FortiGate のソフトウェアスイッチとタグ VLAN を検証する

ネットワーク

FortiGate においてソフトウェアスイッチを使用してタグ VLAN を実現する方法を検証したためその内容を記載します。

作業環境

  • 型番:FortiGate 60E
  • バージョン:v6.0.9

FortiGate でのタグ VLAN 実現方法について

FortiGate においてタグ VLAN ポート(トランクポート)を作成する方法として、物理インターフェースに対して IP アドレスを設定した VLAN インターフェースを対応付けるという方法があります。ただ、この方法だと複数の物理インターフェースに同じ VLAN ID を紐づけることは難しそうで、タグ付けしたまま別の物理インターフェースにスイッチングするということも難しそうです。

一方でソフトウェアスイッチを使用してタグVLANポートを作成するという方法がありました。こちらの方法であればタグ付けしたまま別の物理インターフェースにスイッチングするといったことが可能になるようでした。

ソフトウェアスイッチの検証

要件

  • FortiGate の internal3 と internal4 を VLAN 199 を通すポートとして、2つのインターフェース間でスイッチングできるようにする

ネットワーク構成

検証で構築したネットワークの最終的な構成は以下の図の通りです。

設定内容

■ FortiGate の設定内容

  • 物理インターフェース internal3
    • IP アドレス設定なし
  • 物理インターフェース internal4
    • IP アドレス設定なし
  • VLAN インターフェース Vlan199
    • インターフェース:internal3
    • VLAN ID:199
    • IP アドレス設定なし
  • ソフトウェアスイッチ sfsw199
    • 所属インターフェース
      • internal4
      • Vlan199
    • IP アドレス:10.10.99.254/24
  • ポリシー設定
    • 入力/出力インターフェースともに sfsw199 とした許可ポリシー

■ L2SW の設定内容

  • 端末A側 L2SW のインターフェース設定
    • 端末A側
      • VLAN199 のアクセスポート
    • FortiGate 側
      • Trunk ポート
      • native vlan 1
  • 端末B側 L2SW のインターフェース設定
    • 端末B側
      • VLAN199 のアクセスポート
    • FortiGate 側
      • Trunk ポート
      • native vlan199

設定詳細

■ internal3 設定

■ internal4 設定

■ Vlan199 設定

■ ソフトウェアスイッチ sfsw199 設定

ソフトウェアスイッチは、インターフェースの新規作成画面でタイプをソフトウェアスイッチにすることで作成できます。

■ ポリシー設定

各設定について

各 L2SW の native vlan について

今回の検証では L2SW として Cisco 機器を使用しましたが、それぞれの Trunk ポートの native vlan がデフォルト(native vlan 1)の状態で、sfsw199(10.10.99.254) に対しての端末 A,B からの ping の結果は以下の通りでした。

  • 端末A → 10.10.99.254 と疎通できる
  • 端末B → 10.10.99.254 と疎通できない

ここで、端末 B 側の L2SW を確認したところ、native vlan ミスマッチのエラーログが出ていたため、Trunk ポートの native vlan を 199 へ変更しました。すると、端末 B からも 10.10.99.254 へ疎通できるようになりました。

逆に、端末 A 側の L2SW の Trunk ポートの native vlan を 199 に変更すると、端末 A から 10.10.99.254 への疎通もできなくなりました。

また、端末 B を直接 internal4 に接続したところ、端末 B から 10.10.99.254 へ疎通できました。

以上の結果から、ソフトウェアスイッチに所属する internal4 側から出力されるフレームはタグ無しの様です。

端末間通信とポリシーについて

ポリシーを何も設定しない状態では端末間の双方向で通信ができませんでした。そのため、入力/出力インターフェースともに sfsw199 とした許可ポリシーを設定したところ、端末 A と端末 B 間の双方向で疎通できるようになりました。

おわりに

今回はソフトウェアスイッチを使用した同一 VLAN ID 内の通信について検証しましたが、結果としてはタグ VLAN ができているのかできていないのかよくわからないといった感じでした。ソフトウェアスイッチに関するポリシーの動作も仕組みが不思議な感じです。

より詳細が分かれば情報を更新していこうと思います。またソフトウェアスイッチをゲートウェイとして別セグメントへのルーティングもできるのではないかと予想していたりもするので、またの機会に検証してみたいと思います。

―――――――――――――

タイトルとURLをコピーしました