CCTVと業務網が同じVLANにあると、カメラ1台が突破された際にオフィス全体が露出します。Omada SDNで最小限の分離を作る手順を整理します。
VLAN ID設計
| VLAN | 用途 | 帯域 | ゲートウェイ |
|---|
| 1 | 管理（スイッチ・AP） | 192.168.1.0/24 | 192.168.1.1 |
| 100 | WiFiゲスト | 192.168.100.0/24 | 192.168.100.1 |
| 200 | CCTV / NVR | 192.168.200.0/24 | 192.168.200.1 |
| 10 | 業務 | 192.168.10.0/24 | 192.168.10.1 |
管理VLANをデフォルトのVLAN 1でそのまま使うところが多いですが、可能なら別IDに分離する方が良いです。
設定手順
- Settings → Wired Networks → LAN → Create New LAN
- VLAN ID / Gateway / Subnetを入力し、DHCP範囲を指定
- スイッチ → Ports → 対象ポートにVLAN Profileを割り当て
- Devices → Provision で設定を配布
- 必要に応じてACLでVLAN間トラフィックを遮断
ACL — 実際に遮断すべきもの
- ゲスト → 業務ネットワーク全体を遮断 (基本)
- CCTV → インターネット遮断、NVRとのみ通信を許可
- 業務 → CCTV 照会のみ許可（NVR Webポート）
- 管理VLANは指定された管理PCからのみアクセス
CCTVを完全にオフラインにすると遠隔監視ができません。NVRだけを外部に公開し、カメラ自体はインターネットに出られない構成が実務的です。
よく見落とすポイント
- APの管理IPがゲストVLANに移り、リモート管理が切断される場合
- NVRがカメラを見つけられない場合 — ほとんどはVLAN間ルーティングの未許可
- PoE予算超過 — カメラ台数 × 消費電力の計算が必要