CONFIG EXAMPLE / VLAN

ゲスト・ホーム・サーバーをVLANで分ける|ルーター+PoEスイッチ+AP×2の小規模構成例

小さな拠点でも、ゲスト用の無線LANを管理画面や自分たちの機器から切り離したい場面があります。運営者の検証環境のVLAN構成を例に、設計の意図、ポート設計、APの設定の要点、ハマりどころ、確認手順を整理します。IPアドレスやSSIDは例示用です。

検証環境の構成

運営者の検証環境は、ルーターがヤマハ RTX810、PoEスイッチがI-O DATA BSH-GP08MB(8ポート)、無線LANアクセスポイント(AP)がエレコム WAB-I1750-PS×2です。いずれも運営者の所有機で、各社とは無関係の非公式の記事です。設定はこの環境での一例で、他機種での動作は確認していません。

ネットワークは「ゲスト」「ホーム」「サーバー」の3つに分けています。スイッチのポート1をルーター行きの起点にして、AP2台と各端末をスイッチに接続します。

3分割の意図

• ゲストは管理画面に到達させない: 管理画面には管理VLAN(この例ではVLAN1)からだけ入れるようにし、ゲストはVLAN200に収容します。
• サーバーはルーターに直結する: サーバーは2台だけなので、スイッチを経由せずルーターに直接つなぎ、障害点を減らします。
• ゲストのSSIDだけを出す: 管理用SSIDは作らず、管理は有線だけで行います。

ポート設計の表

BSH-GP08MBの設定例です。VLAN1が管理VLAN、VLAN200がゲスト用です。

ルーター側は、管理VLANをタグなしで扱い、VLAN200はゲスト用サブネット(例: 192.0.2.0/24)としてDHCPを配る構成です。ポート1とルーター側のタグの有無は一致させます。

APの設定の要点

WAB-I1750-PSでは、次の点を設定しています。

1. 管理VLANは1にします。
2. 上流の有線ポート(PD、スイッチから給電を受けるポート)はタグ付きにします。
3. ゲスト用SSID(例: guest-example)のVLAN IDを200にします。
4. VLAN1側のSSIDは作りません。
5. 下流の有線ポート(PSE)は、タグなしでVLAN200(ゲスト網)に収容します。

管理VLANとタグの関係は、運営者の環境で確かめられた内容を下の「ハマりどころ」に書きました。メニューの名称などは機種ごとに異なります。

PoE優先度の考え方

AP接続のポート7・8をHigh、それ以外をLowにしています。総電力に余裕がないときもAPへの給電を優先する意図です。優先度の働き方(給電を止める順序など)は機種により異なるため、要確認です。

AP台数に対して総電力が足りるかは、PoE給電予算の計算ツールと解説記事「PoE給電予算の計算方法」で確認できます。

tagged・untagged・hybrid・trunkの呼び方

タグ付き(tagged)はVLANの識別情報をフレームに付けて運ぶ方式、タグなし(untagged)は付けない方式です。呼び方はメーカーで異なり、ヤマハのスイッチのマニュアルには「トランクポート(タグ付きポート)」があり、ネイティブVLAN(タグなしで扱うVLAN)は別に指定すると説明されています。この記事のHybridやTrunkはBSH-GP08MBの画面上の名称で、同じ「Trunk」でもタグなしの扱いは機種ごとの定義に従うため、要確認です。

ハマりどころ(運営者の実例)

ハマったのは、スイッチ・AP・ルーター間のタグ付き/タグなしです。以下は運営者の環境での対処例で、全環境で同じ結果になる保証はありません。

ルーター側のフィルタでDHCPが通らなかった件は、別記事「RTX810でVLAN追加後に端末にIPが降りない時」にまとめました。なお管理VLANを変える前は、設定のバックアップと作業用の経路を残してください。

確認手順

1. ゲスト用SSIDに端末をつなぎ、ゲスト用サブネット(例: 192.0.2.0/24)のアドレスが配られることを確認します。
2. ゲスト端末から、ルーター・スイッチ・APの管理画面に到達できないことを確認します。
3. ゲスト端末から、ホームやサーバー側の機器に届かないことを確認します。
4. 管理VLAN側の有線端末からは、各機器の管理画面に入れることを確認します。

セキュリティの注意