社内ネットワークの分離とは何か：来客用・社内用・機器別の分け方と、VLANの考え方

一つの事務所の中で、パソコン、複合機、来客のスマートフォン、防犯カメラが、同じネットワークに並んでいることは珍しくありません。便利に見えますが、どれか一つに問題が起きたとき、ほかのすべてに広がりやすい形でもあります。このページでは、社内ネットワークの分離の考え方、来客用と社内用の分け方、VLANの意味、物理と論理の二つの方法、小規模で無理のない進め方を説明します。機器そのもののつなぎ方は社内ネットワーク構築のページにあります。

社内ネットワークを分離する理由

ネットワークを分ける一番の理由は、問題が起きたときの被害を、一部の区画に閉じ込めるためです。同じ区画の中の機器は、お互いに自由に通信できます。来客の端末が社内と同じ区画にいれば、その端末がウイルスに感染していたとき、共有フォルダーのある社内の端末にも手が届いてしまいます。

もう一つの理由は、機器ごとに守りの強さが違うことです。パソコンは更新が頻繁に行われますが、古い複合機やカメラ、空調の制御機器は、更新がほとんどされないまま長く使われます。守りの弱い機器を、重要なデータのある区画から切り離しておけば、弱点が一つあっても全体は崩れにくくなります。

さらに、分けると通信の流れが見やすくなります。どの区画からどの区画へ通すかを決めるので、「この通信は何のためか」が説明できる状態になり、異常にも気づきやすくなります。

分離は、一度に完璧な形を目指すものではありません。事務所の規模や使う機器に合わせて、守りたいものから順に区画を切り出していくのが、続けやすい進め方です。

来客用と社内用、機器の種類による分け方

小さな事務所で現実的に考えやすい分け方は、次のとおりです。

最初から五つに分ける必要はありません。まず来客用を分け、次に更新の少ないIoT機器を切り離す、という順に進めると、負担が小さくて済みます。私物のスマートフォンを社員が仕事の無線につなぐ習慣がある場合は、その端末をどの区画に置くかも、ここで決めておきます。

VLANとは何か、物理で分ける方法との違い

分けるには、二通りの方法があります。物理で分ける方法は、区画ごとに別のスイッチと配線を用意するやり方です。構造が目で見て分かり、設定の間違いも起きにくい反面、機器と配線が区画の数だけ必要になり、事務所が狭いと置き場所にも困ります。

論理で分ける方法の代表がVLANです。VLANは、Virtual LAN の略で、一台のスイッチやアクセスポイントの中を、目に見えない仕切りで複数の区画に分ける仕組みです。通信には区画の目印（VLANの番号）がつけられ、番号が違う区画のあいだは、そのままでは行き来できません。配線は一本のまま、論理的には別のネットワークとして扱えます。

VLANを使うには、スイッチ、ルーター、アクセスポイントがその機能に対応している必要があります。そして、区画の間をつなぐ役目（通す通信を決める役目）を、ルーターなどが担います。設定の考え方が少し専門的になるため、慣れない担当者が一人で組むと、意図せず区画がつながってしまうこともあります。

物理で分ける方法は、区画が二つか三つで、機器の置き場所がはっきりしているときに向いています。たとえば、サーバー室が別にあり、そこだけ専用のスイッチで囲うような場合です。区画が増えそうなときや、フロアのあちこちに同じ種類の機器が散らばっているときは、論理で分けるほうが、配線を増やさずに済みます。

小規模で現実的な分け方と進め方

端末が十数台までの事務所なら、次のような順序が取り組みやすい形です。

1. 来客用の無線を作り、社内の機器が見えない設定にする。
2. 無線LANのアクセスポイントに、来客用と社内用の二つの名前（SSID）を持たせる。
3. 防犯カメラや入退室機器を、社内の端末とは別の区画に移す。
4. サーバーやNASの区画を作り、入れる端末を絞る。

家庭向けに近いルーターでも、来客用の無線を分ける機能は持っていることが多いので、ここまでは追加の機器なしで進められる場合があります。VLANが要るのは、三つ目、四つ目の段階からです。機器の対応を確かめ、設定が難しいと感じたら、外注と依頼のページにある進め方を参考に、構成図を持って相談します。

設定が終わったら、必ず実際の端末で確かめます。来客用の無線につないだスマートフォンから、社内のパソコンやNASのアドレスに届かないこと、社内用の端末から印刷ができることを、それぞれ試します。分けたつもりで区画がつながっていた、というのは、確認を省いたときに起きやすい失敗です。

区画を分けるときに起きやすい失敗

よくあるのは、分けたはずの区画が、設定の抜けでつながっていたという失敗です。スイッチの空いている口に何気なくつないだ端末が、意図しない区画に入っていることもあります。使っていない口は、無効にしておくか、来客用など影響の小さい区画に割り当てておくと安心です。

逆に、分けすぎて使えなくなる失敗もあります。複合機のスキャン機能が、別の区画にあるパソコンの共有フォルダーへ送れなくなる、といった形で現れます。区画をまたぐ必要のある通信は、分ける前に洗い出しておきます。

分離を考え始めるきっかけ

実際には、「来客に無線のパスワードを教えたとき、気になった」「防犯カメラを入れることになった」「ノートパソコンの持ち出しが増えた」といった出来事が、分け方を見直す機会になります。新しい機器が入る前に、どの区画に置くかを決める習慣をつけておくと、後から移すより手間が少なく済みます。

分けた後の通信ルールと運用の手間

分けると、区画をまたぐ通信は、そのままでは通りません。たとえば、社内用の端末から別の区画にあるプリンターへ印刷するには、その通信だけを許可するルールが必要です。ルールは、通す方向と使う機器、使う用途を、紙に書いてから設定します。何を通しているのか分からないルールが増えると、分けた意味が薄れます。

ルールは、増やすより減らす方向で見直すのが長続きします。半年に一度でも、使われていない許可を探して外す作業を入れると、一覧が読める長さに保てます。

運用の手間も増えます。区画ごとのIPアドレスの範囲を記録し、機器を足すときは、どの区画に置くかを毎回決めます。構成図には、区画の名前と範囲を書き込みます。担当者が替わっても分かるように、ルールの一覧も合わせて保管しておきます。

社外から社内に入る場合は、入口をどこに置くかで分け方が変わります。VPNでつなぐ端末を、社内の全区画に入れるのか、必要な区画だけに絞るのかは、VPNのページの考え方が参考になります。分離の設定や運用にかかる費用は、費用の相場のページで、機器の追加と作業のどちらに金額が出るのかを確かめられます。全体の流れはネットワーク構築の流れにあります。