オフィスネットワークの構築：300名モデルで考える構成・機器・費用

移転や増床、機器の更新でオフィスネットワークを作り直すとき、複数の提案を受け取っても比べられないことがあります。機種や台数だけでなく、回線の冗長化、無線の設計、保守の範囲、止まったときに残る業務の前提が提案ごとに違うためです。

構成や価格を比べる前に、次を確認します。

• 使う業務：Web会議、大きなファイルの受け渡し、SaaS、社内システム、複合機やカメラ
• 止まると困る範囲：どの業務を、どのくらいの時間なら止められるか
• 役割：現場の担当、ベンダー、自社の情シスが、それぞれ何を担うか

この記事では、300名・3フロアのオフィスを計画の例として、回線・ファイアウォール（FW）・スイッチ・無線APの前提と共通の要件をそろえ、回線の冗長化とSD-WAN、3つの構成の違いを比べたうえで、受け入れと運用の担当まで順に整理します。すべての機能や機器を買いそろえる必要はありません。止められる範囲や保守の担当によっては、構成を簡略にしたり、追加で確認してから決めたりする判断もあります。

この記事で使うモデルの条件は、300名、1拠点、3フロア、有線の端末100台、無線の端末は最大450台、比べる期間は5年です。無線の端末の台数は、登録している台数、接続している台数、実際に同時に通信している台数を分けて考えます。

次の表は、モデルでの置き方と、実際に決める前に調べることです。モデルの数字は計算の例で、必要な台数を確定したものではありません。

表は横にスクロールできます →

AP20台、48ポートのアクセススイッチ4台は、数量を計算するための仮置きです。面積、壁、密度、配線、同時に使う台数が分からないうちは、必要な台数を確定できません。人数から「AP15〜25台」のような幅を出しても、測定に基づく値にはなりません。

モデルの共通の構成は、回線 → FW（2台でHA） → コアスイッチ（2台） → 各フロアのアクセススイッチ → 無線APと有線の端末、の順につながります。このほかに、認証（RADIUS）と証明書、端末の設定、DHCP・DNS・時刻、管理の環境とログ、予備機、電源とUPS、配線と保守が必要です。FW・コア・アクセス・APの4種類の機器だけで、構成が完結するわけではありません。

この記事の例では、業務のVLANのゲートウェイと、VLAN間の通信の制御をFortiGateに置き、コアとアクセスはL2で使います。この場合、VLANをまたぐ社内のファイル転送などもFWを通るため、インターネット回線の速度だけでFWを選べません。スイッチのL3機能を使うかどうかは別の設計で、L3機能を使えば同じセキュリティになるわけでもありません。

同じVLANの中の端末どうしの通信は、通常はそのVLAN内で流れ、FortiGateを通らない場合があります。VLANを分けただけで、認証、検査、同じVLAN内の分離までできたことにはなりません。IPv6を使う場合は、IPv4と同じ方針を設定して確かめます。

SD-WANは、複数の回線の状態と業務の方針から、通信に使う経路を選ぶ仕組みです。拠点が1つでも、インターネットへの出口を2本の回線から選ぶために使えます。この記事ではFortiGateでSD-WANを設定する例を扱います。SD-WANという名前の回線を契約するものではなく、特定の回線事業者でなければ使えないものでもありません。回線が切れたときに切り替えるだけで足りる要件なら、SD-WANの導入そのものを目的にはしません。

次の表は、回線の組み合わせの検討例です。後で比べるLANの構成A・B・Cと区別するため、回線案はR1・R2・R3と呼びます（確認日：2026年10月現在）。

表は横にスクロールできます →

この記事では、説明の出発点をR1とし、後のA・B・Cの比較や数量・費用にも同じ回線案を当てはめます。R1・R2は、所在地、実際の通信量、予算、障害時の要件が分からない段階の検討例で、300名の企業に向けて確定した推奨の契約ではありません。USEN GATE 02のプレミアインターネットは、2.5Gbpsや5Gbpsの品目があり、1社で専有する方式です（USEN GATE 02：プレミアインターネット）。提供されない地域では同社のプレミアインターネット（R）も候補になりますが、帯域の品目、提供する網、保守と保証の条件が異なるため、同じ商品としては扱いません（USEN GATE 02：プレミアインターネット（R））。NURO Bizの法人回線も、2Gと10Gの商品を、最大速度と帯域確保の条件に分けて確かめます（NURO Biz：インターネット接続サービス）。回線の速度は、公称の最大速度、帯域確保の値、端末で出る実際の速度、上りと下りを分けて確かめます。

