先に要点
社員のPCはインターネットにつながり、共有プリンターも使える。一方、来客にはインターネットだけを使ってもらい、社内のファイルや機器設定は見せない。この違いを実現するのが、社内ネットワーク設計の身近な出発点です。
この記事では、社員端末・来客端末・プリンターがある仮想オフィスを例に、必要な機器、構成、通信ルール、確認の進め方を説明します。特定企業の構成や実測値ではなく、自分の環境を設計するための例です。
社内ネットワークとは？インターネット接続との違い
LANは、建物やオフィスなど限られた範囲の機器をつなぐネットワークです。有線だけを意味する言葉ではなく、無線LANも含みます。社内ネットワークでは、このLANを使って端末や共有機器を接続し、必要に応じて拠点や在宅からのアクセスも設計します。
インターネットは社外のサービスへアクセスする経路です。社員のPCからクラウドのメールを開く通信と、隣のプリンターへ印刷する通信は、同じPCから始まっても宛先と通る経路が異なります。
そのため「Webサイトを開けるからネットワークは正常」とは限りません。共有機器だけ使えない場合には、社内側のアドレス・名前解決・通信ルールを調べます。この区別は、障害時の切り分けにも役立ちます。
どの機器が何を担当するのか
家庭用ルーターのように複数の機能が一体化した製品もあります。機器の台数から考えるより、まず必要な役割を分けると整理しやすくなります。
| 役割 | 担当するもの | 確認するポイント |
|---|---|---|
| 外や別ネットワークへ運ぶ | ルーター、L3スイッチ | どの経路を通すか、VLAN間の通信をどこで制御するか |
| 有線端末をまとめる | スイッチ | 必要なポート数、VLAN対応、アクセスポイントへの給電が必要か |
| 無線端末をつなぐ | Wi-Fiアクセスポイント | 社員用と来客用の接続を別ネットワークへ振り分けられるか |
| 通信を許可・拒否する | ファイアウォール、ACL、ゲスト隔離機能 | どの送信元から、どの宛先・サービスを許すか |
| IPアドレスを配る | DHCPサービス | ネットワークごとの配布範囲、ゲートウェイ、DNS |
| 名前から宛先を調べる | DNSサービス | 社内名とインターネット上の名前をどこで解決するか |
DHCPが端末へIPアドレスを配り、DNSが名前を宛先に変え、ルーターが別のネットワークへ運びます。これらは別の役割です。DNSを直しても、途中のファイアウォールが通信を拒否していれば接続できません。
機器の役割を詳しく比べたい場合は、ルーターとスイッチの違いを参照してください。
社内ネットワークの仕組み：通信はどう流れるか
役割の表を、実際の通信の順番に並べ直すと次のようになります。社員のPCが社外のWebページを開くまでの流れです。
PCがWebページを開くまで
- 1LANにつながる
有線ならスイッチ、無線ならアクセスポイントに接続する。ここまではまだ「線がつながった」だけ。
- 2
- 3DNSで宛先を調べる
example.com のような名前を、通信先のIPアドレスに変える。
- 4同じネットワーク内か判断する
宛先が同じネットワークなら、ARPで相手のMACアドレスを調べてスイッチ経由で直接届ける。違えばデフォルトゲートウェイへ送る。
- 5ルーター・ファイアウォールを通る
通信の許可・拒否を判定し、NATで社内のプライベートIPアドレスを外向きのアドレスに変えてインターネットへ送る。戻りの通信も同じ装置を通る。
同じ流れで見ると、よくある3つの通信は通る場所が違います。
| 通信 | 通る場所 | つまずいたときに見る所 |
|---|---|---|
| 同じネットワークのプリンターへ印刷 | PC → スイッチ → プリンター（ルーターを通らない） | プリンターのIPアドレスが変わっていないか、同じネットワークにいるか |
| 社外のWebやSaaSを開く | PC → スイッチ → ルーター・ファイアウォール（NAT） → インターネット | DNSの応答、ゲートウェイの設定、外向きの通信許可 |
| 自宅から社内のNASへ入る | 自宅のPC → インターネット → 会社のVPN装置で認証・暗号化を解く → 許可された社内の宛先 | VPNの認証、VPN利用者に許可した宛先の範囲 |
ルーター、ファイアウォール、VPN、DHCPサーバーの役割が1台の機器にまとまっていることはよくあります。UTM（統合脅威管理）と呼ばれる製品は、これにウイルス検査やWebフィルタなどの機能も加えたものです。機器が1台でも、上の流れのどの段階で止まっているかを分けて考えると、原因を絞り込みやすくなります。
