レッスン3：社内ネットワーク運用——LAN・VPN・DNS・Wi-Fi

このレッスンで学ぶこと

社内 LAN の VLAN 分割と IP アドレス設計の基本を語れる
DNS／DHCP の運用（社内解決・分割 DNS）の考え方を理解できる
拠点間 VPN（IPsec・SD-WAN）の選定軸を判断できる
Wi-Fi AP キッティング（SSID 分割・電波設計）の要点を挙げられる
ゼロトラスト移行判断の 3 前提を持ち帰れる

前レッスンではアカウント運用を扱いました。本レッスンでは、社内ネットワークの運用に踏み込みます。クラウドと利用者側のネットワークは既刊 IT 基礎系入門で扱うため、本コースは「オンプレ社内ネットワークの運用手順」に振り切ります。

社内 LAN の基本設計

社内 LAN（Local Area Network）は、オフィス内の機器（PC・プリンタ・サーバー・IoT 機器）を有線・無線で接続するネットワークです。中堅企業では、次の 3 つの設計要素が中心になります。

VLAN（Virtual LAN）分割
IP アドレス設計
出口（インターネット接続）の設計

VLAN 分割の考え方

VLAN は、物理的には 1 つのネットワーク機器の上で、論理的に複数のネットワークを分ける仕組みです。目的別・部署別・機器種別で VLAN を分けることで、セキュリティと管理性を高めます。

flowchart TB
  A[物理スイッチ] --> B[VLAN 10<br/>従業員 PC]
  A --> C[VLAN 20<br/>ゲスト Wi-Fi]
  A --> D[VLAN 30<br/>サーバー・プリンタ]
  A --> E[VLAN 40<br/>IoT・監視カメラ]

VLAN 分割の代表的なパターン：

VLAN 10：従業員 PC：業務利用の従業員 PC・スマートフォン
VLAN 20：ゲスト Wi-Fi：来客・パートナー用（社内リソースからは分離）
VLAN 30：サーバー・プリンタ：社内サーバーや複合機
VLAN 40：IoT・監視カメラ：セキュリティカメラ、入退室管理、環境センサー

VLAN 間の通信はルーターまたは L3 スイッチで制御し、必要な通信だけを許可します。

IP アドレス設計

社内で使う IP アドレスの範囲は、RFC 1918 で定められたプライベート IP 空間から選びます。

10.0.0.0/8（1,677 万アドレス）
172.16.0.0/12（100 万アドレス）
192.168.0.0/16（65,536 アドレス）

中堅企業では 10.0.0.0/8 のうち、拠点別・VLAN 別にサブネットを切って運用するのが一般的です。

例：本社（10.10.0.0/16）と大阪支社（10.20.0.0/16）

本社従業員 PC：10.10.10.0/24（最大 254 台）
本社サーバー：10.10.30.0/24
大阪支社従業員 PC：10.20.10.0/24
大阪支社サーバー：10.20.30.0/24

拠点コード（本社 10、大阪 20、名古屋 30 など）と用途コード（PC 10、Wi-Fi 20、サーバー 30 など）の 2 桁を組み合わせる設計にすると、拠点追加・用途追加への拡張性が高まります。

💡 ポイント IP アドレス設計は、社内 IP アドレス台帳（Excel でも Notion でも可）で管理します。誰がどの IP を使っているか、どの範囲が空きかを可視化できないと、拠点追加や新規機器導入で衝突が発生します。

DNS・DHCP の運用

社内ネットワークでは、DNS（Domain Name System）と DHCP（Dynamic Host Configuration Protocol）が両輪で動きます。

DNS の役割

社内名前解決：file-server.corp.example.com → 10.10.30.5 のような社内サーバー名の解決
外部名前解決：example.com → インターネット上の IP アドレスへの解決
分割 DNS：社内からと外部からで同じドメインでも違う IP を返す設計

DHCP の役割

DHCP は、PC・スマートフォン・IoT 機器に IP アドレスを自動配布する仕組みです。手動で IP を設定する手間がなくなります。

予約：特定の MAC アドレスには常に同じ IP を割当（サーバー・プリンタなど）
動的割当：それ以外は空き IP をリース期限付きで配布（一般的なリース期限：24 時間）

運用の要点

DHCP スコープ（割当可能な IP 範囲）を VLAN ごとに設定
DNS レコードの更新は変更管理プロセスに乗せる（勝手な追加は禁止）
DNS/DHCP サーバー自体の冗長化（プライマリ・セカンダリ）

拠点間 VPN

複数拠点を持つ企業では、拠点間を安全に接続する VPN（Virtual Private Network）が必要になります。主流は 2 種類です。

IPsec VPN

伝統的な拠点間 VPN の実装。各拠点のルーターに IPsec 設定を入れて、暗号化トンネルを張ります。安定していますが、設定変更が煩雑で、拠点が増えると管理コストが増えます。

