VLAN間ルーティング ― ルータオンアスティックとSVI

VLAN間ルーティングとは、別のVLANにいる端末どうしの通信を、ルータやL3スイッチで中継することです。VLANが違えば別のネットワークなので、L2スイッチだけでは届きません。中継のやり方は3つあり、よく使われるのはルータオンアスティックとSVIです。

ルータオンアスティックは、複数のVLANを運べるトランク1本でルータとスイッチをつなぎ、ルータが中継します。SVIは、L3スイッチの中に作るVLANごとの仮想的なインタフェースで、スイッチの中で中継します。どちらの方式でも、中継する側に付けたアドレスが、各VLANの端末のデフォルトゲートウェイになります。

VLANで分けた単位は、それぞれ別のブロードキャストドメインです。実際の設計では、VLANごとに別のサブネットを1つずつ割り当てます。例として、次の割り当てを使います。

VLAN10のPC-AからVLAN20のPC-Bへ送るとき、PC-Aは宛先が自分のネットワークの外だと判定します。そこで、パケットを自分のVLANのデフォルトゲートウェイに預けます。

預かった機器は、宛先のネットワークにつながるVLANへパケットを送り出します。この中継が、ルーティングの記事で説明したルーティングです。方式によって変わるのは、このゲートウェイのアドレスを持つ機器です。

どの方式でも、VLANごとにゲートウェイのアドレスを1つ用意します。違うのは、そのアドレスを持つ場所と、スイッチとのつなぎ方です。

1つ目は、VLANごとにルータの物理ポートを1つずつ使う方式です。VLANが増えるたびに、ルータのポートとケーブルが1組ずつ要ります。ルータのポートの数には限りがあるので、Ciscoの教材は、今のネットワークでは使われない方式としています。

2つ目のルータオンアスティックは、ルータの物理ポート1つを、VLANごとのサブインタフェースに分けます。サブインタフェースは、1つの物理ポートの中に作る論理的なインタフェースです。ルータとスイッチは、トランク1本でつなぎます。

3つ目は、L3スイッチの中に、VLANごとのSVIを作る方式です。SVIはSwitch Virtual Interfaceの略です。SVIは、VLANのポートの集まりを、ルーティングの機能から見て1つのインタフェースとして表します。

ルータオンアスティックとL3スイッチの違いは、パケットの通り道に表れます。同じPC-AからPC-Bへの通信を、2つの方式で並べます。

ルータオンアスティックでは、1つのパケットがトランクを2回通ります。行きはVLAN10のタグ、戻りはVLAN20のタグです。VLAN間の通信が増えるほど、ルータとスイッチの間のトランク1本に通信が集まります。

L3スイッチでは、パケットはスイッチの中でSVIからSVIへ中継されます。Ciscoの教材は、L3スイッチの中継はハードウェアで行うので、ルータオンアスティックより速いと説明しています。欠点として挙げているのは、L2スイッチより高価なことです。

方式とPC-Aのデフォルトゲートウェイを切り替えると、PC-AからPC-Bへのパケットの進み方が変わります。192.168.10.1は、VLAN10のゲートウェイの正しいアドレスです。192.168.10.254は、同じサブネットの中で、どの機器も使っていないアドレスです。

ゲートウェイの値を誤ると、どちらの方式でも、パケットはPC-Aから出ません。192.168.10.254のときに出るのは、ARPの問い合わせだけです。ルータやL3スイッチの設定が正しくても、端末の設定の誤りだけで届かなくなります。PC-Bから返事を戻すには、PC-B側のゲートウェイも192.168.20.1にそろっている必要があります。

Ciscoのルータでは、物理インタフェースの名前の後ろに「.番号」を付けて、サブインタフェースを作ります。番号をVLAN番号にそろえるのは慣習で、必須ではありません。VLANとの対応を決めるのは、encapsulation dot1Q の後ろの番号です。

R1(config)# interface GigabitEthernet0/0/1.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# interface GigabitEthernet0/0/1.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
R1(config-subif)# interface GigabitEthernet0/0/1
R1(config-if)# no shutdown

# 物理インタフェース G0/0/1 には、IPアドレスを付けません。
# 最後に物理インタフェースを有効にすると、サブインタフェースも使えるようになります。

S1(config)# interface GigabitEthernet1/0/24
S1(config-if)# switchport mode trunk
S1(config-if)# no shutdown

# PC-AとPC-Bをつなぐポートは、それぞれVLAN10・VLAN20のアクセスポートにします。
# トランクのタグの方式を選べる機種では、先に switchport trunk encapsulation dot1q が要ります。

トランクでは、ネイティブVLANのフレームだけがタグなしで流れます。ネイティブVLANの意味は、VLANの記事の注意点の節で説明しています。ルータでネイティブVLANを受け持つサブインタフェースには、encapsulation dot1Q 1 native のように native を付けます。

L3スイッチでは、interface vlan の後ろにVLAN番号を書いてSVIを作ります。SVIに付けたアドレスが、そのVLANの端末のデフォルトゲートウェイになります。

S1(config)# interface vlan 10
S1(config-if)# ip address 192.168.10.1 255.255.255.0
S1(config-if)# no shutdown
S1(config-if)# interface vlan 20
S1(config-if)# ip address 192.168.20.1 255.255.255.0
S1(config-if)# no shutdown
S1(config-if)# interface GigabitEthernet1/0/1
S1(config-if)# switchport mode access
S1(config-if)# switchport access vlan 10
S1(config-if)# exit
S1(config)# ip routing

# GigabitEthernet1/0/1 には PC-A をつなぎます。PC-B のポートは VLAN20 にします。

最後の ip routing で、スイッチがIPv4のルーティングをするようになります。Catalyst 9300のように、初期状態でIPルーティングが無効な機種があります。その場合、SVIを作っただけでは中継しません。

SVIは、そのVLANに物理ポートが結び付くまで有効になりません。VLAN20のポートが1つも無いと、SVI Vlan20は使えない状態のままです。SVIを作ったら、各VLANにポートが割り当たっているかも合わせて確かめます。

L3スイッチのポートは、no switchport でルータのポートと同じ働きにできます。このポートをルーテッドポートと呼び、インターネットへ出るルータとつなぐときなどに使います。

確かめる順番は、端末の設定、中継する機器の表、実際の疎通です。まず端末で、IPアドレスとデフォルトゲートウェイを見ます。Windowsなら ipconfig で、デフォルトゲートウェイの欄が自分のVLANのゲートウェイかを確かめます。

次に、中継する機器のルーティングテーブルを show ip route で見ます。各VLANのネットワークが、直接つながったネットワークとして載っていれば正しい状態です。

S1# show ip route
C        192.168.10.0/24 is directly connected, Vlan10
C        192.168.20.0/24 is directly connected, Vlan20

# 先頭の C は、直接つながったネットワークの行です。
# ルータオンアスティックでは、Vlan10 の代わりに GigabitEthernet0/0/1.10 のように出ます。

ルータオンアスティックでは、スイッチ側で show interfaces trunk も見ます。トランクの設定の誤りは、ルータオンアスティックで通信できないときのよくある原因です。サブインタフェースの encapsulation dot1Q の番号の取り違えも、同じく届かない原因になります。

最後に、PC-AからPC-Bへ ping を送ります。届かないときは、まずPC-Aから自分のゲートウェイ192.168.10.1へpingを送ります。ここで届くかどうかで、端末とゲートウェイの間か、その先かを切り分けられます。