工場ネットワーク改修の進め方：オフィス・生産・サーバーを VLAN とファイアウォールで分離する

異なるIPサブネットに分けるだけでは十分ではありません。オフィス、生産、サーバー、無線、管理の境界を定義し、VLAN、ルーティング、ファイアウォール、ACLで必要最小限の通信にします。

1. 機器選定より先に業務境界を決める

工場拡張やオフィス移転で一つの大きなネットワークを延長すると、ブロードキャスト、IP競合、生産機器への直接アクセス、サーバールールの複雑化が起こりやすくなります。オフィス、生産、サーバー、無線、ゲスト、管理を先に区分します。

2. 実務的な分離例

• オフィス端末は必要なERP、ファイル、印刷、AD、インターネットだけに接続。
• 生産端末は独立VLANとし、MES/ERP等の指定サーバー・ポートだけを許可。
• サーバーは専用セグメントに配置し、送信元・宛先・サービス単位で制御。
• 無線、ゲスト、機器管理は規模に応じてさらに分離。

3. コアスイッチとファイアウォールの役割

コアはVLAN、L3転送、基本ACLを担当し、ファイアウォールはセキュリティ境界、監査、業務ポート単位の制御を担当します。複数機器に同じ複雑なルールを重複させないことが重要です。

4. 切替前の準備

スイッチ、ファイアウォール、無線設定をバックアップし、アップリンク、光モジュール、VLAN、Trunk、GW、STP、DHCP、固定IP、重要ポートを記録します。低リスク範囲から検証し、段階的に切替え、戻し手順を残します。

5. 許可通信と拒否通信の両方を検証

オフィス／生産から必要サーバーへの通信、AD/DNS/DHCP、印刷、共有、インターネット、遠隔保守を確認し、不要な相互通信が遮断されることも確認します。最後にトポロジー、VLAN/IP、ポート表、FWルール、設定バックアップを更新します。

よくある質問

IPサブネットを分ければ分離になりますか？

いいえ。サブネットはアドレス区分であり、実際の通信可否はルーティング、ファイアウォール、ACLで制御します。

すべてのVLAN間通信をファイアウォール経由にすべきですか？

必須ではありません。サーバー区や生産・オフィス境界はFWが適していますが、低リスク内部VLANではL3スイッチとACLを使う場合もあります。