SD-WAN

Software-Defined WAN。IPsec の後継的技術で、複数の回線（光回線・LTE・5G）を統合し、アプリケーションごとの最適な経路を自動選択します。中央のコントローラーで一元管理できるため、拠点が多い企業で採用が増えています。

選定軸

拠点数（3 拠点までは IPsec、5 拠点以上は SD-WAN 検討）
回線コスト（SD-WAN は複数回線でコストが上がる）
アプリケーション（クラウド SaaS 中心なら SD-WAN の効果大）
運用体制（自社で運用するか、マネージドサービスで委託するか）

Wi-Fi AP キッティングと電波設計

社内 Wi-Fi は、オフィスの生産性に直結します。AP（Access Point）の配置と設定を型化します。

AP 配置の原則

1 AP あたりのカバレッジ：オフィス内で概ね 15〜20m 半径
チャンネル設計：隣接する AP は異なるチャンネルを使う（1/6/11 の 3 択が定番）
電波干渉：会議室のプロジェクター・電子レンジ・Bluetooth 機器との相互干渉に注意

SSID 分割

複数の SSID を用途別に分けます。

社員用 SSID：VLAN 10（従業員 PC）に接続、証明書認証（WPA3-Enterprise）
ゲスト用 SSID：VLAN 20（ゲスト）に接続、パスワード認証（WPA3-Personal）
IoT 用 SSID：VLAN 40（IoT）に接続、機器ごとの共通鍵

社員用 SSID は個人パスワードではなく IdP 経由の証明書認証にすると、パスワード漏洩リスクが下がります。

📝 補足 Wi-Fi 6（IEEE 802.11ax）は 2019 年、Wi-Fi 7（IEEE 802.11be）は 2024 年に標準化されました。新規オフィス構築では Wi-Fi 6/6E を選ぶのが標準で、大規模会議での多人数同時接続に強くなっています。既存 AP からの更改判断は、機器の減価償却期間と業務需要のバランスで決めます。

ゼロトラスト移行判断の 3 前提

ゼロトラストは、「社内ネットワークだから安全」という前提を捨て、すべての通信を認証・認可の対象とする設計思想です。設計思想の詳細は既刊 IT 基礎系入門コースが扱うため、本レッスンでは「移行判断の前提」に絞ります。

前提 1：IdP が確立している

ゼロトラストは「誰が」「どのデバイスで」「何にアクセスするか」を毎回確認する設計です。IdP がなければ「誰が」の確認ができません。IdP 導入と SCIM プロビジョニングが動いていることが第一の前提です。

前提 2：デバイス管理が確立している

デバイスの状態（OS 更新済み、EDR インストール済み、企業所有）を確認できないと、ゼロトラストは機能しません。MDM／EDR 導入と運用（レッスン 4 で詳述）が第二の前提です。

前提 3：業務システムがクラウド中心

古いオンプレミス業務システムはゼロトラスト化が困難です。業務システムがクラウド SaaS 中心（Microsoft 365・Google Workspace・Salesforce など）に移行済みであることが第三の前提です。

3 つの前提が揃っていない状態でゼロトラスト移行を宣言すると、実装が中途半端になり、既存の VPN・境界防御と新設のゼロトラストが並立して運用コストが倍になります。前提を先に固めることが実務の順序です。

中核メッセージ 6 個の再掲

本コース全体を通じて、6 個のメッセージを繰り返します。

情シスは「守る・選ぶ・運用する」の 3 役割——役割ごとに時間を配分する
アカウント運用が情シスの生命線——入社と退社の 2 点で 8 割が決まる
SaaS は買った瞬間ではなく解約時に苦しむ——契約時に出口を設計する
ヘルプデスクは「早く直す」より「二度と起こさない」——ナレッジ化が本業
インシデントは一次受付・トリアージ・エスカレーションの 3 手で対応する
IT 予算は「守り・攻め・維持」の 3 分類で経営に説明する

このレッスンで扱うのは主にメッセージ 1「守る・選ぶ・運用するの 3 役割」の「運用する」の中核です。社内 LAN・VPN・DNS・Wi-Fi は日常業務では「動いていて当たり前」ですが、設計を誤ると全社的な業務停止に直結します。

次のレッスンで扱うこと

次のレッスン 4 では、デバイス管理と PC キッティングに踏み込みます。MDM（Intune／Jamf／Kandji）の運用、EDR（Defender／CrowdStrike／SentinelOne）の役割分担、BYOD 判断基準、端末調達（リース／購入）、退職時回収と再セットアップまで整理します。デバイス運用は入退社サイクルの物理的な担い手で、アカウント運用と両輪で機能します。

確認クイズ

このレッスンで学んだ内容を確認しましょう。