構成例：社員・来客・共有機器・管理を分ける
以下は、ルーター兼ファイアウォールでVLAN間を中継する構成例です。スイッチとアクセスポイントもVLANに対応しているものを想定します。社員用と来客用の無線接続をそれぞれ別のVLANへ収容し、有線プリンターと管理端末も用途別に配置します。
VLANは、一つの物理ネットワークを論理的に分ける仕組みです。図の四つの役割ごとに分けると、「どの端末がどこに属するか」を管理できます。アクセスポイントとスイッチの接続では、必要なVLANをタグ付きで運ぶ設定と、無線接続先からVLANへの対応を揃えます。
Wi-Fiの名前（SSID）だけを変えても、接続先が同じLANなら分離にはなりません。また、別VLANでもルーターが中継すれば相互通信できます。VLANは区画を分ける仕組み、ACLやファイアウォールは区画をまたぐ通信を制御する仕組み、と分けて考えます。
同じVLAN内の通信は、ルーターを通らずスイッチ内で完結することがあります。来客端末同士も隔離したいなら、VLAN間のルールだけでなくアクセスポイントのクライアント隔離などを確認します。管理画面が社員側のアドレスでも待ち受けていないかも点検対象です。
構成図を「許可する通信」の表へ落とす
図だけでは通信の可否は決まりません。次は、上の構成で利用者が必要とする操作を表にしたものです。アドレスは説明用の架空値で、既存環境への設定指示ではありません。
| 送信元 | 宛先とサービスの例 | 方針 | 確認する操作 |
|---|---|---|---|
| 社員端末 | プリンター 192.168.30.20、TCP 631 | 許可 | IPP印刷ができる |
| 来客端末 | プリンター 192.168.30.20、TCP 631 / 443 | 拒否 | 印刷も管理画面への接続もできない |
| 管理端末 | 機器管理 192.168.40.1、TCP 443 | 指定端末のみ許可 | 管理画面を開き、認証できる |
| 社員・来客端末 | 機器管理 192.168.40.1、TCP 443 | 拒否 | 管理画面へ接続できない |
| 社員・来客端末 | それぞれの指定DNS、必要なインターネット宛て通信 | 必要分を許可 | 名前解決と業務・来客用のWeb閲覧 |
TCP 631はこの例で採用したIPPの通信です。実際のプリンターが使う方式・ポートは機種と設定で確認します。
印刷できることと、プリンターの管理画面を変更できることは別の権限です。必要な印刷通信を許可するために、社員から共有機器への通信をすべて開ける必要はありません。
表にない通信をどう扱うかも決めます。原則拒否から必要分を追加する設計なら、DNS、DHCP、時刻同期などの基盤通信や、応答の戻り道を落とさないようにします。ステートフルなファイアウォールとステートレスなACLでは戻り通信の扱いが異なります。評価順と戻り通信はネットワーク機器のACLを実験した記事で確認できます。
作る順序：棚卸しから、少数の端末で確認する
1. 使う機器と操作を棚卸しする
端末、プリンター、NAS、会議室機器を列挙し、利用者と管理者を分けます。「誰が何に接続する必要があるか」を通信表へ書きます。
2. アドレスと名前解決を決める
VLANごとのアドレス帯、ゲートウェイ、DHCP範囲、DNSを決めます。プリンターなどの固定先は予約・固定割当を管理し、DHCPとの重複を避けます。
3. 接続と通信ルールを対応させる
スイッチのポート、アクセスポイントのSSIDとVLAN、中継装置の許可・拒否を揃えます。既存設定を保存し、管理経路と切り戻し方法を用意します。
4. 代表端末で合否を確かめる
社員・来客・管理の各端末で通信表の操作を実施。許可と拒否を両方確認し、ログと照合してから対象を広げます。
遠隔でルールを変えると、自分の管理接続まで切れることがあります。コンソールや別管理経路を確保し、機器の自動切り戻し機能が使えるなら適用条件を確認します。IPv6が有効な環境では、IPv4の設定だけで分離できたと判断しません。
疎通確認は、pingだけで終わらせない
管理権限のある自分の環境で、通信表にあるサービスを確認します。Windowsなら、たとえば次のように接続先とポートを指定できます。アドレスは自分で管理する検証先へ置き換えます。
