中小企業のネットワーク設計入門｜オフィスのLAN・Wi-Fi・VPNの基本
オフィスネットワークの3つの構成要素
中小企業のオフィスネットワークは、有線LAN（社内の基幹接続）、Wi-Fi（無線接続）、VPN/リモートアクセス（社外からの接続）の3つで構成されます。これらを適切に設計することで、業務効率とセキュリティの両方を実現できます。
有線LAN設計の基本
オフィスの有線LANは、インターネット回線→ルーター/UTM→L2/L3スイッチ→各フロアのスイッチ→PC・プリンタという構成が基本です。フロアが複数ある場合は、各フロアにスイッチを配置し、フロア間はバックボーン（できれば10Gbps）で接続します。
IPアドレス体系は将来の拡張を見越して設計してください。192.168.1.0/24では254台しか接続できないため、部門ごとにセグメントを分ける（営業：10.1.1.0/24、管理：10.1.2.0/24 等）設計が推奨です。
セグメント分割は「部門」より「リスク」で切る
部門別の分割は管理しやすい一方、セキュリティ上の効果は限定的です。実務で効くのは、リスクの異なる機器を混ぜないことです。最低限、次は分けてください。
| セグメント | 対象 | 分ける理由 |
|---|---|---|
| 業務用 | 社員のPC、業務サーバー | 通常の業務通信 |
| 来客・ゲスト | 来訪者の端末 | 素性の分からない端末を社内に入れない |
| 複合機・IoT | プリンタ、監視カメラ、入退室管理 | OSが古く更新できない機器が多い |
| 管理用 | スイッチ・UTMの管理画面 | 侵害されると全体を掌握される |
特に複合機やネットワークカメラは、脆弱性が残ったまま何年も運用されがちです。これらが業務セグメントに同居していると、そこを踏み台に横移動される経路になります。VLANで分けるだけでも、被害範囲は大きく変わります。
スイッチ選定の実務的な判断
「L2かL3か」で迷う場合、VLAN間のルーティングを機器側で行う必要があるかどうかが分岐点です。セグメントを分けるなら、L3スイッチかUTM側でルーティングします。50名規模までであれば、UTMにルーティングを任せてL2スイッチで揃える構成でも実用上問題ありません。
あわせて、PoE（Power over Ethernet）対応を確認してください。無線APやIP電話、ネットワークカメラを後から追加する際、PoE非対応だと電源工事が発生します。ポート数は現在の必要数の1.5倍程度を見ておくと、増員や機器追加に耐えられます。
Wi-Fi設計のポイント
Wi-Fiは手軽ですが、「つながらない」「遅い」というトラブルが最も多い領域です。アクセスポイント（AP）の設置は、1台あたり最大20〜30台の同時接続を目安に計画してください。会議室、共用スペース、来客エリアにはそれぞれAPが必要です。
セキュリティ面では、社内用と来客用のSSIDを分離し、来客用は社内ネットワークにアクセスできないよう分離してください。暗号化はWPA3（またはWPA2-Enterprise）を使用します。
「電波は届いているのに遅い」の原因
Wi-Fiのトラブルで多いのは、電波強度ではなく電波干渉とチャネル設計の問題です。
- 2.4GHz帯は混雑している — 電子レンジ、Bluetooth、近隣オフィスのAPと干渉します。可能な限り5GHz帯（または6GHz帯）に寄せてください
- チャネルの重複 — 隣接するAPが同じチャネルを使っていると互いに干渉します。自動チャネル選択に任せず、設計時に割り当てを確認します
- APの台数が多すぎる — 「たくさん置けば速くなる」は誤りです。過密に配置すると干渉が増えて逆効果になります
壁や什器の材質も影響します。コンクリート壁、金属製のキャビネット、書庫は電波を大きく減衰させます。図面上で均等に配置しても、実際には届かない場所が生じるため、可能であれば設置後に実測してください。
認証方式の選び方
小規模であれば事前共有キー（WPA2/WPA3-Personal）で十分ですが、共有パスワードは退職者が知り続けるという問題があります。人の出入りがある規模になったら、WPA2/WPA3-Enterprise（IEEE 802.1X）でユーザー単位の認証に移行してください。Entra ID や Google Workspace のアカウントと連携すれば、退職時のアカウント停止でWi-Fiも自動的に使えなくなります。