契約の窓口、ブランド、ISPが違っても、アクセス回線、収容局、上位の網、ビルへの引込み、ラックの電源が別々とは限りません。回線の種類と、物理的・上流の共通点、別の経路で引き込めるかを、提供事業者とビルの管理者に確かめます。同じ会社にまとめる案でも、窓口が1つになる便利さと、障害の経路が分かれることは別に評価します。

運用の方針は、主回線を優先して使うことを基準に、通信を次の4つに分けて決めます。

1. 業務のSaaSや認証など、止めたくない通信
2. Web会議など、遅延や途切れに敏感な通信
3. OSの更新やバックアップなど、延期や制限ができる通信
4. ゲストの通信

副回線も普段から疎通と状態を監視し、切り替えたときに使えることを確かめます。普段から2本に通信を分ける使い方は必要なら検討しますが、送信元の固定IPを使う業務や、続いているセッションへの影響を考えずに、一律に分散させることはしません。2本を同時に使っても、1つの通信の速度が2本の合計になるわけではありません。

FortiGateのPerformance SLAは、遅延・ジッター・パケットロスなどを測って回線の状態を判断する機能で、SD-WANのルールで経路を選ぶ条件に使えます（Fortinet：SD-WAN performance SLA）。これは、回線事業者が稼働率に応じて料金を返金するような契約上のSLAとは別のものです。複数の適切な測定先、切り替えと戻す条件、通知の宛先と担当を決め、特定のSaaSだけの障害で全体の通信を切り替え続けないようにします。判定の数値や戻るまでの秒数に、どの環境にも当てはまる推奨値はありません。主回線が戻ったときに、安定を確かめてから戻す方針も決めます。また、専有型という説明は回線の共用の方式のことで、インターネットの全区間の帯域や、すべての業務が止まらないことを保証するものではありません。

回線が切り替わって送信元のグローバルIPが変わると、Web会議やVPN、続いているセッションがつなぎ直しになる場合があります。上流でアドレス変換をする構成では、経路の変更とセッションの関係にも注意が要ります（Fortinet：SLA-Stickinessの技術情報）。2本の回線の固定IPは通常は別のアドレスなので、SaaSの許可リスト、相手先とのVPN、公開しているサービスとDNS、IPv6、MTUも確かめます。外から接続を受けるサービスや許可リストを使う場合は、両方の回線を固定IPにすることを基本の例とします。固定IPのない副回線は、必要な機能を満たせる場合の代わりの案です。固定IPの数は、HAを理由に一律に増やすのではなく、事業者の引渡し方法、仮想MAC、管理用のアドレスなどから判断します。

法人向けのIPoEでも、IPv4 over IPv6の方式と、FortiGateの機種・版・接続の条件が合うかを確かめます。OCNの法人向けIPoEのように、対応するルーターを置くことが前提のサービスもあります（OCN光 IPoEサービス 標準プラン）。終端のルーターを置く場合は、その費用、故障する箇所が増えること、二重のアドレス変換などを評価します。事業者が管理するルーターを使う場合は、自社のFWとの役割、ポリシー、故障したときの窓口を整理し、同じUTMや管理を二重に契約しないようにします。

HAの2台のどちらからも、主・副の両方の回線へ届く必要があります。主回線をFW1だけに、副回線をFW2だけにつないでも、HAとSD-WANの構成は完成しません。Fortinetの構成例でも、各回線の終端と2台のFWの間にスイッチを置き、両方のFWを両方の回線につないでいます（Fortinet：SD-WAN with FGCP HA）。事業者の終端装置で必要な接続ができない場合は、回線ごとのWAN側のスイッチなどを検討し、台数・ポート・電源を数量と費用に加えます。2本の回線を1台の共通の装置だけに頼ると、そこが故障したときに両方とも使えなくなる点も見落としません。

