仮想LANは、1台のマネージド産業用スイッチを、個別のレイヤー2ブロードキャストドメインに分割します。スイッチは単にケーブルを色分けするわけではありません。転送データベース、ブロードキャストのフラッディング、未知のユニキャストのフラッディングは、VLANごとに範囲が限定されます。通常、エンドデバイスはタグなしのアクセスポートを使用し、アップリンクのトランクはIEEE 802.1Qタグを使用して複数のVLANを伝送します。
VLANによる分離が実際に制御するもの
ブロードキャストフレームと宛先不明のフレームは、それぞれのVLAN内にとどまります。そのため、制御機器、カメラ、エンジニアリングステーションは、同じブロードキャストドメインを共有することなく、スイッチングハードウェアを共有できます。VLAN間の通信には、ルーター、レイヤー3スイッチ、またはファイアウォールが必要であり、そこでポリシーにより、許可する通信方向とサービスを制限できます。
VLANだけでは完全なセキュリティシステムにはなりません。デバイス認証、管理プレーンの保護、VLAN間のアクセスルール、変更管理についても、明確な設計が必要です。
アクセスポートの受信と送信
ほとんどのPLC、HMI、カメラは、通常のタグなしEthernetフレームを送信します。このようなフレームがアクセスポートに入ると、スイッチはそのフレームをポートのVLAN ID、すなわちPVIDに割り当てます。内部では、そのVLANのコンテキストでMAC学習と転送が行われます。フレームがアクセスポートから出る際、スイッチは通常、端末に渡す前に802.1Qタグを除去します。
PVID、許可されたVLAN、送信時の動作の間に不整合があると、片方向のみの通信、誤ったDHCPサービスの利用、ブロードキャストの誤ったゾーンへの流入が発生する可能性があります。トラブルシューティングでは、受信時の分類と送信時の処理の両方を確認する必要があります。
トランクが複数のVLANを伝送する仕組み
802.1Qトランクは、VLAN識別子を含むタグを挿入し、複数のブロードキャストドメインが1本の銅線または光ファイバーのアップリンクを利用できるようにします。両端で同じVLANを許可し、タグなしトラフィックまたはネイティブトラフィックの扱いを一致させる必要があります。トランクはリンクアグリゲーションではありません。各VLANは、依然として同じ物理リンクの帯域容量を共有します。
すべてのVLANを合計した定常負荷とバースト負荷を計画してください。ブロードキャストドメインが分離されていても、映像のバースト、エンジニアリング用のダウンロード、制御トラフィックは、アップリンクのキューで競合する可能性があります。QoSと容量計画は引き続き必要です。
PVIDとタグ付けには方向性がある
PVIDは主に、ポートに到着したタグなしフレームを分類します。タグ付きまたはタグなしのメンバーシップは、多くの場合、フレームをどのように送出するかを表します。エンジニアは、ポートがどのVLANを受け入れるか、受信したタグなしフレームがどこに属するか、各送信フレームのタグを保持するか除去するか、という3つの問いに個別に答える必要があります。
ミラーポイントがタグ除去後の位置にある場合や、キャプチャ用アダプターがタグを除去する場合、パケットキャプチャに802.1Qヘッダーが表示されないことがあります。ミラーリング位置を記録し、キャプチャ結果をVLANテーブル、MACテーブル、ポートカウンターと照合してください。
産業用途の設定と受入試験
各デバイス、スイッチポート、VLAN、IPサブネット、ゲートウェイ、許可するゾーン間通信を網羅したワークシートを作成してください。管理トラフィックを大容量の映像トラフィックから分離し、未使用ポートを無効にするか、隔離されたVLANに配置してください。運用開始前に設定バージョンを確定してください。
受入試験では、同一VLAN内の通信、必要なVLAN間の遮断またはルーティング、ブロードキャストの封じ込め、トランクの復旧、再起動後の設定保持を確認する必要があります。単純なpingに頼るのではなく、実際の制御、映像、保守の負荷をかけて試験してください。FCTELの産業用スイッチにおけるVLAN機能は、モデルとファームウェアによって異なります。最新のドキュメントを参照し、対象のトポロジーを検証してください。
