VLAN
Virtual Local Area Networkの略。1つの物理的なスイッチ/ネットワークを複数の論理的なL2ネットワーク（ブロードキャストドメイン）に分割する技術。物理配線を変えずにネットワークを分離できるため、部署ごとの分離・セキュリティ境界の設定・ブロードキャストトラフィックの抑制などに使われる。標準はIEEE 802.1Q（初版1998年。802.1Q-2003でMSTPを統合、802.1Q-2014で802.1Dを統合、と改訂が続いている）。 #network
仕組み: 802.1Qタグ
Ethernetフレームの送信元MACアドレスとEtherTypeの間に4バイト（32bit）のタグを挿入する。
| フィールド | ビット数 | 内容 |
|---|---|---|
| TPID | 16bit | タグの存在を示す識別子。0x8100固定 |
| PCP | 3bit | 優先度（802.1pのCoS、QoS用） |
| DEI | 1bit | 輻輳時にドロップしてよいフレームかの印 |
| VID | 12bit | VLAN ID本体 |
- VIDは12bitで理論上4096値だが、
0（VLAN IDなし・優先度タグのみ）と4095（実装予約）が使えず実質4094個。1は多くのベンダーでデフォルト/管理VLANに使われる。 - タグの分だけ最大フレームサイズは1518→1522バイトに拡張される。最小フレームサイズは64バイトのまま。
アクセスポートとトランクポート
- アクセスポート — 単一VLANに所属するポート。タグなしフレームをやりとりし、スイッチ内部でVLANに割り当てる。PCなど末端機器を繋ぐ。
- トランクポート — スイッチ間リンクなどで複数VLANのフレームをタグ付きで通すポート。タグを見てどのVLANのフレームか判別する。
- ネイティブVLAN — トランク上で例外的にタグなしで運ばれるVLAN。設定ミスがあると二重タグを使ったVLANホッピング攻撃の足がかりになるため、セキュリティ上の注意点としてよく挙げられる。
発展形と限界
- 802.1ad (QinQ) — タグを二重に積む拡張。ISPが顧客のタグ付きトラフィックをそのまま運ぶために、外側にS-TAG（TPID
0x88a8）、内側に顧客のC-TAGを重ねる。 - VXLANへ — VLAN IDが12bitで4094セグメントしか作れない制約は、クラウド/マルチテナント環境で不足し、24bitのVNIを持つVXLANが生まれる背景になった。