4G・5Gのモバイル回線を、3本目の経路として加える選択肢もあります。基地局の混雑、電波、データ量と速度の制限、契約、アドレス変換の条件を確かめ、重要な部署や業務に絞って使う前提にします。300名全員の通常の利用の代わりや、災害のときもつながり続けることを期待するものではありません。

3つの構成は、主・副2本の回線、FortiGateのHA（Active-Passive）とSD-WAN、Ciscoのコアスイッチ2台を共通にして、アクセススイッチと無線APの組み合わせだけを変えたものです。名前のA・B・Cは区別のためで、良し悪しの順ではありません。

表は横にスクロールできます →

AとCの違いは主にAPと無線の管理、BとCの違いは主にアクセススイッチとその管理です。ただし、すべての組み合わせを試す実験ではないため、機器どうしの相性や管理の工数まで、違いの原因を完全に分けられるわけではありません。メーカーの評判を、安定性や復旧時間を測って比べた結果のように扱うこともしません。

次の表は、比べるために置いた候補の型番と仕様です（確認日：2026年10月現在）。国内で発注する型番、無線の利用条件、販売と保守の終了時期、在庫と納期、交換や保守の契約は、この表では確認していません。海外の仕様ページに載っていることを、国内での調達や5年間の保守を確認したことにはしません。

表は横にスクロールできます →

仕様は、Fortinetの機種一覧（Fortinet：FortiGate）、Ciscoのデータシート（Cisco：Catalyst 1300 Data Sheet）、Merakiのデータシート（Meraki：CW9172I Datasheet）、UniFiの仕様（UniFi：USW-Pro-Max-48-PoE、UniFi：U7 Pro）で確認しました。次の3つの図は、同じ向き・同じ粒度で描いた論理構成で、配線やポート番号を決めた図ではありません。

アクセススイッチとAPをCiscoにそろえ、APはクラウドのMeraki Dashboardで管理する構成です。共通部分のFortiGateとコアは、それぞれの管理画面で管理します。

アクセススイッチとAPをUniFiにそろえ、UniFiの管理環境でまとめて管理する構成です。FortiGateとCiscoのコアは共通のままで、全機器がUniFiの構成ではありません。UniFiの管理環境は、UniFiのゲートウェイを置かず、FortiGateをゲートウェイにしたまま、管理用の機器やサーバーで動かす方法を検討します。

アクセススイッチはCisco、APはUniFiにする構成です。スイッチと無線で管理の画面が分かれるため、担当、記録、障害の切り分けの手順を決めておきます。

FWの性能は、公表されている値の種類と測定の条件を分けて読みます。FortinetのProduct Matrix（October 2026）では、1518バイトのUDPパケットで測ったファイアウォールのスループットは、120G・200Gとも39Gbpsです。一方、IPS・アプリケーション制御・マルウェア対策を有効にし、業務の通信を模した組み合わせ（Enterprise Mix）で測ったThreat Protectionの値は、120Gが2.8Gbps、200Gが6Gbpsです。SSL Inspectionの値も、120Gが3Gbps、200Gが7Gbpsと別に示されています（Fortinet：Product Matrix。確認日：2026年10月現在）。

必要な性能は、2Gbps程度の通信を使いたい場合と、5Gbps級の通信まで検査したい場合とで分けて考えます。120Gを、5Gbpsの通信をすべて検査する構成とは考えません。200Gも、社内の通信、SSL Inspection、VPN、セッション数、ログ、余力を合わせて確かめます。

測定の条件が異なる値を足したり掛けたり、いちばん小さい値だけを取ったりして、実際の構成の処理能力を出すことはできません。メーカーの公表値は、決まった条件で測った値で、実際の環境とは違います。Active-PassiveのHAでは、2台分の性能を足すこともできません。

通信の経路は、回線と終端装置 → FW → コア・アクセス → AP・端末の順に、それぞれの接続の速さを追います。同時に使う通信と社内のファイル転送、主回線と副回線の経路、切り替えた後に残る容量も確認します。10Gを2本束ねても、1つの通信が20Gbpsになるわけではありません。スタックに使うポート、各FWへの接続、アクセスからの上り、SFP+やケーブルを、同じ空きポートに重ねて数えないようにします。Ciscoのスタックでは、通常のポートをスタック用に設定し、そのポートは利用者の通信に使えません（Cisco：Stacking Manual）。フロア間の距離、配線の規格、ラックと電源・UPSも含めます。

