社内ＬＡＮでのＬＡＮとＷＥＢの独立方法

質問

始めまして、パソコン初心者です。

社内にＰＣが10台あります。回線は光回線1回線とルータとＨＵＢが繋がっております。
これを5台ずつのグループ2個に分けて回線は1回戦で両グループともインターネットには接続できるようにして、その上でグループ同士は
お互いにＬＡＮで接続出来ないようにする事は可能でしょうか？。

回線が2個あれば
回線-＞ルータ-＞各ＰＣと接続　
これを2個作製すれば出来るのは解るのですが、これを1回線で行う
事は可能なのでしょうか？
またルータにそのような機能はあるのでしょうか？

宜しくお願いします。

回答No.5

774danger · ベストアンサー

> 内部のＰＣ間は1000ＭのＨＵＢで繋げば速度も出そうですし、

確かにNo.4で書いた構成で、SW-HUB1,2をギガ対応のものにしたほうが安いかもしれませんね
単なるギガ対応のSW-HUBなら数千円ですし
おっしゃるとおり、上位回線が100Mbps以下ですから端末を全てSW-HUB1,2につないでしまえばマルチプルVLAN HUBをギガにする必要もないですね

お礼

ご指導有難う御座いました。早々にアドバイス頂いた方法で試してみたいと思います。有難う御座いました。

回答No.4

774danger

> 1、マルチプルVLANを使いプリンター（ＬＡＮ接続）もグループ分けした状態で使用可能に出来るのでしょうか？。ルータが出来るのでプリンタも出来ると思うのですが？。

ルータに空きポートがあれば、そこにプリンタをつないでおけばどちらのグループからもアクセスできますね
もちろん、
http://www.allied-telesis.co.jp/solution/vlan/index.html
の図のようにアップリンクVLANのポートを2つ作ってそこにプリンタをつないでもOKですが、SW-HUBのポートを節約するならルータにつないだほうがいいかと思います

> 2、マルチプルVLANのＨＵＢでグループ分けしたポート（例えばぽーと１とポート２）にｍＰＣが増えた際、さらに普通のＨＵＢを繋いでも問題なく使用できるのでしょうか？

マルチプルVLANのHUBの下に普通のSW-HUBをつないだ場合ですね
例えば普通のSW-HUB1をグループ1のクライアントVLANのポートに接続し、SW-HUB2をグループ2のクライアントVLANに接続したとします
この場合でもグループ1ならびにSW-HUB1内、グループ2ならびにSW-HUB2内に閉じた通信はできますが、お互いの通信はできません

あと、PCがギガ対応でグループ内に閉じた通信が多く、予算が許すのであればETG2-SHV16Nを買っておくのもいいと思います
(IO DATAでこんなSW-HUB出してたんですね..........知りませんでした)

お礼

丁寧なご意見、ご説明有難う御座いました。大変参考になりとても助かりました。有難う御座います。

補足

早々のご回答有難う御座います。

外部への光回線は100Ｍビジネスタイプですし、ＶＬＡＮ　ＨＵＢの下にＨＵＢが付けれるとの事なので、ＶＬＡＮ対応ＨＵＢは　PLANEX VLAN TRUNK対応　16ポート10M/100Mスイッチングハブ S-0116FF にする事にしました。内部のＰＣ間は1000ＭのＨＵＢで繋げば速度も出そうですし、外部とプリンターは100Ｍあれば十分ですので。
それとＩ-Ｏ　ＤＡＴＡ　製品はやだと言う社内の声もありましたので、やはり家庭用のイメージが大きいようです。他社の製品に比べても桁が1桁違うぐらい安いのが気になりました。

丁寧なご意見、ご説明有難う御座いました。大変参考になりとても助かりました。有難う御座います。

回答No.3

774danger

単なるVLANだと、ルータが複数必要だったり、ルータ側でVLAN(802.1q)に対応していなくてはいけなかったりと高価なものになってしまいます

No.2のかたが紹介されているHUBもそうですが、「マルチプルVLAN」に対応しているHUBであれば、ルータも1台で済みますし、装置も比較的安価です
http://www.allied-telesis.co.jp/solution/vlan/index.html
このように、アップリンク(ルータ側)には通信は許可しますが、クライアントVLAN同士は通信できないような制限が可能です

PLANEXやアライドテレシスのSW-HUBが安価でこの機能を提供しています

No.1の補足に書かれている構成でも実現はできます
おそらくフィルタを書かなくてもルータ2,3でFirewallをonのままにしてLAN側にポートフォーワーディングをしなければ通信はできません
ただ、マルチプルVLANで実現した場合はグループが増えた場合に機器を増やすことなく対応ができますし、スループットの低下も気にせずに済みます

