VLANを分けただけでは守れない #8｜Home・Work・Guest・IoTの境界を実運用でどう使うか

lucky_una

2026年10月9日 22:52

この記事で分かること

#3で作った信頼境界を、Firewall Policyへどう落とすか
Home / Work / Guest / IoTで「許可の方向」を変える理由
Homeは利便性、Workは管理主体、IoT/Guestは非信頼という違い
VLANを作っただけでは最小権限にならない理由
長期運用でPolicyが広がると、境界がどう曖昧になるか

⏪ 前の記事：#7 1Gなら安定するのに10Gにすると赤LED

#3でやったのは「部屋を分ける」ことだった。

Home。Work。Guest。IoT。Management。Storage。DMZ。

でも、VLANを作っただけでは何も守れない。

本当に効くのは、

どちら側から、どこへ、新しい通信を開始できるか

を決めた時だ。

Homeは家族の生活を優先する

Homeには家族のPC、スマホ、TV、ゲーム機、自分の私物端末がいる。

ここで最優先なのは、Securityを極端に厳しくすることではない。

普通に生活できること。

Internetが使える。
NASの必要な領域へ届く。
TVやAV機器が使える。

最初の設計では、Homeから内部へは必要なものだけに絞る考え方だった。

一方、長く運用した現在のPolicyを見ると、HomeからWork / Management / Storage / IoTへ広い許可が残っている。

ここから分かるのは、「Homeを最初から全部信用した」ということではない。

生活Networkは、運用の中で利便性側へ広がりやすいということだ。

境界は作っただけでは維持されない。

Workは「安全だから一緒」ではなく、管理主体が違う

会社貸与PCにはEDRや企業側のSecurity Policyがある。

だからHomeより危険、という話ではない。

問題は、管理責任が違うこと。

自宅PCは自分が管理する。
会社PCは会社が管理する。

だからNetwork上も分ける。

Workから必要なManagement / Serverへ到達させる通信はある。

ただし、Homeと同じLANへ混ぜて「家にあるPCだから同じ」にしない。

GuestはInternetだけで成立する

Guestは一番分かりやすい。

来客端末に必要なのは基本Internetだけ。

Guest
  ↓
Internet

NAS、Server、Managementへ入る理由はない。

だから内部Segmentへの新規通信を許可しない。

この単純さは強い。

IoTは便利だが、内部LANと同じ信用度にはしない

TV、AV機器、家電、各種IoT。

便利だが、自分でOSやPatchを管理できるPCとは違う。

そのためIoTは、Internetへ出る通信は許可しつつ、内部Segmentへ自由に新規Sessionを張らせない。

一方、HomeやManagementからIoTを操作する必要はある。

だから方向は非対称になる。

IoT → Internal     : 原則開始させない
Home → IoT         : 必要に応じて許可
Management → IoT   : 管理用途で許可
IoT → Internet     : 許可

これが「隔離」の実態だ。

双方向を全部閉じることではない。

同一VLAN内のL2通信は別問題

FortiGateが見るのは、FortiGateをGatewayとして跨ぐL3通信。

同じIoT VLANにいる端末同士がL2で直接通信するなら、PacketはFortiGateへ来ない。

端末同士まで分離したいなら、AP / Switch側のClient IsolationやPort Isolationが必要になる。

ここを混ぜると、

「VLANを分けたから端末同士も完全隔離」

という誤解になる。

境界は作るより、維持する方が難しい

VLAN設計をした瞬間は綺麗でも、運用するとPolicyは増える。

一時的な許可。
検証用のALL。
移行時の例外。
家族が使う機器の追加。

気付けば、当初より広い通信が残る。

だから必要なのは、

「このVLANは何を信用する場所か」

という設計思想を残しておくこと。

それがあれば、後からPolicyを見て、

必要な通信
利便性のために広げた通信
一時Ruleの残骸
本当に閉じるべき通信

を整理できる。

次は外部から入ってくる通信を守る

ここまでは家の中の信頼境界だった。

次は、その外側。

Internetへ80/443を公開すると、Protocolとしては正しいHTTP/HTTPSでも、中身まで安全とは限らない。

そこで、UCG-Fiber / FortiGateの先にHAProxy、Squid、c-icap、ClamAVを置き、外部通信を一段ずつ判断する。

⏩ 次の記事：#9 80/443を開けるだけでは守れない｜HAProxy・Squid・c-icap・ClamAVで作る公開経路