ポートの数は、次のように計算の例を示せます。

• 有線の端末100＋AP20＋その他の有線（仮に20）＝140ポート
• 予備を仮に25%とすると、140×1.25＝175ポート
• 48ポートのスイッチ4台で、4×48＝192ポート

これは数量の計算の例で、各フロアへの配置やPoEまで満たしたという意味ではありません。予備25%も例で、標準の要件ではありません。

PoEは、各ポートの規格と割り当てる電力、スイッチ1台ごとの電力の予算、UPSと発熱を分けて確認します。例えば、給電する側でAP1台に30Wを割り当てると仮定すると、1台のスイッチにAPを5台つなぐ場合は150Wを、そのスイッチの計画に計上します。APの消費電力と、スイッチが供給できる電力の予算は別のものです。カメラや電話なども加え、全フロアの合計の電力に余裕があっても、スイッチ1台ずつが足りているとは限りません。

Wi-Fiは、面積、壁、人の密度、会議室、電波の干渉、チャネル、端末の規格と、受け入れの条件から配置を決め、事前の設計と現地での測定で調整します（Meraki：Site Survey）。AP20台は仮置きです。最大のクライアント数、無線の速度の合計、メーカーの面積の表示を、全員が快適に使える実効の帯域に置き換えません。Wi-Fi 7や、すべてのAPのマルチギガビットの接続が必須とも限らず、業務の要件で選びます。

次の表は、用途ごとにVLANを分ける例です。8つに分けることは必須ではありません。業務に必要な通信だけを許可する方針で、DNS・DHCP・認証、印刷や機器の探索、Web会議などの例外を確かめます。すべての用途の間で通信を許可すると、分けた意味がなくなります。

表は横にスクロールできます →

カメラの録画の容量や機器の選び方はQNAP NASとONVIF監視・防犯カメラで、ファイルの保存先の見直しはNAS・ファイルサーバーの見直しで扱っています。

VLAN IDとIPアドレスの範囲は、別の設計の項目です。IPv4のアドレスを全部のVLANに機械的に割り振る必要はありません。例えば、社員のWi-Fiに/23のアドレスの範囲を使うと、通常使えるホストの数は510です。最大450台に予備を仮に25%加えると562.5、切り上げて563で、足りません。/22なら1,022ですが、全社に勧める値ではありません。実際の端末の数、同時に接続する数、DHCPの貸出期間、予約、増える見込みから決めます。

WPA2/WPA3-Enterpriseと802.1Xの認証には、RADIUSと、端末・証明書の管理、更新・失効、退職したときの扱いが必要です。機器の機能の一覧に印が付いていても、運用ができたことにはなりません。6GHzの帯域のセキュリティの条件と、古いIoT機器の扱いは分けて考えます。例えば、UniFiのPPSKはWPA2だけのため6GHzでは使えず、RADIUSによるVLANの割り当てはWPA2/WPA3-EnterpriseのSSIDで使う機能です（UniFi：PPSK・RADIUSによるVLAN）。認証の結果でVLANを変える動作は、端末・RADIUS・AP・スイッチと、その設定や版の組み合わせで確かめます。MACアドレスだけの判定は、本人の認証と同じではありません。端末やアカウントの管理の分担は、Google Workspace・Microsoft 365の運用引継ぎも参考になります。

FWとコアを2台ずつにしても、回線と終端装置・引込み、上流の接続、電源とUPS、認証・DHCP・DNS、管理の仕組み、アクセススイッチ、1台のAPの故障がなくなるわけではありません。コアのスタックにも、制御や更新など、2台に共通する原因が残ります。メーカーの機能の説明にある切り替えの表現を、業務が止まらないことや、復旧の時間の保証に置き換えません。

