スイッチングハブをルーターの手前に置いた反省――同じLANを広げる機器と、ネットワークを分ける機器の違い

はじめに――自分の配線が障害の原因になった

今回、学内の壁面LANポートにスイッチングハブを直接つなぎ、その下にルーターと複数の端末を接続しました。この配線が、ネットワーク障害の原因になりました。

当時は「LANポートを増やす」という目的だけを見て、スイッチングハブを先に置いてしまいました。しかし、スイッチングハブは上流ネットワークと自分の機器を隔離する装置ではありません。結果として、ルーターの内側に置くべき端末を、学内ネットワークと同じLANへ直接つないでいました。

自分の理解不足と確認不足によって、管理されているネットワークに意図しない構成を持ち込んでしまったことを反省しています。機器の名前や外見ではなく、それぞれが通信のどの層で何をするのかを理解する必要があると痛感し、スイッチングハブ、ルーター、ONU、モデム、アクセスポイントの役割を学び直しました。

この記事では、今回確認できた事実をもとに、誤った構成で何が起きたのかを整理します。

結論――スイッチングハブは同じLANを広げ、ルーターは異なるネットワークをつなぐ

今回の誤りは、ルーターより上流にスイッチングハブを置いたことです。

実際に組んでいた構成と、正しい構成を比較すると次のようになります。

左側では端末がルーターを迂回し、右側ではすべての端末がルーターのLAN側に接続されている

誤った構成では、ルーターのWANポート、PC、その他の端末が同じレイヤー2ネットワークに接続されます。PCとその他の端末はルーターを通らず、学内ネットワークへ直接通信します。

この順序なら、学内ネットワークと自分のLANの境界にルーターが置かれます。端末はルーターのLAN側に所属し、家庭用ルーターのNAT/NAPTやファイアウォールを経由して上流へ通信します。

ルーターのLAN側では、通常、ルーター自身がDHCPサーバーとなり、各端末へネットワーク設定を配布します。

各製品の違い

ネットワーク機器は、LANケーブルを挿すという外見上の操作が似ていても、役割が異なります。

信号を変換する機器、同じLANを広げる機器、異なるネットワークを接続する機器は役割が異なる

スイッチングハブとルーターの構造的な違いは、次の図のようになります。

スイッチングハブは同じLANを広げ、ルーターはWAN側とLAN側の異なるネットワークを接続する

スイッチングハブ

スイッチングハブは、同じLANに接続できるポートを増やす機器です。受信したEthernetフレームの送信元MACアドレスを学習し、宛先MACアドレスに対応するポートへ転送します。

一般的なスイッチングハブは、接続した端末を上流から隠しません。NAT、ルーティング、DHCPサーバー、ファイアウォールの役割も持ちません。

管理機能を持つスイッチではVLANによる論理分割が可能ですが、VLANを設定していないスイッチングハブは、上流側の同じレイヤー2ネットワークをそのまま広げます。

ルーター

ルーターは、異なるIPネットワークの間でパケットの転送先を決める機器です。WAN側とLAN側には、それぞれ別のIPネットワークを接続します。

なお、ルーターという機能そのものは通信を中継するものであり、すべての通信を自動的に遮断するわけではありません。今回のような家庭用ルーターでは、NAT/NAPTとファイアウォールが組み合わされているため、WAN側とLAN側の境界として機能します。

ONUとモデム

ONUは、光ファイバー上の光信号をEthernetなどで扱える電気信号へ変換します。光回線で使われる装置で、名称は「Optical Network Unit」の略です。

モデムは「Modulator-Demodulator」の略で、電話線や同軸ケーブルなどの回線で使う信号を変調・復調します。光回線では一般にONU、ADSLやケーブルテレビ回線ではモデムが使われます。

どちらも主目的は信号の変換です。単体のONUやモデムが、ルーターと同じようにLANを分離するわけではありません。ただし、通信事業者が提供するホームゲートウェイには、ONU、ルーター、Wi-Fiなどが一体化している場合があります。

Wi-Fiアクセスポイントと家庭用Wi-Fiルーター

Wi-Fiアクセスポイントは、無線端末を既存の有線LANへ接続する橋渡し役です。アクセスポイントモードでは、通常、上流と無線端末を別ネットワークにはしません。

一方、家庭用Wi-Fiルーターは複数の機能をまとめた製品です。「ルーターモード」ではネットワークの境界になりますが、「アクセスポイントモード」や「ブリッジモード」ではルーター機能が無効になります。同じ製品でも、動作モードを確認する必要があります。

