社内ネットワーク

「ネットにつながらない」は、情シスによく来る問い合わせです。PC がネットワークにつながるまでには、IP アドレスをもらう・外への出口を知る・名前を引く・外に出る、といういくつもの段階があり、どこで止まっているかで直し方がまったく違います。

ここでは、その段階を支える仕組みと、社内 LAN の機器の役割を押さえます。VLAN は、同じスイッチにつながった機器を、設定で別々のネットワークに分ける仕組みです（社員用・ゲスト用・プリンター用など）。

社内 LAN では、PC は電源を入れると DHCP サーバーから IP アドレス・サブネットマスク・デフォルトゲートウェイ（外へ出る出口のルーター）・DNS サーバーを受け取ります。社内宛て以外の通信はゲートウェイに送られ、ファイアウォールで NAT されてインターネットに出ます。

NAT とグローバル IP・プライベート IP

DHCP の仕組み（SRE の解説）

下の「ブラウザで試す」の図では、PC が DHCP の Discover・Offer・Request/Ack で IP をもらい、ARP でゲートウェイの MAC アドレスを調べ、社内 DNS で名前を引き、ゲートウェイで NAT されて外に出るまでを、順に追えます。IP がもらえないと 169.254.x.x になること、社内 DNS は同じ LAN にいるのでゲートウェイを通らないことに注目すると、上の表の「止まると『ネットにつながらない』に見える」の意味が分かります。

VLAN は、1台のスイッチの中を仮想的に別々のネットワークに分ける仕組みです。用途ごとに分けておくと、ウイルスに感染した機器やゲストの PC から社内の大事な機器へ届かなくなり、問題が起きたときの範囲も小さくなります。

落とし穴：/24 で使えるのは 254 台です。社員の PC・スマホ・タブレットが同じ VLAN に入ると、人数の2〜3倍の IP が必要になり、DHCP の範囲が足りなくなります（新しい端末だけつながらない）。リース期間が長すぎるとゲストの端末が IP を占有し続けるので、ゲストは短め（数時間）にします。拠点の IP の範囲は、ほかの拠点や VPN・クラウドと重ならないように最初に決めます。

スイッチどうしや無線 AP とつなぐポートは、複数の VLAN を1本のケーブルで運ぶトランクポートにし、フレームに VLAN の番号のタグ（IEEE 802.1Q）を付けます。PC をつなぐポートは、1つの VLAN だけに属するアクセスポートにします。VLAN の間の通信は L3 スイッチかファイアウォールを通るので、そこで ACL を書いて止めます。

オフィスの LAN の中心は L2 スイッチです。IP アドレスではなく MAC アドレス（ネットワークの部品ごとの番号）を見て、届いたフレーム（L2 の単位のデータ）を正しいポートだけに送ります。

管理できるスイッチ（マネージドスイッチ）なら、表を見て「この PC はどのポートにつながっているか」を調べられます。例えば Cisco なら show mac address-table、多くの機種で同じような表示コマンドがあります。IP から MAC は、ゲートウェイの ARP の表で調べます。

ブロードキャストは「同じネットワークの全員へ」の宛先（MAC は ff:ff:ff:ff:ff:ff）で送る通信です。相手の場所が分からないときに使います。届く範囲をブロードキャストドメインと言い、ふつうは 1つの VLAN（1つのサブネット）です。

ブロードキャストは受け取った全員の機器が中身を確かめるので、1つの VLAN に台数が多すぎると、それだけで帯域と機器の処理を使います。目安として1つの VLAN は数百台までにし、用途やフロアで分けます（VLAN で社員・ゲスト・機器を分ける）。ブロードキャストはルーター（L3 スイッチ）を越えないので、DHCP サーバーが別の VLAN にあるときは、L3 スイッチの DHCP リレー（ip helper-address など）で中継します。

スイッチどうしが輪（ループ）になるようにつながると、ブロードキャストが輪を回り続けます。IP には寿命（TTL）があり、ルーターを通るたびに減って消えますが、L2 のフレームには寿命がないので消えません。しかもスイッチは全ポートへ送るので、回るたびに増えます。これがブロードキャストストームで、数秒〜数十秒でフロアや拠点の全員が通信できなくなります。

よくある原因

• 会議室の床の LAN ポート2つを、1本のケーブルでつないでしまう
• 机の下の小さなハブ（スイッチ）から、壁のポートに2本つないでしまう
• 冗長化のつもりで2本目をつないだが、スパニングツリーが無効だった
• 電話機や PC のブリッジ機能（PC の LAN と Wi‑Fi をつなぐ設定など）

症状と探し方

まずは直前に何をつないだかを聞き、怪しいケーブルを抜くと止まります。分からなければ、スイッチのアップリンク以外のポートを順に切り離して範囲を絞ります。再発防止は、次のスパニングツリー（STP）とループ対策です。

「ネットワークが遅い」の原因には、ほかに輻輳（回線や機器の能力いっぱいまで通信が集中して、パケットが待たされたり捨てられたりする状態）もあります。輻輳は特定の回線・時間帯に起き、ループのように「全員が急に、まったく通信できない」状態にはふつうなりません。

