FortiGate においてソフトウェアスイッチを使用してタグ VLAN を実現する方法を検証したためその内容を記載します。
作業環境
- 型番:FortiGate 60E
- バージョン:v6.0.9
FortiGate でのタグ VLAN 実現方法について
FortiGate においてタグ VLAN ポート(トランクポート)を作成する方法として、物理インターフェースに対して IP アドレスを設定した VLAN インターフェースを対応付けるという方法があります。ただ、この方法だと複数の物理インターフェースに同じ VLAN ID を紐づけることは難しそうで、タグ付けしたまま別の物理インターフェースにスイッチングするということも難しそうです。
一方でソフトウェアスイッチを使用してタグ VLAN ポートを作成するという方法がありました。こちらの方法であればタグ付けしたまま別の物理インターフェースにスイッチングするといったことが可能になるようでした。

ソフトウェアスイッチの検証
要件
- FortiGate の internal3 と internal4 を VLAN 199 を通すポートとして、2つのインターフェース間でスイッチングできるようにする

ネットワーク構成
検証で構築したネットワークの最終的な構成は以下の図の通りです。

設定内容
■ FortiGate の設定内容
- 物理インターフェース internal3
- IP アドレス設定なし
- 物理インターフェース internal4
- IP アドレス設定なし
- VLAN インターフェース Vlan199
- インターフェース:internal3
- VLAN ID:199
- IP アドレス設定なし
- ソフトウェアスイッチ sfsw199
- 所属インターフェース
- internal4
- Vlan199
- IP アドレス:10.10.99.254/24
- 所属インターフェース
ポリシー設定入力/出力インターフェースともに sfsw199 とした許可ポリシー
■ L2SW の設定内容
- 端末A側 L2SW のインターフェース設定
- 端末A側
- VLAN199 のアクセスポート
- FortiGate 側
- Trunk ポート
- native vlan 1
- 端末A側
- 端末B側 L2SW のインターフェース設定
- 端末B側
- VLAN199 のアクセスポート
- FortiGate 側
- Trunk ポート
- native vlan199
- 端末B側
設定詳細
■ internal3 設定

■ internal4 設定

■ Vlan199 設定

■ ソフトウェアスイッチ sfsw199 設定

ソフトウェアスイッチは、インターフェースの新規作成画面でタイプをソフトウェアスイッチにすることで作成できます。

■ ポリシー設定

各設定について
各 L2SW の native vlan について
今回の検証では L2SW として Cisco 機器を使用しましたが、それぞれの Trunk ポートの native vlan がデフォルト(native vlan 1)の状態で、sfsw199(10.10.99.254) に対しての端末 A,B からの ping の結果は以下の通りでした。
- 端末A → 10.10.99.254 と疎通できる
- 端末B → 10.10.99.254 と疎通できない

ここで、端末 B 側の L2SW を確認したところ、native vlan ミスマッチのエラーログが出ていたため、Trunk ポートの native vlan を 199 へ変更しました。すると、端末 B からも 10.10.99.254 へ疎通できるようになりました。
逆に、端末 A 側の L2SW の Trunk ポートの native vlan を 199 に変更すると、端末 A から 10.10.99.254 への疎通もできなくなりました。
また、端末 B を直接 internal4 に接続したところ、端末 B から 10.10.99.254 へ疎通できました。
以上の結果から、ソフトウェアスイッチに所属する internal4 側から出力されるフレームはタグ無しの様です。
端末間通信とポリシーについて
ポリシーを何も設定しない状態では端末間の双方向で通信ができませんでした。そのため、入力/出力インターフェースともに sfsw199 とした許可ポリシーを設定したところ、端末 A と端末 B 間の双方向で疎通できるようになりました。
後日再度確認したところポリシーの設定は無しでも疎通可能でした。
おわりに
今回はソフトウェアスイッチを使用した同一 VLAN ID 内の通信について検証しましたが、結果としてはタグ VLAN ができているのかできていないのかよくわからないといった感じでした。ソフトウェアスイッチに関するポリシーの動作も仕組みが不思議な感じです。
より詳細が分かれば情報を更新していこうと思います。またソフトウェアスイッチをゲートウェイとして別セグメントへのルーティングもできるのではないかと予想していたりもするので、またの機会に検証してみたいと思います。
―――――――――――――