802.1q対応で実現！IoT機器をメイン機から切り離す方法

「スマート電球が、あなたのプライベートなデータを盗み出す入り口になるかもしれない」

もし、あなたがスマートホーム化を進めているなら、一度は耳にしたことがあるかもしれません。便利なデバイスが増えるほど、ネットワークの隙間は広がっていきます。

本記事では、セキュリティのプロが実践する「VLANによるIoT機器の隔離」について解説します。

この記事の要点 * VLANによるセグメンテーションで、脆弱なIoT機器をメイン端末（PCやNAS）から物理的・論理的に切り離します。 * 構築には、VLANタグ（802.1q）に対応したマネージドスイッチと、VLAN間ルーティングが可能なルーター/ファイアウォールが必要です。 * 目的は、IoT機器の通信を「インターネットへの接続」のみに限定し、ネットワーク内での横展開（ラテラルムーブメント）を防ぐことです。

なぜIoT機器の隔離は「必須」なのか？

静まり返った深夜の寝室で、スマートスピーカーの小さなLEDが不自然に明滅し、指先に冷たい汗がにじむ。

深夜、リビングのスマートスピーカーが突然、外部のサーバーと大量の通信を行っている様子を想像してください。

スマートホーム機器は、私たちの生活を便利にする一方で、セキュリティ面では非常に脆い側面を持っています。カメラ、スマートプラグ、スマートスピーカーなどは、ファームウェアの更新が滞りがちであったり、初期設定のパスワードが脆弱であったりすることが珍しくありません。

かつて世界中で猛威を振るったMiraiボットネットのような攻撃では、セキュリティの甘いIoT機器が踏み台にされ、大規模なサイバー攻撃の軍隊へと変貌しました。

もし、セキュリティの甘いスマート家電がメインのLAN（ローカルエリアネットワーク）に接続されていたらどうなるでしょうか。攻撃者がその家電を乗っ取った瞬間、同じネットワーク内にあるあなたのノートPCや、大切な写真が詰まったNASへの侵入経路が確保されてしまいます。これが「ラテラルムーブメント（横展開）」の脅威です。

また、大量のIoT機器が接続されることで、ブロードキャスト通信によるネットワークの混雑（トラフィックの増大）が発生し、メインの通信品質を低下させる原因にもなります。

これらを防ぐための最も強力な手段が、ネットワークを論理的に分割する「VLAN」の構築です。 ## 構築前に準備すべきもの：ハードウェアと概念の整理

作業に取り掛かる前に、まず手元にある機材が「プロ仕様」の要件を満たしているかを確認する必要があります。

一般的な家庭用ルーター（単一のLANのみを持つもの）では、VLANによる高度な隔離は不可能です。以下の要件を満たす機材が必要です。

1. VLAN対応ルーター/ファイアウォール: VLAN間の通信を制御（Inter-VLAN routing）し、ファイアウォールルールを適用できるもの。 2. マネージドスイッチ: 802.1q規格のVLANタグを扱えるスイッチ。 3. IP設計図: ネットワークの住所（サブネット）を事前に決めておくこと。

例えば、以下のような設計を検討します。

このように、用途ごとに「箱」を分けるイメージです。これらを実現するためには、スイッチのポートごとにどのVLANに属するかを指定できる「タグ付け」の概念を理解しておく必要があります。 ## 実践：セキュアなIoT VLANの構築ステップ

準備が整ったら、実際にネットワークの壁を築いていきましょう。

まず、スイッチの設定画面を開き、新しいVLAN ID（例：Vless 20）を作成します。次に、IoT機器を接続する予定の物理ポートを、このVLAN 20に割り当てます。これにより、そのポートに刺した機器は、自動的に隔離されたネットワークへと導かれます。

次に重要なのが、ルーター側での「ゲートウェイ」の設定です。新しいサブネット（192.168.20.0/24など）に対して、ルーターが通信の出口として機能するように設定します。

そして、最も重要で、かつ最も慎重に行うべきステップが「ファイアウォールルール（ACL）」の設定です。

基本方針は「Default Deny（すべて拒否）」です。

1. IoT VLANからMain VLANへの通信: 完全に遮断します。 2. Main VLANからIoT VLANへの通信: 必要な場合のみ（例：スマホから家電の操作）許可します。 3. IoT VLANからインターネットへの通信: 機器の動作に必要なポートのみを許可します。

このように、通信の方向を一方通行に制御することで、万が一IoT機器が感染しても、攻撃者がメインのPCへと侵入することを防げます。 ## プロの領域：さらに強固なセキュリティへ

基本的な隔離ができたら、次は「プロレベル」のハードニング（要塞化）に挑戦しましょう。

まず意識すべきは「アップリンク攻撃」の防止です。IoT VLANからメインのネットワークへ向かう通信は、たとえ許可された通信であっても、可能な限り最小限のポートに絞るべきです。

次に「DNSの制御」です。IoT機器が勝手に怪しいドメインへ通信（Phoning home）するのを防ぐため、IoT VLAN専用のDNSサーバーを指定したり、セキュリティ機能付きのDNS（Quad9やCloudflare 1.1.1.1など）を使用するように強制したりします。

また、通信の優先順位も重要です。スマートカメラの動画通信が帯域を占有して、大事なビデオ会議が途切れるのを防ぐため、QoS（Quality of Service）を設定して、メインの通信を優先するように調整します。

最後に、ログの監視です。IoT VLAN内での異常な通信パターン（大量のパケット送信や、未知のIPへの接続試行）を検知できるよう、ログを蓄積・分析する環境を整えておくと、侵入の兆候をいち早く察知できます。 ## 構築後の検証：正しく隔離されているか？

壁を作った後は、その壁が本当に機能しているかをテストしなければなりません。

まず、IoT VLANに接続した端末から、メインのPCに対して「ping」を飛ばしてみてください。もし応答が返ってきてしまったら、ファイアウォールルールが不完全です。

次に、逆にメインのPCからIoT機器への通信を試します。スマートフォンのアプリから家電が操作できるかを確認します。これができなければ、利便性が損なわれています。

以下のチェックリストを用いて、設定の整合性を確認してください。

1. 隔離の確認: IoT端末からメインLANの端末へ通信が届かないか？ 2. インターネット接続の確認: IoT端末は、クラウドサービスへの通信ができているか？ 3. 双方向性の確認: メイン端末からIoT端末への操作（制御）はスムーズに行えるか？ 4. 情報の漏洩防止: IoT端末が、意図しないサブネットへ通信しようとしていないか？

もし、スマート家電の操作ができなくなってしまった場合は、ファイアウォールルールで「Established/Related（確立済み/関連通信）」の通信を許可しているかを見直してください。