ちなみに、

> 回線が2個あれば
> 回線-＞ルータ-＞各ＰＣと接続　
> これを2個作製すれば出来るのは解るのですが、これを1回線で行う事は可能なのでしょうか？

フレッツ(光、ADSLとも)であれば、1本の物理回線に2つのISP接続を同時に行うことができる(PPPoEを2セッション張れる)ので、

回線-＞HUB-＞ルータ1-＞各ＰＣと接続(グループ1)　
　　　　　　+-＞ルータ2-＞各ＰＣと接続(グループ2)　

のようなことも実現可能です
(ルータ1とルータ2は物理的にはHUBでつながっていますが論理的には直接つながっていません)
ISP料金が2倍になるのでお勧めはしませんが技術的には可能、というところです

補足

774danger様、ご回答有難う御座います。

マルチプルVLAN対応のＶＬＡＮ　ＨＵＢであれば、現状の環境に追加するだけで1回線で2個のグループに分けなおかつ両グループともインターネット接続で可能に出来るのですね。

2個ほど疑問が出てきましたのでご質問させて頂きたいのですが宜しく願いします。

1、マルチプルVLANを使いプリンター（ＬＡＮ接続）もグループ分けした状態で使用可能に出来るのでしょうか？。ルータが出来るのでプリンタも出来ると思うのですが？。

2、マルチプルVLANのＨＵＢでグループ分けしたポート（例えばぽーと１とポート２）にｍＰＣが増えた際、さらに普通のＨＵＢを繋いでも問題なく使用できるのでしょうか？

購入を予定していますＶＬＡＮ対応ＨＵＢは　PLANEX VLAN TRUNK対応　16ポート10M/100Mスイッチングハブ S-0116FF です。

宜しくお願いします。

回答No.2

jjon-com

安価であるなら，回線→ルータ→VLANスイッチHUB，でもいいんですよね？
http://direct.planex.co.jp/shop/goods/goods.asp?goods=4941250161294
http://www.amazon.co.jp/dp/B000NJX9ZG/

補足

ご回答有難う御座います。

参考アドレス大変役に立ちました。

ＰＬＡＮＥＸ　S-0116FFは100ＭのＬＡＮに対して
I-O DATA VLAN対応 ETG2-SHV16N　は　1000Ｍ対応
で2万円台なのですがやはり安いのには理由がある
のでしょうか？
1万円ほどの差でしたら今後を考えると1000Ｍの方が
良いかと思ったのですが。

よろしければアドバイスお願いいたします。

回答No.1

ann_dv

ルータを経由した通信であればルータによってアクセス制御も可能ですが、全てのPCが同一ネットワーク上に存在している以上、PC同士の接続はルータを経由しませんので制御のしようがありません。

スイッチングハブにVLAN機能が搭載されていればVLAN制御によって可能ですが、物によってはルータをもう一台購入するよりも高い買い物になるかも知れません。
http://www.atmarkit.co.jp/fnetwork/tanpatsu/18gbswitch/02.html

各PCにファイアウォールソフトをインストールし、別グループ内のPCからの通信を一切拒否するような設定をするのが現実的かと思います。

参考URL：

http://freesoft-100.com/security/firewall.html

補足

ann_dv様、早々の回答、アドバイス有難う御座います。
また参考ＵＲＬも大変助かりました。
ＶＬＡＮという物があるのですね、確かにこれですと仮想的に2個のグループを独立させる事は可能ですね。
素人考えなのですが以下の様な方法は可能でしょうか？

回線-＞ルータ1-＞ルータ2-＞ＨＵＢ-＞各ＰＣ端末（グループＡ）
　　　　　　　|
|-＞ルータ3-＞ＨＵＢ-＞各ＰＣ端末（グループＢ）

ルータ2にＷＡＮ側アドレス192.168.1.2　フィルタ機能で192.168.1.3を遮断

ルータ3にＷＡＮ側アドレス192.168.1.3　フィルタ機能で
192.168.1.2を遮断

このようなやり方なら安価なルータを2個追加すれば出来る
ように思えるのですが可能でしょうか？
グループ内のＰＣ同士はアクセス出来ますが、グループ外のＰＣ
にはアクセス出来ないと思うのですが。両グループともＷＡＮには
接続出来るのでインターネットも使えると思うのですが？。

宜しければアドバイスお願いいたします。