VLANの設定方法｜Ciscoのアクセス・トランクと確認

VLANの設定は、VLANを作る、端末のポートをアクセスポートにする、スイッチ同士をトランクでつなぐ、の3段階です。Cisco IOSならvlan 10、switchport access vlan 10、switchport mode trunkの順に打ち、show vlan briefとshow interfaces trunkで確かめます。

この記事でわかること

VLANの設定とは？3段階で考える

VLANの設定とは、1台のスイッチの中を、番号ごとに別々のネットワークへ分ける作業です。同じスイッチにつながっていても、VLANが違う端末同士はそのままでは通信できません。

設定は、次の3段階に分けると迷いません。

• VLANを作る：番号と名前を決めて、スイッチに登録する
• 端末のポートを割り当てる：PCやプリンターがつながるポートを、1つのVLANに入れる
• スイッチ同士をつなぐ：複数のVLANをまとめて運ぶ線を設定する

呼び方はメーカーで違う

役割	一般的な呼び方	Cisco	ほかのメーカーでよく見る呼び方
1つのVLANだけを通す	ポートVLAN	アクセスポート	タグなし（untagged）
複数のVLANをまとめて通す	タグVLAN	トランクポート	タグ付き（tagged）

トランクでは、フレームに「どのVLANか」を示す4バイトの札（IEEE 802.1Qのタグ）を付けて送ります。受け取った側が札の番号を見て、VLANを振り分けるしくみです。

手順1：VLANを作る

最初に、使うVLANの番号を作ります。名前は付けなくても動きますが、後で読む人のために付けておくのが現場の習慣です。

Switch# configure terminal
Switch(config)# vlan 10
Switch(config-vlan)# name SALES
Switch(config-vlan)# exit
Switch(config)# vlan 20
Switch(config-vlan)# name OFFICE
Switch(config-vlan)# end

Ciscoの資料では、名前を付けないと「VLAN0010」のように、番号の前に0を足した名前が自動で入ります。

VLAN ID	扱い
1	最初からあるVLAN。消せない。全ポートが最初はここに入っている
2〜1001	自由に使える範囲
1002〜1005	Token RingとFDDI用に予約済み。使えない
1006〜4094	拡張範囲。新しい機種では普通に使える

番号は1〜4094の中から選びます。VLAN 1は全ポートの初期値なので、業務用のVLANには使わない設計が一般的です。

手順2：端末のポートをアクセスポートにする

PCやプリンターがつながるポートは、アクセスポートにしてVLANを1つ割り当てます。

Switch(config)# interface GigabitEthernet1/0/1
Switch(config-if)# switchport mode access
Switch(config-if)# switchport access vlan 10
Switch(config-if)# exit
Switch(config)# interface range GigabitEthernet1/0/2 - 8
Switch(config-if-range)# switchport mode access
Switch(config-if-range)# switchport access vlan 10

まとめて設定したいときに使うのが、interface rangeでの範囲指定です。

作っていない番号をswitchport access vlanで指定すると、「Access VLAN does not exist. Creating vlan 30」と表示されます。番号はそのまま自動で作られますが、名前は空のままです。打ち間違いの番号が残らないよう、手順1で作っておくほうが安全です。

switchport mode accessを省かない

modeを書かずにVLANだけ指定しても、機種によっては相手との交渉（DTP）でトランクになることがあります。端末用のポートは「switchport mode access」で固定しておくと、思わぬトランク化を防げます。

手順3：スイッチ同士をトランクでつなぐ

スイッチ同士やルーターへの線は、複数のVLANを運ぶトランクの出番です。

Switch(config)# interface GigabitEthernet1/0/48
Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20
Switch(config-if)# switchport nonegotiate

allowed vlanは、そのトランクに通すVLANを絞る設定です。何も書かなければ全VLANが通ります。switchport nonegotiateは、相手との交渉（DTP）の信号を止める設定で、modeを固定したポート向け。

