docs: AP選定要件と候補機器を追加、VLAN tagged SSID 設計を更新

- docs/増備計画.md: AP選定要件表と候補4機種（GL-MT6000推奨）を追加、WRC-BE36QSをVLAN非対応と明記
- feature/network/ip-map.md: SSID/VLAN対応表に更新、tagged/非tagged両構成の注記を追加
- feature/logic/logic-map.md: VLAN tagged SSIDのトランク構成とFWルール表に更新
- feature/phys/phys-map.md: AP接続をトランクポート表記に更新

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

feature/logic/logic-map.md

@@ -39,14 +39,28 @@
 
 ### PRV セグメント（OPNsense 管理）
 
-| 送信元 | 宛先 | 許可 | 備考 |
+#### SSID → VLAN 対応（VLAN tagged SSID 対応 AP 使用時）
+
+```
+ap-prv-01
+  ├─ SSID: Main  → VLAN 100 タグ付き → sw-flex → opnsense-01 (vlan100 インターフェース)
+  ├─ SSID: IoT   → VLAN 101 タグ付き → sw-flex → opnsense-01 (vlan101 インターフェース)
+  └─ SSID: Guest → VLAN 102 タグ付き → sw-flex → opnsense-01 (vlan102 インターフェース)
+```
+
+> AP→sw-flex 間はトランクポート（VLAN 100/101/102 タグ許可）。OPNsense 側で各 VLAN に DHCP スコープと FW ルールを設定。
+
+#### ファイアウォールルール
+
+| 送信元 VLAN | 宛先 | 許可 | 備考 |
 |---|---|---|---|
-| Main SSID (100.0/24) | WAN | ✅ | 通常利用 |
-| Main SSID (100.0/24) | SRV (10.0.0.0/16) | ✅ (限定) | 公開サービスのみ |
-| IoT SSID (101.0/24) | WAN | ✅ | IoT クラウド通信 |
-| IoT SSID (101.0/24) | 内部 | ❌ | 完全遮断 |
-| Guest SSID (102.0/24) | WAN | ✅ | — |
-| Guest SSID (102.0/24) | 内部 | ❌ | 完全遮断 |
+| VLAN 100 Main | WAN | ✅ | 通常利用 |
+| VLAN 100 Main | SRV (10.0.0.0/16) | ✅ (限定) | nexus 公開サービスのみ |
+| VLAN 100 Main | VLAN 101/102 | ❌ | SSID 間通信遮断 |
+| VLAN 101 IoT | WAN | ✅ | IoT クラウド通信 |
+| VLAN 101 IoT | 内部全体 | ❌ | 完全遮断 |
+| VLAN 102 Guest | WAN | ✅ | — |
+| VLAN 102 Guest | 内部全体 | ❌ | 完全遮断 |
 
 ---
 

feature/network/ip-map.md

@@ -96,7 +96,8 @@
 
 ## PRV ネットワーク（192.168.100.0/22）
 
-> AP は VLAN 非対応のため VLAN 100 単一で運用。IoT・Guest の分離は SSID 別の DHCP スコープ＋OPNsense ファイアウォールルールのみで対応。
+> AP を VLAN tagged SSID 対応機に更新することで、SSID ごとに VLAN タグを付与して OPNsense へトランク転送する構成に移行可能。
+> 現行 WRC-BE36QS は VLAN 非対応のため、移行前は DHCP スコープ＋ファイアウォールルールのみで論理分離。
 
 ### VLAN 100 — PRV（`192.168.100.0/22`）
 
@@ -109,13 +110,16 @@
 | `sw-flex` | USW Flex | `192.168.100.11` |
 | `ap-prv-01` | AP（sc-flex 配下） | `192.168.100.21` |
 
-#### DHCP スコープ（SSID 別 / 論理分離）
+#### SSID / VLAN 対応表
 
-| SSID 用途 | 便宜上のCIDR | DHCP レンジ | OPNsense ルール |
-|---|---|---|---|
-| Main（一般端末） | `192.168.100.0/24` | `192.168.100.100` – `.200` | 内部アクセス許可 |
-| IoT | `192.168.101.0/24` | `192.168.101.100` – `.200` | 内部アクセス遮断、WAN のみ |
-| Guest | `192.168.102.0/24` | `192.168.102.100` – `.200` | 内部アクセス遮断、WAN のみ |
+| SSID | VLAN タグ | サブネット | DHCP レンジ | OPNsense ルール |
+|---|---|---|---|---|
+| Main（一般端末） | VLAN 100 | `192.168.100.0/24` | `192.168.100.100` – `.200` | 内部アクセス許可 |
+| IoT | VLAN 101 | `192.168.101.0/24` | `192.168.101.100` – `.200` | 内部アクセス遮断、WAN のみ |
+| Guest | VLAN 102 | `192.168.102.0/24` | `192.168.102.100` – `.200` | 内部アクセス遮断、WAN のみ |
+
+> VLAN tagged SSID 対応 AP では AP→sw-flex 間をトランクリンクとし、各 SSID のフレームに VLAN タグを付けて OPNsense で終端する。
+> 非対応 AP の場合は SSID 単一（VLAN 100）で運用し、OPNsense 側の DHCP スコープ＋FW ルールのみで分離。
 
 - **インフラ静的**: `192.168.100.1` – `.30`
 - **予備/将来用**: `192.168.103.0/24`

feature/phys/phys-map.md

@@ -68,7 +68,7 @@ rt-edge-01 (RTX 1300)
 rt-edge-01 (RTX 1300)
   └─ [1G] opnsense-01 (Topton N100, SFP+ 2ポート + 2.5G 4ポート)
         └─ [2.5G] sw-flex (USW Flex)
-              ├─ [2.5G] ap-prv-01 (WRC-BE36QS)  ← SSID: Main / IoT / Guest
+              ├─ [2.5G] ap-prv-01 (WiFi 7/6E 対応機)  ← SSID: Main (VLAN100) / IoT (VLAN101) / Guest (VLAN102)
               └─ [1G/2.5G] クライアント端末（有線）
 ```
 
@@ -77,7 +77,7 @@ rt-edge-01 (RTX 1300)
 | opnsense-01 | SFP+ ポート 0 | WAN 接続（RTX 1300 LAN 側） |
 | opnsense-01 | 2.5G ポート 0 | LAN / VLAN 100 (PRV) |
 | sw-flex | ポート 1 | Uplink to opnsense-01 |
-| sw-flex | ポート 2 | ap-prv-01 |
+| sw-flex | ポート 2 | ap-prv-01（トランク: VLAN 100/101/102） |
 | sw-flex | ポート 3〜5 | クライアント有線接続（予備） |
 
 ---