[index] CentreCOM 8316XL/8324XL コマンドリファレンス 2.7

バーチャルLAN/概要・基本設定

  - デフォルトVLAN
  - ポートVLAN
  - タグVLAN
   - VLANタグ対応サーバーの共用
   - VLANタグを利用したスイッチ間接続
  - マルチプルVLAN（Protected Port VLAN）
   - 基本ルール
   - 設定例

バーチャルLAN（VLAN）は、スイッチの設定によって論理的にブロードキャストドメインを分割する機能です。レイヤー2スイッチは、宛先MACアドレスとフォワーディングデータベースを用いて不要なトラフィックをフィルタリングする機能を持ちますが、未学習の宛先MACアドレスを持つユニキャストフレームと、マルチキャスト/ブロードキャストフレームは全ポートに出力します。VLANを作成して、頻繁に通信を行うホスト同士をグループ化することにより、不要なトラフィックの影響を受ける範囲を限定し、帯域をより有効に活用できるようになります。

デフォルトVLAN

ご購入時の状態ではすべてのポートがVLAN default（VID=1）に所属しており、すべてのポートが相互に通信可能になっています。

ポートVLAN

ポートVLANは、ポート単位でVLANの範囲を設定するもっとも基本的なVLANです。ポート1～4はVLAN red、ポート5～8はVLAN white、といったように設定します。

新規にVLANを作成するにはCREATE VLANコマンドを使います。VLAN作成時には、VLAN名とVLAN ID（VID）を割り当てる必要があります。VLAN名は任意の文字列（ただし、数字だけの文字列と「default」、「ALL」は使用できません）、VIDは2～4094の範囲の任意の数値です（1はVLAN defaultのために予約済みです）。3つのVLAN、A（VID=10）、B（VID=20）、C（VID=30）を作成するには次のようにします。
これ以降、VLAN名を指定するときはVLAN名、VIDのどちらを使ってもかまいません。ここではおもにVLAN名を使います。
VLANを作成したら、ADD VLAN PORTコマンドでVLANにポートを割り当てます。ここでは、VLAN Aにポート1～8を、VLAN Bにポート9～16を、VLAN Cにポート17～24を割り当てます。
このようにしてポートをDefault以外のVLANに割り当てると、そのポートは自動的にVLAN defaultから削除されます。すなわち、上記の設定を終えるとVLAN defaultには所属ポートが1つもない状態になります。

これで、物理的には1台のスイッチでありながら、ネットワーク的には3台のスイッチに分割されたような状態となります。VLAN A、B、Cは完全に独立しており、互いに通信することはできません。

■ VLANの情報を確認するには、SHOW VLANコマンドを使います。

■ VLANからポートを削除するには、DELETE VLAN PORTコマンドを使います。たとえば、ポート7と8をVLAN Aから削除するには、次のようにします。Default以外のVLANから削除されたポートは、自動的にVLAN defaultの所属に戻ります。

DELETE VLAN=A PORT=7-8 ↓

■ ポートの所属するVLANを変更する場合、たとえば上記の例で、VLAN Aに所属していたポート8を、VLAN Bの所属に変更するような場合には、一度、ポート8をVLAN Aから削除してから、VLAN Bにポートを割り当ててください。

Note - ポートの所属するVLANを変更する場合には、該当するポートのポートセキュリティーをオフにしてから、所属するVLANを変更してください。ポートセキュリティーオンのままで所属するVLANを変更した場合、元のVLANに所属する学習済みMACアドレスが残ってしまい、ポートセキュリティー機能が正常に働かなくなる可能性があります。このようなときには、下記の方法で対応してください。

RESET SWITCH FDBコマンドで、フォワーディングデータベース（FDB）をクリアする。
SET SWITCH PORTコマンドで、ポートセキュリティーをオフにする。

■ VLANを削除するには、DESTROY VLANコマンドを使います。VLANの削除は、所属ポートをすべて削除してからでないと行えません。VLAN Cを削除するには、次のようにします。


DELETE VLAN=C PORT=ALL ↓

DESTROY VLAN=C ↓

Note - VLAN defaultは削除できません。

タグVLAN

タグVLANを使用すると、1つのポートを複数のVLANに所属させることができます。これは、イーサネットフレームにVLAN IDの情報を挿入し、各フレームが所属するVLANを識別できるようにすることによって実現されます（802.1Q VLANタギング）。タグVLANは、複数のVLANを複数の筐体にまたがって作成したい場合や、802.1Q対応サーバーを複数VLANから共用したい場合などに利用します。

各ポートのVLAN設定には次のルールが適用されます。

ポートは、0～1つのVLANにタグなしポート（Untagged Port）として所属できる
ポートは、0～複数のVLANにタグ付きポート（Tagged Port）として所属できる
ミラーポート以外のポート（通常のポート）は、必ず1つ以上のVLANに所属していなくてはならない

