Linux Bridge と VLAN -- 自分で仮想スイッチを作る

VLAN でネットワークを島に分ける

Chapter 2 では、ARP request が同じセグメント内にブロードキャストされる様子を見ました。この章の問いは、その 「同じセグメント」は誰が決めているのかです。答えは L2 スイッチです。Linux では、そのスイッチを bridge として自分で作れます。

VLAN は、1 台の物理スイッチを複数の島に分ける仕組みです。この教材では VLAN10 をオフィス側、VLAN20 をサーバ側として扱います。learner01 は VLAN10 にいる前提です。VLAN10 から VLAN20 へ直接ワープするわけではなく、セグメントを越える通信は Chapter 4 のルータが担当します。

この章を終えるとできること

作る、つなぐ、タグを見る、ポート種別を読むの 4 動作を手に入れます。

Linux bridge と VLAN の考え方

1. Linux bridge はカーネルが作る仮想スイッチ

物理スイッチは、ポートに入ってきた Ethernet フレームを、MAC アドレスを見ながら必要なポートへ転送します。Linux bridge も同じです。どの MAC アドレスがどのポートから見えたかを学習し、未知の宛先やブロードキャストは複数ポートへ流します。

2. VLAN tag は 4 バイトのラベル

VLAN は Ethernet フレームに 802.1Q タグを差し込みます。タグは 4 バイトで、前半 2 バイトの 0x8100 が「これは VLAN タグ付き」と示し、後半 2 バイトの TCI に VLAN ID などが入ります。

この 4 バイトがあるため、親インターフェースで tcpdump -e すると ethertype 802.1Q (0x8100), vlan 10 のように見えます。一方、VLAN サブインターフェース側ではタグが剥がれた後のフレームを見るので、ただの ARP に見えます。

3. アクセスポートとトランクポート

TL-SG108E の Web UI で一番混乱しやすいのが、Tagged / Untagged / PVID の組み合わせです。最初は次の対応だけ覚えます。

4. 8021q モジュールと vlan_dev

Linux で ip link add link X name X.10 type vlan id 10 を実行すると、vlan_dev という仮想デバイスができます。送信時はタグを付け、受信時はタグを読んで剥がします。この処理を使うために、演習の最初で sudo modprobe 8021q を実行します。

演習：bridge を作り、VLAN tag を見て、TL-SG108E と対応させる

ssh student@learner01

hostname
sudo modprobe 8021q
lsmod | grep 8021q || true
ip -br link

sudo ip link delete br-ch3 2>/dev/null || true
sudo ip link delete dummy-ch3a 2>/dev/null || true
sudo ip link delete dummy-ch3b 2>/dev/null || true
sudo ip link add br-ch3 type bridge
sudo ip link set br-ch3 up
sudo ip link add dummy-ch3a type dummy
sudo ip link add dummy-ch3b type dummy
sudo ip link set dummy-ch3a up
sudo ip link set dummy-ch3b up
sudo ip link set dummy-ch3a master br-ch3
sudo ip link set dummy-ch3b master br-ch3
bridge link show
ip -br link show type bridge

sudo ip link add link dummy-ch3a name dummy-ch3a.10 type vlan id 10
sudo ip link add link dummy-ch3a name dummy-ch3a.20 type vlan id 20
sudo ip link add link dummy-ch3b name dummy-ch3b.10 type vlan id 10
sudo ip link set dummy-ch3a.10 up
sudo ip link set dummy-ch3a.20 up
sudo ip link set dummy-ch3b.10 up
ip -br link show type vlan
ip -d link show dummy-ch3a.10

sudo ip addr add 10.0.10.1/24 dev dummy-ch3a.10
sudo ip addr add 10.0.10.2/24 dev dummy-ch3b.10
ip -br addr show type vlan
ip route get 10.0.10.2 from 10.0.10.1

sudo tcpdump -e -n -i dummy-ch3a -c 5 vlan or arp

sudo arping -c 3 -I dummy-ch3a.10 10.0.10.254

dummy-ch3a  : ethertype 802.1Q (0x8100), vlan 10, ethertype ARP
dummy-ch3a.10: ethertype ARP (0x0806) だけに見える

sudo ip link delete dummy-ch3a.10 2>/dev/null || true
sudo ip link delete dummy-ch3a.20 2>/dev/null || true
sudo ip link delete dummy-ch3b.10 2>/dev/null || true
sudo ip link set dummy-ch3a nomaster 2>/dev/null || true
sudo ip link set dummy-ch3b nomaster 2>/dev/null || true
sudo ip link delete br-ch3 2>/dev/null || true
sudo ip link delete dummy-ch3a 2>/dev/null || true
sudo ip link delete dummy-ch3b 2>/dev/null || true
ip link show | grep -E 'br-ch3|dummy-ch3' || echo 'clean'

つまずきポイント

sudo modprobe 8021q
lsmod | grep 8021q || true
ip -d link show dummy-ch3a.10

AI に相談

修了確認

Linux bridge と VLAN の見え方を 2 問だけ確認します。

💡 修了確認の段階ヒント（問 1・問 2 共通）

次はルーティングへ

この章で、VLAN は「L2 の島を分ける仕組み」だと確認しました。次の Chapter 4 では、その島と島の間をどう渡るかを扱います。learner01 がいる VLAN10 から、webserver01 がいる VLAN20 へ、どのゲートウェイを通り、どの経路表を読めばよいかを実機で確認します。

さらに後続の仮想化パートでは、Proxmox の vmbr を VLAN-aware にする設定が出てきます。そこで迷わないための土台が、この章の Linux bridge と 802.1Q タグです。