はじめに
社内ネットワークでは、部署やシステムごとにVLANを分け、ACLで不要な通信を遮断する構成がよく使われています。
例えば、営業部、経理部、サーバーを別々のVLANに配置し、業務で利用する通信だけを許可する方法です。
ここで気になったのが、こうした対策をしていれば、社内端末が攻撃された場合でも被害の拡大を防げるのか、という点です。
さらに、複数のVLANを1台のL3スイッチで管理している場合、そのスイッチ自体が侵害されたらどうなるのでしょうか。
今回はVLANとACLの役割を確認しながら、マイクロセグメンテーションと管理プレーンの分離について調べてみました。
1. VLANとACLでどこまで通信を制限できる？
VLANを分けるだけでは通信を遮断できない
VLAN（Virtual LAN）は、物理的に同じネットワーク機器を利用しながら、論理的に複数のネットワークへ分割する技術です。
例えば、1台のL3スイッチで次のような構成を考えます。
| VLAN | 用途 |
|---|---|
| VLAN 10 | 営業部PC |
| VLAN 20 | 経理部PC |
| VLAN 30 | 社内サーバー |
| VLAN 99 | 運用LAN |
VLANごとにレイヤー2のネットワークは分離されますが、L3スイッチでVLAN間ルーティングを有効にすると、異なるVLAN間でも通信できるようになります。
そこでACL（Access Control List）を設定し、営業部から経理部への通信は拒否、営業部から業務サーバーへのHTTPS通信は許可、といった制御を行います。
通信経路とACLの適用箇所が適切に設計されていれば、同じ筐体に収容されたVLAN間でも通信を制限できます。
ただし、同じVLAN内の端末同士は、通常のVLAN間ルーティング用ACLでは制限できません。また、許可されたHTTPS通信を利用した攻撃なども考えられます。
つまり、VLANとACLは横展開攻撃を抑える有効な手段ですが、設定した範囲の外まで自動的に保護してくれるわけではありません。
マイクロセグメンテーションとは？
横展開（ラテラルムーブメント）とは、攻撃者が侵入した端末を足がかりに、別の端末やサーバーへ侵入を広げる行為です。
マイクロセグメンテーションは、こうした攻撃の広がりを抑えるため、端末やサーバー、アプリケーション単位で通信を細かく制限する考え方です。
例えば、同じ営業部のVLAN内でも、PC同士の直接通信は原則として禁止し、必要な業務サーバーとの通信だけを許可するといった設計です。
実現方法は専用製品に限られず、ホストファイアウォールやスイッチのアクセス制御機能などを組み合わせることもできます。
CISAが2025年7月29日に公開したガイダンスでも、マイクロセグメンテーションは攻撃可能な範囲を狭め、横展開を制限する手段として紹介されています。
参考：CISA：Microsegmentation in Zero Trust
2. 管理プレーンを分離すると何が変わる？
業務通信と機器の管理通信は別
ここまでは、営業部から経理部へ通信できるか、といった業務ネットワーク間の話でした。
一方、L3スイッチやルータには、SSHやHTTPSなどを利用して設定を変更するための管理機能があります。
このような管理機能を扱う部分を「管理プレーン（Management Plane）」と呼びます。
業務通信を転送するデータプレーンとは役割が異なります。
例えば、営業部PCが攻撃者に侵害されたとしても、そこからL3スイッチの管理画面やSSHへアクセスできなければ、ネットワーク機器そのものを攻撃する経路を減らせます。
そこで考えられるのが、運用LANを別のVLANとして用意する構成です。
営業部や経理部からの管理アクセスを拒否し、運用LAN内の踏み台サーバーなど、許可された管理端末からのみSSHやHTTPS接続を認めます。
ただし、運用LANを作っただけでは、管理アクセスを制限したことにはなりません。
機器自身の管理サービスに対するアクセス制御も設定し、業務LAN側の別のインターフェースIPアドレスから管理画面に接続できないかなども確認する必要があります。
また、運用LANから接続できることと、設定変更の権限があることも別の話です。
接続元はACLで制限できますが、誰が設定を閲覧でき、誰が変更できるかは、管理者の認証・認可設定で制御します。
同一筐体で分離する場合のリスク
例えば、営業LAN、経理LAN、サーバーLAN、運用LANをすべて1台のL3スイッチで管理している場合を考えます。
ACLによる制御が正常に働いていれば、営業部PCからスイッチの管理機能へアクセスすることは防げます。
しかし、そのL3スイッチの管理者権限が侵害された場合には、攻撃者がACLやルーティング設定を変更できる可能性があります。
また、機器自体に障害が発生すると、業務ネットワークと管理機能の両方が利用できなくなる可能性もあります。
このように、同じ筐体で論理分離を行う構成では、通信は分離できても、管理権限や機器の障害点は共通のままです。
物理的に独立した管理ネットワークとの違い
さらに分離を強める方法として、OOB（Out-of-Band）管理があります。
OOB管理は、業務通信とは別の経路を使ってネットワーク機器を管理する方法です。
例えば、L3スイッチの専用管理ポートを、業務LANとは別の管理用スイッチへ接続します。
これにより、業務ネットワークのルーティングやACLに問題が発生した場合でも、管理経路が利用できれば機器へアクセスして復旧作業を行えます。
NSAのガイダンスでも、物理的に分離したOOB管理が、より強い管理ネットワーク分離の方法として紹介されています。
一方、専用の管理ネットワークや機器を追加するため、構築・保守のコストは増えます。