Note - VLANタグを使用する場合、接続先機器もVLANタグ（802.1Q）に対応している必要があります。

Note - 802.1X認証のAuthenticatorポートとMACベース認証ポートは、タグ付きに設定することはできません。

Note - スパニングツリープロトコル（STP）とタグVLANの併用時、タグつきポートが単一のVLANに属する場合、BPDUにはタグを付加しません。タグつきポートが複数のVLANに属する場合は、BPDUにはタグが付加されます。

VLANタグ対応サーバーの共用

VLANタグを利用して、ポート4を2つのVLANに所属させ、どちらのVLANからも802.1Q対応サーバーにアクセスできるようにします。

Note - VLANタグを使用する場合、接続先機器もVLANタグ（802.1Q）に対応している必要があります。

ここでは次のようなネットワーク構成を例に説明します。

VLAN A、Bを作成します。
VLAN Aにポートを追加します。ポート1～3はタグを使わない通常のポートに設定し、ポート4はタグを使用するポートとして設定します。VLANにタグ付きポートを追加するときは、ADD VLAN PORTコマンドのFRAMEパラメーターにTAGGEDを指定します。FRAMEパラメーターを付けなかったときはタグなし（UNTAGGED）となります。
VLAN Bにポートを追加します。ポート5～8はタグを使わない通常のポートに設定し、ポート4はタグを使用するポートとして設定します。

以上で設定は完了です。

これにより、ポート1～8から送受信されるフレームは次のようになります。

表 1

ポート1～3 送信ポート1～3から送信するフレームはVLAN A宛てのタグなしフレーム。

受信ポート1～3で受信したタグなしフレームはVLAN A（VID=10）所属とみなされる。

ポート4 送信ポート4から送信するフレームは、VLAN A宛てならVID=10のタグ付きで、VLAN B宛てならVID=20のタグ付きで送信される。

受信ポート4ではVLAN A、B両方のトラフィックを受信する。受信するフレームはタグ付き。タグのVIDにより、所属VLANを判断する。

ポート5～8 送信ポート5～8から送信するフレームはVLAN B宛てのタグなしフレーム。

受信ポート5～8で受信したタグなしフレームはVLAN B（VID=20）所属とみなされる。

■ 上記の設定では、ポート4はVLAN defaultにも（タグなしポートとして）所属したままになっています。他にもVLAN default所属のポートがあってトラフィックが流れている場合、ポート4にもVLAN defaultのブロードキャストパケットが送出されます。これが望ましくない場合は、DELETE VLAN PORTコマンドを使って、ポート4をVLAN defaultから削除します。

DELETE VLAN=default PORT=4 ↓

VLANタグを利用したスイッチ間接続

VLANタグを利用して、2台のスイッチにまたがるVLANを作成します。ここでは次のようなネットワーク構成を例に説明します。ポート25をタグ付きに設定し、VLAN A、B両方のトラフィックがスイッチ間で流れるようにします。

スイッチの設定（A、B共通）

VLANA、Bを作成します。
VLAN Aにポートを追加します。ポート1～12はタグを使わない通常のポートに設定し、ポート25はタグを使用するポートとして設定します。VLANにタグ付きポートを追加するときは、ADD VLAN PORTコマンドのFRAMEパラメーターにTAGGEDを指定します。FRAMEパラメーターを付けなかったときはタグなし（UNTAGGED）となります。
VLAN Bにポートを追加します。ポート13～24はタグを使わない通常のポートに設定し、ポート25はタグを使用するポートとして設定します。

設定は以上です。

■ 複数のスイッチにまたがるVLANを作成する場合は、各筐体で同じVLAN IDを設定するようにしてください。一方、VLAN名は個々の筐体内でしか意味を持たないので、スイッチごとに異なっていてもかまいません（ただし、混乱を防ぐ意味では同じ名前を付けた方がよいでしょう）。

■ 上記の設定では、ポート25はVLAN defaultにも（タグなしポートとして）所属したままになっています。他にもVLAN default所属のポートがあってトラフィックが流れている場合、ポート25にもVLAN defaultのブロードキャストパケットが送出されます。これが望ましくない場合は、DELETE VLAN PORTコマンドを使って、ポート25をVLAN defaultから削除します。

DELETE VLAN=default PORT=25 ↓

マルチプルVLAN（Protected Port VLAN）

マルチプルVLAN（Protected Port VLAN。以下、Protected Port VLANで表記）は、アップリンクポートとクライアントポートという2種類のポートで構成される特殊なVLANです。

クライアントポートとアップリンクポートは相互に通信可能です。クライアントポートでは同一グループ番号同士のポート間では通信が可能ですが、グループ番号の異なるポート間では通信ができません。この性質を利用すれば、各部屋にインターネットアクセスを提供しつつ、部屋同士の通信は遮断するような構成を組むことができます。