スイッチングハブとルーターの明確な違い

両者の違いは、LANポートの数ではなく、同じネットワークを広げるのか、異なるネットワークを接続するのかにあります。

上の比較図で示したとおり、スイッチングハブは主にMACアドレスを使って同じレイヤー2ネットワーク内の転送先を判断します。ルーターはIPアドレスとルーティングテーブルを使い、異なるレイヤー3ネットワーク間の転送先を判断します。

スイッチングハブをルーターのLAN側に置けば、自分のLANのポートを増やせます。スイッチングハブをルーターのWAN側に置けば、上流のLANを複数の端末へ広げます。この設置位置の違いが、今回の障害につながりました。

今回起きたことを、確定した事実だけで整理する

今回の構成から確定する事実は次のとおりです。

1. 学内の壁面LANポートとルーターの間に、スイッチングハブを接続していた。
2. ルーターのWANポートだけでなく、PCなどの端末も同じスイッチングハブへ接続していた。
3. そのため、ルーターのWANポートと各端末は、学内側と連続した同じレイヤー2ネットワークに所属した。
4. ハブ直下の端末が上流宛てに送信した通信は、ルーターを経由せず学内側へ転送された。
5. その通信には各端末自身の送信元MACアドレスが使われたため、通信した端末は上流側からそれぞれ別の機器として認識された。
6. ハブ直下の端末には、自分のルーターによるNAT/NAPTとWAN側ファイアウォールが適用されなかった。

つまり、スイッチングハブが故障したのではなく、同じLANを広げる機器をネットワーク境界より上流へ置いたことが問題でした。ルーターの配下に入れたつもりの端末が、実際にはルーターを迂回していました。

端末がDHCPで設定を取得する場合も同じです。この構成では、ハブ直下の端末が送るDHCP要求は自分のルーターのLAN側DHCPサーバーではなく、学内側へ直接届きます。正しい構成でルーターのWAN側もDHCPを利用する場合、学内側へDHCP要求を送るのはルーターのWAN側だけで、内部端末はルーターから別のプライベートIPアドレスを受け取ります。

一方、次の項目はネットワーク機器のログや管理者による確認がなければ確定できません。

• 学内側のMACアドレス数制限が作動したか
• ポートセキュリティやNACが遮断を行ったか
• DHCPスヌーピングが検知したか
• どの端末のどの通信が、直接の遮断条件になったか

これらは一般に起こり得る仕組みですが、今回の確定事実としては扱いません。障害の原因は誤った接続順序であり、学内設備がそれをどの機能で検知・遮断したかは別の論点です。

また、ルーターのLANポートを上流側のハブへ接続していた場合には、ルーターのDHCP応答が上流へ流れる「ローグDHCP」になり得ます。しかし、今回はルーターのWANポートを接続していたため、ローグDHCPが起きたとは説明しません。

二度と繰り返さないために

今回の反省から、管理されたネットワークへ機器を接続するときは次の順序で確認します。

1. 大学や組織の接続規則を確認し、私物ルーターやスイッチの使用が許可されているかを確認する。
2. 接続前に「上流」「WAN側」「LAN側」「端末」の構成図を書く。
3. 上流のケーブルはルーターのWANポートへ接続する。
4. スイッチングハブはルーターのLANポートより下流へ接続する。
5. ルーターがルーターモードで動作していることを確認する。
6. 接続後、端末に割り当てられたIPアドレス、デフォルトゲートウェイ、DHCPサーバーを確認する。

技術的に正しい順序であっても、学内規則で私物ルーターの接続自体が禁止または申請制になっている場合があります。その場合の正解は、勝手に機器を追加することではなく、ネットワーク管理者へ相談することです。

まとめ

今回の障害は、スイッチングハブとルーターの役割を混同し、「上流→スイッチングハブ→ルーターと端末」の順序で接続したことが原因でした。正しくは「上流→ルーター→スイッチングハブ→端末」です。

覚えておくべき違いはシンプルです。ONUとモデムは回線の信号を変換し、スイッチングハブとアクセスポイントは同じLANを広げ、ルーターは異なるネットワークを接続します。

「ケーブルがつながり、通信できた」ことと、「正しいネットワーク構成になっている」ことは同じではありません。今後は機器の役割、接続順序、組織の運用規則まで確認してから接続します。