スパニングツリー（STP）は、スイッチどうしが BPDU という制御用のフレームをやりとりして、輪になっている所を見つけ、1か所のポートをブロックして輪をなくす仕組みです。ケーブルを2本つないで冗長化しても、ふだんは1本だけを使い、使っている線が切れたら予備を開けて迂回します。

ループ対策の設定（PC をつなぐポート）

名前やコマンドはメーカーによって違います（例：Cisco の spanning-tree portfast・bpduguard、他社ではエッジポート・ループ検知など）。新しいスイッチを入れるときは「STP が有効か」「ルートブリッジはどれか」「PC 用ポートに BPDU ガードかループ検知が入っているか」を確かめます。

社員の PC やスマホは、社内ではそれぞれ別の IP アドレスを持っていますが、インターネットの側から見ると、会社全体が1つ（か少数）のアドレスに見えます。この書き換えをしているのが NAT です。

情シスの実務では、SaaS の IP アドレス制限の設定、拠点や在宅からの「つながらない」の切り分け、公開サーバーや VPN 機器を外から使えるようにする設定で、NAT の理解が必要になります。

IPv4 のアドレスは足りないので、社内ではプライベート IP（10.0.0.0/8・172.16.0.0/12・192.168.0.0/16）を使い、インターネットに出るときにルーターやファイアウォールが会社のグローバル IP に書き換えます。これが NAT です。多くの PC で1つのグローバル IP を共有するときは、ポート番号も書き換える NAPT（IP マスカレード）を使います。

知っておくこと：NAT は外から社内に入れない「副作用」があるだけで、セキュリティの機能ではありません（守るのはファイアウォールのルール）。SaaS の「IP アドレス制限」に登録するのは、会社のグローバル IP です。在宅や回線の変更でグローバル IP が変わると、IP 制限の SaaS に入れなくなります。

下の「ブラウザで試す」の図の最初の2つの手順が、このトピックの話です。社員の PC（10.10.0.23）が外のサイトを見るとき、UTM が送信元を会社のグローバル IP とポート番号に書き換えて対応表に覚える様子（NAPT）と、外から会社の 443 番に来た通信を DMZ の公開サーバーへ、宛先だけ書き換えて渡す様子（ポートフォワード）を、パケットの中身で確かめられます。3つ目の手順では外から社内 LAN へは届かない様子を見られますが、上の「知っておくこと」のとおり、通信を止めているのはファイアウォールのルールです。

PC は名前（fileserver.corp.example.co.jp・example.com）を IP に変えるとき、DHCP で教わった社内の DNS サーバーに聞きます。社内の DNS サーバーは、社内の名前なら自分で答え、外の名前なら外部の DNS（フォワーダーやインターネットの DNS）に問い合わせて答えを返し、しばらく覚えて（キャッシュ）おきます。

落とし穴：DNS のレコードを変えても、古い答えがキャッシュに残る間（TTL の秒数）は前の IP に行きます。サーバーの移行の前には TTL を短くしておきます。社内の名前が引けないときは nslookup 名前 DNSサーバーのIP で、聞く先の DNS を変えて比べると原因を絞れます。

DNS の名前解決の流れ（SRE の解説）

社内 Wi‑Fi は、社員の PC・スマホ・会議室の機器・来客の端末がつながる、社内ネットワークのいちばん入りやすい入口です。全員が同じパスワードで入れる作りのままだと、退職者や来客がパスワードを知っているだけで社内に入れてしまいます。

「誰がつないだか分かる」「止めたい人を止められる」ようにするのが、情シスが Wi‑Fi を設計するときの要点です。

Wi‑Fi のつなぎ方には、全員が同じパスワードを使う PSK（WPA2/WPA3‑Personal）と、人や端末ごとに認証する 802.1X（WPA2/WPA3‑Enterprise）があります。802.1X では、AP が認証を RADIUS サーバーに問い合わせ、RADIUS が IdP や証明書を見て「この人・この端末は入ってよいか」を決めます。

ゲスト用は社員用とは別の SSID・別の VLAN にし、インターネットだけに出られるようにします。パスワードは定期的に変えるか、受付で発行する期限つきの方式（キャプティブポータル）にします。

下の「ブラウザで試す」の図では、PC が SSID「corp」につなぐと、最初は認証用の通信（EAPOL）だけが通り、AP が RADIUS サーバーに中継し、EAP-TLS で証明書を確かめて Access-Accept と VLAN の指示が返り、AP と PC が暗号化の鍵を作ってから、やっと DHCP で IP をもらう、という順に進みます。認証が通るまで AP がふつうの通信を通さない点と、VLAN が RADIUS の判断で決まる点（上の表の「VLAN」の行）に注目してください。

方式は大きく2つです。EAP‑TLS は端末に配ったクライアント証明書で認証し、パスワードを使わないので最も安全です。PEAP（MSCHAPv2） は ID とパスワードで認証し、導入は簡単ですがパスワードを盗まれる危険が残ります。