古い機種では、switchport mode trunkの前に「switchport trunk encapsulation dot1q」が要ることがあります。モードを設定できないというエラーが出たら、先にこの行を入れてください。

allowed vlanは「add」を付けないと置き換わる

トランクの設定で一番多い事故がこれです。allowed vlanに番号だけを書くと、それまでの一覧が丸ごと置き換わります。

打ったコマンド	結果
switchport trunk allowed vlan 30	通るのはVLAN 30だけになる。10と20が止まる
switchport trunk allowed vlan add 30	10・20に30が加わる（正しい）
switchport trunk allowed vlan remove 20	20だけを外す

Ciscoの資料でも、addとremoveは一覧を増減させ、付けなければ一覧全体を置き換えると説明されています。本番の機器では、打つ前にshow interfaces trunkで今の一覧を控えておくと安心です。

ネイティブVLANを両端でそろえる

トランクには、札を付けずに送るVLANが1つあります。これがネイティブVLANで、初期値はVLAN 1です。

両端でネイティブVLANの番号が違うと、札の無いフレームが別のVLANへ流れてしまいます。CiscoのスイッチではCDPが「NATIVE_VLAN_MISMATCH」というログを出すので、見かけたら両端のswitchport trunk native vlanをそろえてください。

VLAN同士をつなぐ（SVIとip routing）

VLANが違う端末同士の通信は、ルーターの役割をする機器を通します。L3スイッチなら、VLANごとの仮想のインターフェース（SVI）にIPアドレスを付ける形です。

Switch(config)# ip routing
Switch(config)# interface vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0
Switch(config-if)# no shutdown
Switch(config-if)# exit
Switch(config)# interface vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# no shutdown

各VLANのPCは、自分のVLANのSVIのアドレス（192.168.10.1など）をデフォルトゲートウェイに設定します。ip routingを入れ忘れると、SVIにアドレスが付いていてもVLAN同士はつながりません。

方法	使う機器	設定の中心
SVI	L3スイッチ	interface vlan 10 と ip routing
ルーターのサブインターフェース	ルーター＋L2スイッチ	interface Gi0/0.10 と encapsulation dot1Q 10

ルーター側の方法は、1本のトランクにVLANを乗せてルーターへ渡す形です。小さな拠点で、L3スイッチを置かない構成でよく使われます。

設定を確かめるコマンドと、つながらないときの見どころ

設定したら、表示で確かめるところまでが作業です。VLANの問題は、ほとんどが次のコマンドで見つかります。

コマンド	見るところ
show vlan brief	VLANの一覧と、各VLANに入っているアクセスポート
show interfaces trunk	トランクのポート、ネイティブVLAN、通しているVLANの一覧
show interfaces Gi1/0/1 switchport	そのポートのモード（access／trunk）と割り当てVLAN
show ip interface brief	SVI（Vlan10など）がup/upになっているか

show vlan briefにはトランクのポートは出ません。トランクを見たいときはshow interfaces trunkを使い分けます。

同じVLANの端末同士がつながらないとき

• スイッチをまたぐと届かない
• • VLANが片方のスイッチに無いshow vlan brief で両方に同じ番号があるか
  • トランクで通していないshow interfaces trunk の allowed と forwarding の一覧に番号があるか
  • ポートがアクセスのままスイッチ間の線のモードを switchport で確かめる
  • ネイティブVLANが不一致両端の native vlan と、CDPのログを見る

図：VLANの有無、トランクの一覧、モード、ネイティブVLANの順に見る

SVIがup/upにならないときは、そのVLANに属する有効なポートが1つも無いことが多いです。端末をつないだポートか、そのVLANを通すトランクが動いているかを見てください。

確かめ終わったら、copy running-config startup-configで保存しておきましょう。保存しないと、再起動で設定が消えます。

よくある質問

まとめ

VLANを分けたら、次はVLAN同士の通信をどこまで許すかを決める段階です。アクセスリストでVLANの間に通る通信を絞ると、ネットワークの守りが一段上がります。

---

免責事項

---