2台の独立したスイッチにまたがってリンクを束ねるには、スタックやMC-LAGなどの対応が必要で、ケーブルを2本挿すだけでは成り立ちません。UniFiのMC-LAGは特定の集約スイッチの組み合わせで使う機能で、アクセススイッチ全般の機能ではありません（UniFi：MC-LAG）。この記事では3構成ともコアを共通にしているため、Bだけ冗長化の水準を下げて安く見せることはしていません。

受け入れのときに確認する候補は、次のとおりです。

• 代表的な業務と、人が集まる会議室での利用
• 許可と拒否の通信、IPv6
• 認証・DHCP・DNSの異常
• 回線・装置・リンクの故障と、品質の劣化
• 測定先だけが止まったとき
• 切り替えた後のSaaS、送信元のIP、Web会議、VPN、IPv6
• 主回線が戻ったときの切り戻しと、設定の復元
• 通知と、担当への引継ぎ

故障を起こす試験は、その場で実行せず、分けた環境で試すか、影響、実行する権限、時間帯を関係者と決めてから行います。期待する結果、担当、記録、未確認の点を残し、試験を終えたことと、確認できていないことを分けます。

管理は、構成AでもFortiGate、Ciscoのスイッチ、Meraki Dashboardにまたがり、B・CでもFortiGateとCiscoのコア、UniFiの管理環境にまたがります。「Aならすべて1つの画面」「UniFiなら担当は要らない」とはなりません。UniFiの管理環境は、ゲートウェイと一体の機器のほかに、管理用の機器、公式のHosting、自社のサーバーで動かす方法があります（UniFi：Control Plane）。どれを選んでも、期限、バックアップ、更新、ベンダーの窓口、障害の切り分け、交換、予備機の担当を記録します。

テレワークなどのリモート接続は、必要な場合だけ、IPsecやZTNAなどで設計します。FortiOS 7.6.3以降では、SSL-VPNのトンネルモードがIPsec VPNに置き換えられています（FortiOS 7.6.3 リリースノート）。社内のアクセスの考え方全体は、ゼロトラストとは？NIST7原則と導入ロードマップで扱っています。

次の表は、5年間の費用を同じ条件で比べるための項目です。この記事では単価や総額は載せず、何を数えるか、どこで確かめるかを整理します（確認日：2026年10月現在）。

表は横にスクロールできます →

費用の構造は、共通の費用（主・副の回線、ISP、固定IP、工事、WAN側の装置、SD-WANの運用など）＋4×アクセススイッチの単価＋20×APの単価＋5年分の必要な契約・管理・運用の費用、のように表せます。工数を費用に入れる場合は、担当、作業の量、単価の前提が必要です。年額と月額、税、送料、期間、ライセンスの範囲をそろえ、5年分の一括の契約と年ごとの更新を二重に数えないようにします。契約に含まれる交換や支援を、追加の保守と重ねて数えることもしません。

公式のストアに載っているAPの価格と、国内の保守を含む見積は、同じ条件ではありません。公開されている価格が見つかる製品だけに小計を付けて、B・Cを安く見せることはしません。FortiGateのSD-WANでも、アプリケーションの監視や設定のウィザードなど、追加のライセンスが必要な機能があります（Fortinet：Application performance and configuration）。必要な版と機能で確かめます。

Meraki Dashboardで管理するCiscoのAPは、管理の方式、機種、ライセンスの方式と、現行の条件を確かめます。Wi-Fi 7の機器にも、過去のライセンスの一覧をそのまま当てはめません（Meraki：Subscription Licensing）。UniFiは、ソフトウェアの利用料の条件と、管理用の機器・Hosting・保守・交換・作業の費用を分けて確かめます。UniFiにも支援や交換の仕組みがあるかを販売経路と契約で確かめ、支援がないと決めつけて比べることはしません。障害の時間の短さや管理の工数の差は、この記事では測っていないため、数値や順位では示していません。

金額が分からない項目は0円にせず、確認できた小計と、未確認の項目を分けます。必要な金額と条件がすべてそろって、はじめて総額を比べられます。提案や見積を同じ条件で比べる方法は、システム見積もり・ベンダー提案の比較方法で扱っています。

発注の前に、次の項目を確認します。3つの構成は、機器の名前ではなく、自社の体制で続けられるかと、残っている確認事項から選びます。