IoTをVLANで分離する方法｜自宅ネットワークの設計と通信確認

IoTデバイスを安全に運用するためには、VLAN（Virtual LAN）を用いてネットワークを分離することが有効です。ただし、VLANはレイヤー2（L2）レベルでの分離であるため、異なるVLAN間の通信を制御するにはルーターによるレイヤー3（L3）での制御、つまりファイアウォールによるルール設定が不可欠です。

ネットワーク分離の用途比較

ネットワークを分離する目的によって、適切な設計が異なります。以下の表は、一般的なネットワーク構成の例です。

ネットワーク設計の例

ネットワークを設計する際は、既存のネットワークアドレスと重複しないように新しいサブネットを割り当てる必要があります。以下は、設計の検討に用いる架空の構成例です。

• VLAN 10（信頼できる端末用）: 192.168.10.0/24
• VLAN 20（IoTデバイス用）: 192.168.20.0/24
• VLAN 30（ゲスト用）: 192.168.30.0/24

具体的なネットワーク構成については、自宅ネットワーク構成図の描き方 を参考に設計を進めてください。

必要なハードウェアとポートの設定

VLANによる分離を実現するには、対応するハードウェアと適切なポート設定が必要です。

対応機器の要件

• 管理機能付きスイッチ（Managed Switch）: VLANタグを認識し、ポートごとにVLANを割り当てられるもの。
• VLAN対応アクセスポイント（AP）: SSIDごとに異なるVLANを割り当てられる（SSIDとVLANの対応付け）もの。

ポートの動作モード

スイッチやAPのポート設定では、以下の2つのモードを区別して設定する必要があります。

1. Accessポート（Untagged）: 特定のVLANに所属する端末（PCや一般的なIoT機器）を接続するためのポートです。通信にはVLANタグが付与されません。
2. Trunkポート（Tagged）: ルーターやスイッチ間、またはスイッチとAPの間で、複数のVLANの通信をまとめて転送するためのポートです。通信にはVLANタグが付与されます。

設定時には、各ポートがどのVLANに属するかを示す「PVID（Port VLAN ID）」が正しく設定されているかを確認してください。

ファイアウォールによる通信制御（pfSenseの例）

VLANで分離されたネットワーク間をどのように制御するかは、ファイアウォールの設計に依存します。ここでは、pfSenseを例に、そのルール設計の考え方を説明します。

ルールの評価順序と適用対象

ファイアウォールのルールを適用する際は、以下の原則に従います。

• インターフェースの選択: ルールは、通信がルーターのインターフェースに「入ってくる（Incoming）」側に対して設定します。
• 評価順序: ルールは上から順番に評価されます。条件に一致した時点でそのルールが適用され、それ以降のルールは無視されます。
• ステートフル検査: ファイアウォールは通信の状態を管理しているため、一度許可された通信の「戻り」の通信は、個別のルールがなくても自動的に許可されます。

IoTセグメントの推奨ルール構成

IoTデバイスがメインのネットワークに干渉しないよう、以下の順序でルールを構成することが推奨されます。

1. 必要な宛先を先に許可: DNSやNTPをルーターなどLAN内の機器が提供するなら、その宛先IP・ポートだけを例外として許可します。
2. 内部ネットワークを拒否: 信頼LAN、管理画面、ほかの内部セグメントへの通信を拒否します。必要な例外を広い拒否より上へ置きます。
3. 外部への必要通信を許可: 接続先とポートを絞れるなら絞ります。内部宛てが拒否されていることを確認してから、必要なインターネット通信を許可します。

なお、この設計はIPv6環境においても同様に適用する必要があります。 pfSense公式ガイドのルール設計 通常のインターフェースルールの例です。Floatingルールやインターフェースグループのルールがある場合は、それらが先に評価されるため、既存ルールも確認してください。出典：pfSense公式ガイドの評価順序。 pfSense公式ガイドのVLAN設定

mDNSとサブネット越えの課題

VLANによってネットワークを分離すると、mDNS（multicast DNS）などのマルチキャストプロトコルがサブネットの境界を越えられなくなる問題が発生します。