また、物理的に管理経路を分けても、管理対象の機器本体が故障した場合や、管理者の認証基盤が共通で侵害された場合には影響が残ります。
物理分離はリスクを減らす対策であって、機器そのものを完全に保護する仕組みではありません。
参考：NSA：Performing Out-of-Band Network Management
2026年9月のガイダンスでも管理ネットワークの分離を推奨
オーストラリアのサイバーセキュリティ当局は、2026年9月に更新したInformation Security Manualで、ネットワーク機器などの管理インターフェースを専用の管理ネットワークからのみ利用できるようにする制御を追加しています。
また、同月19日に公開した「Network segmentation and segregation – Anti-patterns」では、共通の管理基盤が複数のネットワークにアクセスできる構成を、分離を弱める要因の一つとして挙げています。
管理用の経路を作っていても、その経路が侵害されれば、複数のネットワークへ被害が広がる可能性があります。
参考：Australian Cyber Security Centre：Network segmentation and segregation – Anti-patterns
3. 実際のネットワークではどう設計する？
業務通信と管理通信を分けて考える
今回調べた内容を踏まえると、ネットワークの通信制御には大きく2つの視点があります。
一つは、業務ネットワーク間の不要な通信を制限することです。VLANとACL、必要に応じたマイクロセグメンテーションなどが該当します。
もう一つは、ネットワーク機器そのものを管理できる経路や端末を制限することです。運用LANの分離、管理VRF、OOB管理などが該当します。
管理VRFは、管理用のルーティング情報を業務通信とは別に保持する仕組みです。ただし、同じ物理回線を使用している場合には、物理的な独立性まで得られるわけではありません。
両者を組み合わせることで、例えば営業部PCが侵害された場合に、別部署の端末への通信だけでなく、ネットワーク機器の管理機能へのアクセスも制限できます。
運用LANにもアクセス制御が必要
運用LANからの管理アクセスを許可する場合でも、すべての端末に同じ権限を与える必要はありません。
例えば、管理端末から踏み台サーバーへ接続し、そこから対象のL3スイッチへSSH接続する構成が考えられます。
さらに、TACACS+などを利用して管理者ごとに操作権限を分ければ、設定の閲覧だけを許可する担当者と、設定変更が可能な担当者を区別できます。実現できる権限の粒度は機器や認証基盤によって異なります。
設定変更の記録を外部へ保存しておけば、意図しない変更が行われた際にも調査しやすくなります。
ただし、踏み台サーバーが侵害されれば、そこから管理可能な機器へ影響が広がる可能性があります。
運用LANだから無条件に信用するのではなく、アクセスできる端末、管理者の権限、操作履歴まで含めて考えることになります。
分離したことで管理できなくなるケースもある
もう一つ考えておきたいのが、障害時の運用です。
例えば、運用LANからのSSH接続だけを許可した場合、ACLの設定ミスによって正規の管理端末まで接続できなくなる可能性があります。
また、管理者認証を外部の認証サーバーに依存している場合、そのサーバーが停止すると機器へログインできなくなることも考えられます。
こうした問題に備えるには、管理経路の冗長化、厳重に保護された非常用アカウントやコンソール接続、設定変更前のバックアップなども検討対象になります。
VLANやACLによる分離を強めるほど、正常な管理通信まで止めないよう、実際の経路や依存関係を把握しておくことが欠かせません。
まとめ
VLANとACLを組み合わせれば、同じ筐体でもネットワーク間の通信を制限できます。横展開攻撃を抑えるうえで、十分に意味のある対策です。
ただし、同じVLAN内の通信や許可済み通信の悪用など、ACLだけでは対応できない範囲もあります。マイクロセグメンテーションは、そうした通信をより細かく制御するための考え方です。
また、ネットワーク機器の管理機能に対するアクセスは、業務通信とは分けて考える必要があります。
専用の運用LANを設け、管理アクセス元を制限すれば、一般端末が侵害された場合にも、スイッチやルータへの攻撃経路を減らせます。
一方、同一筐体での論理分離には、管理権限や機器障害の共通リスクが残ります。機密性や可用性の要求が高い環境では、物理的に独立したOOB管理も選択肢になります。
今回調べてみて、ネットワークを分離するときは、単にVLAN間の通信可否を考えるだけでなく、その通信を制御する機器自体を、誰がどこから管理できるのかまで設計に含めるべきだと感じました。
参考資料
- CISA：Microsegmentation in Zero Trust（2025年7月）
- CISA：Enhanced Visibility and Hardening Guidance for Communications Infrastructure
- NSA：Performing Out-of-Band Network Management
- Australian Cyber Security Centre：Guidelines for networking（2026年9月）
- Australian Cyber Security Centre：Guidelines for system management（2026年9月）
- Australian Cyber Security Centre：Network segmentation and segregation – Anti-patterns（2026年9月）
- NIST：Zero Trust Architecture（SP 800-207）