Test-NetConnection -ComputerName 192.168.30.20 -Port 631
Test-NetConnection -ComputerName 192.168.40.1 -Port 443
見るのはTcpTestSucceededです。社員端末から印刷用ポートはTrue、来客端末からはFalseになることを期待します。ここでの値は設計上の合否例で、この仮想オフィスを構築して測った結果ではありません。
TrueはTCP接続できたという意味なので、その後で実際の印刷やログインも確かめます。Falseだけでは「ファイアウォールが正しく拒否した」とまでは分かりません。機器の停止、サービス未起動、経路の問題でも失敗するためです。同じ時点に許可された端末からは接続できることと、拒否側のログを合わせて判断します。
| 症状 | 次に見るもの | 切り分け方 |
|---|---|---|
| IPアドレスでつながるが名前では失敗 | DNSの設定と応答 | 期待するアドレスを返すか確認。通信制御の変更より先に名前解決を調べる |
| IP指定で印刷できるが自動検出できない | 機器の探索方式 | 探索通信がVLANを越える前提かを確認。すべて許可する代わりに登録方法や必要な中継を検討 |
| 社員も来客も接続できない | 宛先サービス・経路・ルール | 拒否成功とは扱わず、まず許可側の接続が成立するか確認 |
| 来客から社内機器へ接続できる | SSIDとVLANの対応、ルールの適用先と順序 | 同一LANに入っていないか、広い許可が先に一致していないか確認 |
pingはICMPの確認で、印刷や管理画面のTCP通信とは別です。pingが失敗していてもWeb管理画面だけ開けることがあります。必要な操作ごとに確認する方が、実際の利用可否を判断できます。
SaaS中心でも社内ネットワークは必要か
業務がSaaSで完結し、社内のサーバーもプリンターもなければ、大規模な社内サーバー網を作る必要はありません。オフィスで複数端末を接続するなら、インターネット接続、Wi-Fi認証、来客分離、機器管理は引き続き必要です。
在宅勤務も、「在宅だからVPNを入れる」とは決めません。
必要な資源がSaaSだけ
SaaSの認証と端末管理
SaaSの認証や端末管理を整えます。
社内のNASや業務アプリへ接続
アクセス方式を比較
VPNやアプリ単位のアクセス方式を比較します。端末同士を直接つなぐ方式との違いは Tailscaleとは？VPNとの違い も判断材料になります。
ゼロトラストは「社内にいるから信頼する」と決めず、利用者や端末、資源ごとにアクセスを判断する考え方です。VPNと二者択一の製品名ではありません。ネットワークを分けた上で、アプリ側の認証・認可も必要だと考えると、役割が混ざりません。
社内ネットワークに関するよくある質問
小規模でも必ず四つのVLANが必要ですか？
必須ではありません。図は役割を説明するための設計例です。機器や利用者の数、必要な分離、管理できる範囲に合わせて決めます。区画を増やしても通信ルールや運用が整理されなければ、安全性は上がりません。
来客用SSIDを作れば分離できていますか？
名前だけでは判断できません。接続先のVLANやゲスト隔離機能を確認し、来客端末から社内サービスへ接続できないことを確かめます。来客同士の隔離も必要なら、別の確認項目として扱います。
社内DNSサーバーは必須ですか？
社内名を独自に解決する必要がなければ、専用サーバーを自分で立てることが必須とは限りません。社内アプリの名前解決が必要な場合も、既存の管理サービスや機器の機能を含めて選びます。端末が参照するDNSの管理は、どの構成でも必要です。
まとめ
最初に機器の一覧と「誰が何を使うか」を書き出し、構成図と通信表を作ります。それから接続先、アドレス、許可・拒否を設定し、代表端末で操作を確認します。この順序なら、機器を増やすことよりも、必要な通信を実現することに集中できます。
参考情報
以下は2026年9月21日に確認しました。
- Cisco：LANとは
- RFC 2131：DHCP・RFC 826：ARP・RFC 3022：NAT（通信の流れの節。2026年10月23日確認）
- Cisco：VLAN間の通信とACLによる制御（分割と通信制御の関係を参照。掲載機種の設定値は流用していません）
- Microsoft：Test-NetConnection
- IANA：IPPのサービス名とポート番号
- NIST：SP 800-207 Zero Trust Architecture