家庭ラボのVLAN分離は、SSIDを増やす前に「管理端末の到達範囲」を決める

2026-06-202026-06-25

機器は増えたが、どこから何へ入れるのか説明できない

NAS、Home Assistant、監視カメラ、スマート家電、来客用の端末。これらが一つの家庭内ネットワークに同居している状態は、家庭ラボでは珍しくありません。機器が増えるほど「そろそろ分けたい」と感じる一方で、分けた直後にNASの共有フォルダへ入れなくなったり、ルーターやNASの管理画面へ到達できなくなる、という不安もあります。

この記事は、分離そのものを目的にしません。先に決めるのは「どの端末から、NASや管理画面へ入れて良いのか」「どの端末からは入れてはいけないのか」という到達範囲です。SSIDやVLANを増やす作業は、その範囲が決まってから手を動かす方が、後戻りが少なくなります。

VLANを増やす前に、管理端末の居場所を決めます

VLAN(IEEE 802.1Q)は、イーサネットフレームにVLANタグを付け、同じ物理スイッチや配線の上で複数のネットワークを論理的に分ける仕組みです(OpenWrt公式ドキュメント)。ただし、ここで誤解されやすい点があります。VLANによるレイヤ2の分離だけでは、異なるVLAN間のIP通信が自動的に遮断されるわけではありません。VLAN間でどこへ到達できるかは、ルーターやファイアウォールのルールで決まります(OPNsense公式ドキュメント)。

つまり「VLANを作った=分離できた」ではなく、「VLANを作り、到達ルールを書いた=分離できた」が正確です。OpenWrtやOPNsenseの公開ドキュメントも、VLANやゲストネットワークをファイアウォールルールと組み合わせて設計する前提で書かれています。

そこで最初に決めるべきは、設定変更や復旧の操作を行う「管理端末」をどのネットワークに置き、その管理端末からどこまで届かせるか、です。管理端末を別VLANへ分離する設計自体は妥当ですが、ファイアウォールルールを誤ると、管理画面そのものへ到達できなくなる(ロックアウト)リスクが生まれます。管理端末の到達範囲を先に確定させ、後述の復旧経路を確保しておくことが、分離作業の前提になります。

ゲストWi-FiとVLANは、同じ分離ではありません

「ゲストWi-Fiがあるから分離は済んでいる」と考えると、想定とずれることがあります。両者は役割が異なります。

ゲストWi-Fiは、主にクライアント同士の通信を遮断(クライアント間隔離)し、インターネット向けの通信だけを簡易に許可する機能です。来客端末を主要機器から切り離す用途に向きます。
VLANは、ネットワークそのものを分割し、VLAN間の到達範囲をルールで制御する仕組みです。IoT用・管理用・通常端末用といった区分を設け、それぞれが何へ届くべきかを設計できます。

この二つは排他ではなく、組み合わせて使えます。来客端末はゲストWi-Fiで隔離し、IoT機器や管理端末はVLANで区分する、という併用が自然です。なお、ゲストWi-Fiのクライアント間隔離の有無や既定設定は製品ごとに異なるため、お使いの機器で実際の挙動を確認してください。UniFiのように「Virtual Networks」という名称でVLANを扱う製品もあります(Ubiquiti公式ヘルプ)。

どれを選ぶか:四つの方針の比較

家庭ラボで取り得る方針を、管理のしやすさと到達制御の観点で並べます。

方針	管理しやすさ	誤接続時の影響範囲	NAS・管理画面への到達制御	来客・家族端末の扱い	復旧時に管理画面へ戻れるか
単一LANのまま運用	高い(構成が単純)	広い(全機器が相互到達しうる)	端末側・サービス側の認証に依存	同一LANに同居	戻りやすい(分離がない)
ゲストWi-Fiで分ける	高い	来客端末は隔離、内部は単一のまま	内部機器間は未制御	来客端末を簡単に隔離	戻りやすい
VLANでIoT・管理・通常を分ける	中(ルール設計が必要)	狭くできる(区分ごとに限定)	ルールで明示的に制御	区分を分けて柔軟に扱える	ルール次第(復旧経路の確保が前提)
VLANを使わず認証を強める	高い	広い(到達は可能)	アクセスは到達後の認証で防ぐ	同一LANに同居	戻りやすい