• 証明書は MDM（Intune・Jamf など）で配るのが基本です。MDM が SCEP などの仕組みで端末ごとに証明書を発行させ、Wi‑Fi の設定（SSID・方式・信頼する RADIUS の証明書）と一緒に入れます。社員は何もしなくてもつながります。
• MDM に入っていない私物の端末には証明書が配られないので、自然と社員用 SSID に入れなくなります（私物はゲスト用へ）。
• 証明書には期限があります。自動で更新されるか、期限切れの前に気づける仕組みを用意しないと、ある朝いっせいにつながらなくなります。
• 端末側で「RADIUS サーバーの証明書を確認する」設定を必ず入れます。確認しない設定だと、同じ SSID の偽の AP にパスワードを盗まれます。

支社・工場・データセンターがある会社では、拠点どうしをつなぐネットワークが止まると、支社から本社の業務システムやファイルサーバーが使えなくなります。回線の方式・費用・二重化は、情シスが選んで管理することが多い部分です。SaaS の利用が増えてからは、「全部の通信が本社を通って混む」という問題も増えています。

LAN は1つの建物の中、WAN（Wide Area Network）は本社・支社・データセンター・クラウドといった離れた拠点をつなぐネットワークです。通信事業者の回線を借りてつなぎます。

運用のポイント：回線は2本（別の事業者・別の経路）にして自動で切り替える。拠点ごとの IP の範囲（10.10.0.0/16・10.30.0.0/16 など）が重ならないように最初に設計する（重なると拠点間でつなげない）。Microsoft 365・Zoom などの通信を全部本社経由にすると本社の回線が詰まるので、SaaS は拠点から直接出すことを検討する。

下の「ブラウザで試す」の図では、本社と支社のルーターがインターネット越しに IPsec のトンネルを作り、支社の PC から本社のファイルサーバーへのパケットを暗号化して包んで送る様子を見られます。続いて、回線が切れると支社から本社のシステムが使えなくなること、SD-WAN で SaaS 宛ては支社から直接出す（ローカルブレイクアウト）ことが出てきます。図の拠点の IP の範囲（10.10.0.0/16 と 10.30.0.0/16）が重なっていない点も、上の「運用のポイント」のとおりです。

Syslog は、ネットワーク機器やサーバーがログをネットワーク越しに送るための標準の仕組みです。ファイアウォール・スイッチ・Wi‑Fi のコントローラ・NAS など、多くの機器が Syslog の送信先を設定できます。機器の中に残るログは容量が小さく、再起動や上書きで消えることが多いので、1か所の収集サーバーに集めて保管するのが基本です。

運用のポイント：全機器の時刻を NTP で合わせる（ずれていると、障害や攻撃の時系列が追えない）。収集サーバーは管理用のネットワークに置き、送信元を機器の IP に限る。ディスクがいっぱいでログが止まらないよう、保存期間と容量を決めて監視する。ログが届かなくなったことにも気づけるようにする（機器ごとの最終受信時刻を見る）。

何のログを集めるか・SIEM とアラートの設計

1行の Syslog には、先頭に PRI（ファシリティと重大度をまとめた数字）、時刻、機器名、プログラム名、本文が並びます。PRI を見れば、収集側で「Error 以上だけ通知する」「local4 はファイアウォール用のファイルへ」のように振り分けられます。

試すときは、Linux の logger コマンドで自分でログを送れます（例：logger -n 収集サーバー -P 514 -p local0.warning "テスト"）。届かないときは、収集サーバーのファイアウォール、機器の送信元 IP、UDP か TCP かの食い違いを確かめます。

ネットワーク機器は、ログ（Syslog）だけでなく、状態と通信量も見ます。「回線が遅い」「ときどき切れる」といった問い合わせは、どれかひとつだけでは原因が分からないことが多いからです。

監視の道具は、Zabbix・PRTG などのオンプレの監視ソフト、クラウドの監視サービス、機器メーカーのクラウド管理（Meraki など）があります。どれを使う場合も、「回線の使用率が 80% を超えたら」「主要なスイッチのリンクが落ちたら」のように、気づきたいことからアラートを決めます。

「ネットにつながらない」は原因がいろいろです。下の層から順に、どこまでは届いているかを確かめると早く絞り込めます。最初に「その人だけか、フロア全員か」「有線か Wi‑Fi か」「どのサイト・アプリが使えないか」を聞くと、半分くらいは見当がつきます。

ping は機器の設定で返事をしないことがあるので、ping が通らないだけで「つながらない」とは決めません。

下の演習では、DHCP の範囲が足りなくなって新しい端末だけつながらない障害を切り分けられます。

切り分けの手順と合わせて、よくある症状と疑う原因の組み合わせを覚えておくと、最初の質問で見当がつきます。

原因の見当がついても、直す前に「直前に何を変えたか（設定・機器・回線の工事）」を確かめると、早く戻せることがよくあります。