設定はすべて消えます。Ciscoでは「今動いている設定(running-config)」と「起動時に読む設定(startup-config)」が別物だからです。何時間もかけた設定が電源断で消えた、というのは現場で本当に起きます。

show vlan briefで最終確認しましょう。VLAN 10にGi0/1、VLAN 20にGi0/2が入っていれば、狙いどおりです。

これで完成です。VLANで分ける → SVIで出入口を作る → ip routingで繋ぐ。この3段が、VLAN間ルーティングの全体像です。

下の疑似ターミナルで、STEP1から自分の手で通してみてください。

下は本物の疑似ターミナルです。まっさらな状態から始まるので、STEP1のコマンドから順に打って、マージまで辿り着いてください。読んで分かった気になるのと、自分で打てるのとは別物です。

詰まったら上のステップに戻って構いません。resetと打てば最初からやり直せます。