どれが正解かは環境によります。機器が少なく、サービス側の認証を確実に管理できるうちは、単一LANに認証強化を足す方針でも実害は小さく済みます。一方、IoT機器や検証用端末が増え、「どこから何に入れるのか説明できない」状態に近づいているなら、VLANで区分し到達範囲を明文化する価値が出てきます。

家庭ラボで最初に分けるべき通信、残すべき通信

どのVLANにどの機器を割り当てるかの具体的な正解は、環境依存です。公開ドキュメントも一般原則しか示しません。ここでは断定ではなく、到達範囲を決めるための考え方として整理します。

まず「到達してほしい経路」と「到達してほしくない経路」を表にします。下表は雛形です。お使いの構成に合わせて、許可・遮断の欄を埋めてください。

送信元(どの端末・区分から)	宛先(NAS/管理画面/インターネット等)	望ましい状態
管理端末	ルーター・NAS・各機器の管理画面	許可
通常端末(PC・スマホ)	NASの共有・必要なサービス	限定的に許可
IoT機器・監視カメラ	インターネット(必要な範囲)	必要なら許可
IoT機器・監視カメラ	NAS・管理画面	原則遮断
来客端末	内部機器すべて	遮断(インターネットのみ)

最初に分ける優先度が高いのは、外部と通信しがちで台数も増えやすいIoT機器・監視カメラの区分と、来客端末です。逆に、管理端末はどこかへ「届かせる」側なので、安易に隔離だけして到達ルールを書き忘れると、管理ができなくなります。

別セグメントに置くと不便になること:ローカル機器探索(mDNS)

分離を進めると、利便性が下がる箇所も出ます。代表例がローカル機器探索です。

mDNS/Bonjourなどの探索プロトコルはマルチキャストに依存し、デフォルトではサブネットやVLANの境界を越えません(RFC 6762)。そのため、NASやHome Assistant連携機器を別セグメントに置くと、自動検出されず手動でIPアドレスを指定する必要が出たり、連携アプリが機器を見つけられない、という不便が起きます。

境界を越えて探索させたい場合は、mDNSリフレクタ/リピータ(Avahi等)の設定が必要になることがあります。ただし、どの範囲で反射させるかは構成依存で、反射範囲を広げすぎると分離の意味が薄れます。具体的な設定はハンズオン検証が必要な領域なので、本記事では「別セグメント化すると自動検出が効かなくなる場合がある」という前提の共有にとどめます。

ロックアウトを避ける:復旧経路を先に用意する

分離設計で最も避けたいのは、管理画面へ二度と入れなくなる状態です。ファイアウォールルールの順序や対象を誤ると、適用した瞬間に自分が締め出されることがあります。

手を動かす前に、次のような復旧経路を一つは確保しておくことをおすすめします。

物理的に直結できるポートや、コンソールアクセスの手段を把握しておく。
ルール適用前の設定をバックアップし、戻せるようにしておく。
一部の機器が持つ、一定時間内に確定操作をしないと自動で元へ戻す機能を使う。

なお、各機器(OpenWrt/OPNsense/UniFiなど)のVLAN間遮断やゲストネットワークの既定挙動、ルールの記述順は、ファームウェアやバージョンで異なります。実際に設定する際は、お使いのバージョンの公式ドキュメントで挙動を確認してください。

分離した後に必ず行う疎通テスト

分離は「設定した」で終わらせず、「狙い通りか」を確認するまでが作業です。確認の観点は二方向あります。

到達すべき経路が届くか:管理端末から各管理画面へ、通常端末から許可したNAS共有へ、実際に接続できるか。
到達すべきでない経路が遮断されているか:IoT区分や来客端末から、NASや管理画面へ「届かないこと」を確かめる。

遮断側の確認を省くと、「分離したつもりで主要データへ届く」状態が残ります。具体的なテスト手順(到達確認や特定ポートへの接続可否の確認など)は、構成や機器によってコマンドや手段が異なるため、お使いの環境や公式ドキュメントに沿って実施してください。本記事では、両方向を必ず確認するという観点の提示にとどめます。