Ciscoスイッチのトランクポート(802.1Q)で「特定のVLANだけを許可したい」とswitchport trunk allowed vlanを使う際、VLAN 1の扱いで思わぬ通信障害にハマることがあります。
本記事では、VLAN 1をトランク経由で通すための注意点と設定コマンドを整理します。

結論

トランクポートでswitchport trunk allowed vlanを使って許可VLANを絞り込む場合、VLAN 1を通したいなら明示的に1をリストに含める必要があります。

なぜ注意が必要なのか

Ciscoスイッチの初期状態では、トランクポートはVLAN 1〜4094のすべてを許可しています。しかし、セキュリティや帯域保護のためにallowed vlanで許可リストを指定した瞬間、リストに書かれていないVLANはすべて遮断(ドロップ)されます。

ここで見落としがちなのが、管理IP(SVI)や社内通信がデフォルトのVLAN 1に割り当たっているケースです。この状態でリストから1を外してしまうと、管理アクセスやVLAN 1のデータ通信が途絶えます。リモートで作業していれば、自分自身の接続を切ってしまうことにもなりかねません。

コンフィグ例

❌ ダメな例(VLAN 1が切断される)

VLAN 10と20だけを指定したため、VLAN 1が許可リストから外れて通信不能になります。

Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 10,20

⭕ 正しい例(VLAN 1も通す場合)

VLAN 1で管理通信などを行っており、トランク経由で通したい場合は明示的に1を含めます。

Switch(config-if)# switchport mode trunk
Switch(config-if)# switchport trunk allowed vlan 1,10,20

既存の設定にVLAN 1を追加したい場合は、リスト全体を上書きせずaddキーワードを使います。

Switch(config-if)# switchport trunk allowed vlan add 1

豆知識：制御トラフィックの挙動

allowed vlanリストからVLAN 1を外して(またはremove 1して)データ通信を遮断した場合でも、Ciscoの仕様上、以下の制御用プロトコル(管理フレーム)はVLAN 1上で送受信され続けます。

  • CDP / LLDP
  • DTP
  • VTP
  • PAgP / LACP

つまり、ドロップされるのはデータトラフィック(ユーザー通信やIPパケット)だけです。「隣接機器はCDPで見えているのに通信が通らない」といった状況の切り分けに、この挙動を知っておくと役立ちます。

まとめ

  • デフォルトでは全VLAN(1〜4094)が許可されている
  • allowed vlanで絞り込むと、指定しなかったVLANはすべてドロップされる
  • VLAN 1の通信が必要な場合は、必ず許可リストに1を書き込む

トランクポートのVLAN絞り込みを行う際は、VLAN 1の要不要を意識して設定しましょう。