VLANは、1台のスイッチ・1本のケーブルを、論理的に複数の別々のネットワークに分ける仕組みです。同じスイッチにつながっていても、VLANが違えば直接は通信できません（＝ブロードキャストの届く範囲を分ける）。所属の区別はタグで行い、スイッチ間の1本のケーブルに複数VLANを相乗りさせるのがトランクです。
ポートは2種類。アクセスポート＝端末をつなぐ口で、1つのVLANに固定（タグは付けない）。トランクポート＝スイッチ同士をつなぐ口で、フレームにVLAN番号のタグを付けて複数VLANを1本に流します。「どのVLANの通信か」をタグが運ぶ、が核です。
タグを付けて相乗り、外して届ける
端末はタグを知りません。タグはスイッチ間だけで付く・外れるもの。だから同じトランクを流れても、VLAN10とVLAN20は混ざらず、それぞれ同じVLANの相手にしか届きません。
動きで見る
アクセスポートで受けたフレームに、スイッチが所属VLANの「タグ」を付けてトランクへ流し、出口で外す様子を追えます。同じVLANの相手にだけ届くのが見えます。（図は横スクロールできます）
要は「タグで所属を運び、同じVLAN内だけで通信」。設問では「アクセスかトランクか（＝タグの有無）」「異なるVLAN間はどう通信するか」「1本のケーブルに複数VLANを通せる理由」が問われます。同じスイッチでもVLANが違えば別ネットワーク、と割り切るのが起点です。
VLANをまたぐ通信には、L3の中継（ルータ／L3スイッチ）が必要です。VLANはあくまで「分ける」仕組みで、分けた者同士をつなぐには一段上（ルーティング）が要る。「同じスイッチにあるのに通じない＝VLANが違うから、間にルータが要る」を落とさないのが急所です。
SC向け：VLANの壁を越える攻撃
VLANは物理ではなく論理で分けるため、設定ミスや仕様の悪用で「分けたはずの境界」が越えられることがあります。SC/NW午後では「セグメント分離が本当に効いているか」を問う出題が定番です。
攻撃・リスク
- スイッチスプーフィング：自分をトランクに見せかけ、全VLANのタグ付きフレームを受け取る。
- ダブルタグ：ネイティブVLAN（タグ無しで運ぶVLAN）を悪用し、外側タグが剥がれた後の内側タグで別VLANへ片方向に侵入。
- 設定ミスによる意図せぬ越境。論理分割は物理分離より事故に弱い。
効く対策
- 端末ポートはアクセス固定にし、トランク自動折衝（DTP）を無効化。
- ネイティブVLANは実運用しない未使用VLANにし、可能ならタグ付けする。
- 不要なVLANはトランクから除外する。
- 同一VLAN内での分離はプライベートVLANで行う。
午後では「セグメント分離は本当に効いているか」「ネイティブVLAN／トランクの注意点」が問われます。分離の設計意図と、それを崩す設定ミス・仕様悪用の両面を押さえるのが判断軸です。