VPN・リモートアクセス
リモートワーク対応には、Site-to-Site VPN（拠点間接続）とリモートアクセスVPN（個人→社内接続）の2種類があります。従来型のVPN装置に加え、最近ではZscaler、Cloudflare Access等のZTNA（ゼロトラストネットワークアクセス）サービスも選択肢に入ります。
50名以上の規模であれば、VPN装置の処理能力がボトルネックになりやすいため、クラウド型のリモートアクセスへの移行を検討してください。
VPN装置は「攻撃される前提」で運用する
近年、VPN装置の脆弱性を突いた侵入が主要な攻撃経路になっています。装置を置いたまま何年も更新していない状態は、社内への入口を開けたままにしているのと同じです。
- ファームウェアの更新情報を追い、緊急度の高い脆弱性は計画外でも適用する
- VPNアカウントにも多要素認証（MFA）を必須にする。ID・パスワードだけの認証は突破される前提で考える
- 退職者のVPNアカウントを確実に停止する。人事とIT部門の連携フローがないと必ず残ります
社内リソースへのアクセスがWebアプリ中心になっているなら、VPNをやめてZTNAに寄せる判断もあります。「社内ネットワークに入れる」のではなく「特定のアプリだけに接続させる」設計のほうが、侵害時の被害範囲を抑えられます。
UTM（統合脅威管理）の導入
中小企業のネットワークセキュリティの第一歩はUTMの導入です。FortiGate、Sophos、WatchGuardなどの製品が中小企業向けに提供されており、ファイアウォール、IPS/IDS、アンチウイルス、Webフィルタリング、VPN機能を1台で提供します。
導入して終わりにしない
UTMでよくある失敗は、設置したまま設定を見直さないことです。次は定期的に確認してください。
- ライセンスの有効期限 — IPSやアンチウイルスの定義更新は年次ライセンスに紐づきます。切れると「箱はあるが守っていない」状態になります
- ログを誰も見ていない — 検知していても気づかなければ意味がありません。重要なアラートをメールやチャットに通知する設定を入れてください
- 一時的に開けたポートが残っている — 「検証のため一時的に」開けた設定が数年放置されている例は珍しくありません
UTMは境界を守る機器であり、境界の内側と、クラウド上のデータは守れません。テレワークやSaaS利用が中心になるほど、UTMだけでカバーできる範囲は相対的に小さくなります。端末側の対策（EDR）とID側の対策（MFA・条件付きアクセス）を組み合わせてください。
設計時に決めておくこと
工事が終わってからでは変更しづらい項目です。着手前に決めてください。
- 3年後の人数と拠点数 — ポート数、AP台数、IPアドレス体系はここから逆算します
- どこまでクラウドに寄せるか — ファイルサーバーを社内に置き続けるなら回線とバックボーンの帯域が要ります
- 障害時に誰が対応するか — 機器を統一しておくと、切り分けとベンダー対応が単純になります
- 構成図と管理情報の保管場所 — 機器のIPアドレス、管理パスワード、ベンダー連絡先。担当者の頭の中にしかない状態は避けます
まとめ
- オフィスネットワークは有線LAN・Wi-Fi・VPN/リモートアクセスの3要素で構成する
- セグメントは部門よりリスクで切る。特に複合機・IoT機器は業務セグメントから分離する
- スイッチはPoE対応とポート数1.5倍を目安に。後からの電源工事を避けられる
- Wi-Fiの「遅い」は電波強度より干渉とチャネル設計が原因のことが多い。APは増やせばよいものではない
- 人の出入りがある規模なら、**Wi-Fiの認証をユーザー単位（802.1X）**に。共有パスワードは退職者が知り続ける
- VPN装置は主要な攻撃経路。ファームウェア更新とMFAを必須にし、退職者アカウントを確実に止める
- UTMはライセンス期限・ログの確認・一時開放したポートを定期的に見直す
- UTMは境界しか守らない。端末側（EDR）とID側（MFA）と組み合わせる
- 設計は「今の規模」ではなく**「3年後の規模」**で行う
情シス365では、ネットワーク設計からWi-Fi構築、VPN/ZTNA導入まで、中小企業のインフラ環境をトータルでサポートしています。設計方針の相談はIT顧問プラン、構築と運用は運用支援（月額12万円〜）で対応します。無料相談からご相談ください。