基本ルール

次にProtected Port VLANの基本ルールをまとめます。

■ Protected Port VLANには次のルールが適用されます。

Protected Port VLANは、アップリンクポートとクライアントポートで構成される。
Protected Port VLANには、アップリンクポート（トランクグループでもよい）が1つ必要。
Protected Port VLANには、アップリンクポートを複数割り当てられる。
Protected Port VLANには、クライアントポートを複数割り当てられる。
Protected Port VLANには、クライアントポートでもアップリンクポートでもないポートは所属できない。
VLAN defaultは、Protected Port VLANになれない。
同一Protected Port VLANのクライアントポート同士は通信できない。ただし、同一グループに設定されたクライアントポート間では通信可能。
Protected Port VLANは、MLD Snoopingとの併用が可能。

■ アップリンクポートには次のルールが適用されます。

アップリンクポートは、複数のProtected Port VLANに所属できる。
アップリンクポートは、Protected Port VLANでない通常のVLANには所属できない。
アップリンクポートは、ポートVLAN、タグVLANとの併用が可能。
アップリンクポートは、ポートトランキングとの併用が可能。

■ クライアントポートには次のルールが適用されます。

クライアントポートは、他のProtected Port VLANのアップリンクポートになることはできない。
クライアントポートは、ポートVLAN、タグVLANとの併用が可能。
クライアントポートは、ポートトランキングとの併用が可能。

Note - アップリンクポート、クライアントポートとも同一ポートを複数のVLANに所属させるためにはタグ付きにする必要があります。

設定例

次に、Protected Port VLANの設定例を示します。（この例は、インターネットマンションなどでの一般的な使用例です。）

Protected Port VLAN mvを作成します。
VLANにポートを割り当てます。

設定は以上です。異なるグループ間では通信する事ができませんが、同じグループに属するポート同士、またはアップリンクポート間では通信が可能です。

ADD VLAN PORTコマンドのGROUPパラメーターにAUTOを指定すると、未使用のグループ番号がポートごとに割り当てられます。PORTパラメーターで指定されたポートリストは1ポートあたり1クライアントとして割り当てられます。

ポート17をアップリンクとして、ポート1～16を別々のクライアントに設定する。


CREATE VLAN=private VID=10 PORTPROTECTED ↓

ADD VLAN=private PORT=17 GROUP=UPLINK ↓

ADD VLAN=private PORT=1-16 GROUP=AUTO ↓

Note - ADD VLAN PORTコマンドで、「GROUP=AUTO」を指定して実行した後、CREATE CONFIGコマンドを実行すると、スクリプトファイルには、「GROUP=自動的に割り当てられたグループ番号」という形で保存されます。スクリプトファイルを直接編集する場合には、「GROUP=AUTO」を指定することは可能です。

■ Protected Port VLANの設定には、次の決まりがあります。
クライアントポートが複数のProtected Port VLAN間で重複する場合には、同一ポートグループにします。

表 2：正しい設定例

VLAN UPLINK CLIENT

v10 1 [2], [3], [4-5]

v20 1 [4-5], [6], [7]

Note - 同一ポートを複数のVLANに所属させるためにはタグ付きにする必要があります。

表 3：間違った設定例

VLAN UPLINK CLIENT

v10 1 [2], [3], [4-5]

v20 1 [5], [6], [7]

■ 802.1QタグVLAN機能と併用する場合、次の制限事項が発生します。

Note - マルチプルVLANとタグVLANを併用した場合には、マルチプルVLAN優先で処理されます。

表 4

VLAN タグなしポート タグ付きポート

v10 - 1, 2, 3

v20 - 1(U), 2(C), 3(C)

(U)はアップリンクポート、(C)はクライアントポートを示す

上記の設定例の場合、ポート3からタグ付きパケット(v10)を受信したとき、ポート1と2にフラッディングされるはずが、ポート1にしかフラッディングされません。

PN: J613-M0249-11 Rev.J

ポート1～3	送信	ポート1～3から送信するフレームはVLAN A宛てのタグなしフレーム。
ポート1～3	受信	ポート1～3で受信したタグなしフレームはVLAN A（VID=10）所属とみなされる。
ポート4	送信	ポート4から送信するフレームは、VLAN A宛てならVID=10のタグ付きで、VLAN B宛てならVID=20のタグ付きで送信される。
ポート4	受信	ポート4ではVLAN A、B両方のトラフィックを受信する。受信するフレームはタグ付き。タグのVIDにより、所属VLANを判断する。
ポート5～8	送信	ポート5～8から送信するフレームはVLAN B宛てのタグなしフレーム。
ポート5～8	受信	ポート5～8で受信したタグなしフレームはVLAN B（VID=20）所属とみなされる。

VLAN	UPLINK	CLIENT
v10	1	[2], [3], [4-5]
v20	1	[4-5], [6], [7]

VLAN	タグなしポート	タグ付きポート
v10	-	1, 2, 3
v20	-	1(U), 2(C), 3(C)