FortiGate の VDOM(バーチャルドメイン)の概要と基本設定

ファイアウォール(UTM)

作業環境

  • 型番:FortiGate 60E
  • バージョン:v6.2.6

VDOM(バーチャルドメイン)とは

  • FortiGate を独立して動作する 2 つ以上の仮想ユニットに分割する機能です
  • VDOM 毎に個別のセキュリティポリシーを設定できます
  • 以下の 2 つの VDOM モードがあります
  1. 分割タスク VDOM モード
    • 一方の VDOM は機器管理にのみ使用され、もう一方はトラフィックの管理に使用されます
  2. マルチ VDOM モード
    • 複数の VDOM それぞれを独立したユニットとして作成および管理できます
    • 通常、VDOM を使用する場合はこちらのモードを使用するかと思います
  • ほとんどの型番ではデフォルトで 10 個の VDOM をサポートしています
    • 多くの型番で、ライセンスキー購入による VDOM 最大数増加をサポートしています
  • 以下のようなグローバル設定は VDOM の外部で設定します。これらは FortiGate 全体に影響します
    • インターフェース
    • ファームウェア
    • DNS
    • 一部のロギング
    • サンドボックスオプションなど

VDOM モード間でのモード切替可否

現在のモード変更後モード切替可否
VDOMなし分割タスクVDOM可能
VDOMなしマルチVDOM可能
※FortiGate がセキュリティファブリックの
 メンバーである場合は不可
分割タスクVDOMマルチVDOM可能
※FortiGate がセキュリティファブリックの
 メンバーである場合は不可
分割タスクVDOMVDOMなし可能
マルチVDOM分割タスクVDOM不可
最初に [VDOM なし] に切り替える必要がある
マルチVDOMVDOMなし可能
root 以外の VDOM を削除しておく必要がある

分割タスク VDOM モード

分割タスク VDOM モードでは以下の 2 つの VDOM が存在します。

  1. 管理 VDOM(root
    • FortiGate の管理に使用され、トラフィックの処理には使用できません
  2. トラフィック VDOM(FG-traffic
    • 個別のセキュリティポリシーを提供し、すべてのネットワークトラフィックを処理するために使用されます

分割タスク VDOM モードを有効にする

分割タスク VDOM モードは、GUI または CLI で有効にできます。有効にすると、再起動は必要ありませんが、FortiGate からログアウトします。

分割タスク VDOM モードを有効にすると、現在のすべての管理設定が root VDOM に割り当てられ、ファイアウォールポリシーやセキュリティプロファイルなどのすべての非管理設定が削除されます。

FortiGate 60 シリーズモデル以下では、VDOM の有効化は CLI でのみ実施可能です。

FortiGate 60E の場合は VDOM モードの変更は CLI でのみ実施可能です。

VDOM モードの設定項目は config system global 配下の set vdom-mode です。

FW02 (global) # show full-configuration
config system global
.
.
.
    set vdom-mode no-vdom
.
.
.
end

FW02 (global) # set vdom-mode
no-vdom       Disable split/multiple VDOMs mode.
split-vdom    Enable split VDOMs mode.
multi-vdom    Enable multiple VDOMs mode.

分割タスク VDOM モードとする場合は set vdom-mode split-vdom と設定します。

FW02 # config system global

FW02 (global) #  set vdom-mode split-vdom

FW02 (global) # end
Some settings (e.g., firewall policy/object, security profile, wifi/switch controller, user, device, dashboard)
in vdom "root" will be deleted, a split-task vdom "FG-traffic" will be created, and you will be logged out for the operation to take effect.
Do you want to continue? (y/n)y

exit

FW02 login:

管理者アカウントについて

分割タスク VDOM モードへ変更後は、既存の管理者アカウントをグローバルの管理者アカウントとして使用できます。

VDOM 環境における CLI での設定

グローバルの管理者アカウントでログイン後は、以下のような流れで VDOM の設定を行います。

  1. VDOM コンフィグモードへ移行する
  2. 設定対象の VDOM のコンフィグモードへ移行する
  3. 対象 VDOM に関する各種設定を行う
FW02 #
config      Configure object.
get         Get dynamic and system information.
show        Show configuration.
exit        Exit the CLI.

FW02 # config
global    config global
vdom      config vdom

FW02 # config vdom
 <Enter>

FW02 # config vdom

FW02 (vdom) #
edit      Add/edit a table value.
delete    Delete a table value.
end       End and save last config.

FW02 (vdom) # edit
<vdom>    Virtual Domain Name
FG-traffic
root

FW02 (vdom) # edit FG-traffic
 <Enter>

FW02 (vdom) # edit FG-traffic
current vf=FG-traffic:3

FW02 (FG-traffic) #
config      Configure object.
get         Get dynamic and system information.
show        Show configuration.
diagnose    Diagnose facility.
execute     Execute static commands.
alias       Execute alias commands.
exit        Exit the CLI.
next        Configure next table entry.
end         End and save last config.
sudo        sudo command.

FW02 (FG-traffic) #
FW02 (FG-traffic) # end

FW02 #

インターフェースの VDOM への割り当て

  • インターフェイスは、ただ 1 つの VDOM に対して割り当てられます
  • 分割タスク VDOM モードへ変更直後はすべての物理インターフェースが VDOM:root に割り当てられています
  • ポリシーでインターフェースを使用するためには、最初にVDOM:FG-traffic にインターフェースを割り当てる必要があります

GUI で設定する場合は、インターフェースの編集画面から設定できます。

他の設定で使用されている(参照されている)インターフェースについては VDOM を変更できません。VDOM を変更する場合はまず参照元の設定を削除してください。

CLI で設定する場合は、Global 設定の config system interface 配下の対象インターフェースにて、set vdom 項目を設定します。

例:internal2 インターフェースを VDOM “FG-traffic” に割り当てる場合

FW02 # config global
FW02 (global) # config system interface
FW02 (interface) # edit internal2
FW02 (internal2) # set vdom FG-traffic

FW02 (internal2) # show
config system interface
    edit "internal2"
        set vdom "FG-traffic"
       .
       .
       .
    next
end
FW02 (internal2) # end
FW02 (global) # end
FW02 #

VDOM ごとの管理者アカウントを作成する

指定した VDOM のみにアクセスできるアカウントを作成できます。

このような管理者アカウントを作成する場合は、管理者プロファイルとして以下のいずれかを指定する必要があります。

  • デフォルトで存在する prof_admin
  • 自作したカスタムプロファイル

逆に管理者プロファイルとしてデフォルトで存在する super_admin を指定すると、バーチャルドメインの設定に関わらずグローバルの管理者アカウントが作成されます。

例:VDOM “FG-traffic” に対して管理者アカウント fgadmin を作成する場合

CLI で設定する場合は、以下の通りです。

config system admin
    edit "fgadmin"
        set accprofile "prof_admin"
        set vdom "FG-traffic"
    next
end

config global 階層に移動後、config system admin 階層に移動して設定します

マルチ VDOM モード

マルチ VDOM モードでは、FortiGate は独立したユニットとして機能する複数の VDOM を持つことができます。1 つの VDOM を使用してグローバル設定を管理します。マルチ VDOM 設定直後は以下の様に vdom として root のみが存在する状態になります。

  • global
  • vdom
    • root

root VDOM は削除できず、トラフィックを処理していなくても構成に残ります。

マルチ VDOM モードには、主に以下の 3 つの設計思想があります。

  1. 独立した VDOM
    • 複数の完全に分割された VDOM を作成します
    • インターネットにアクセスできればどの VDOM も管理 VDOM にすることができます
    • VDOM 間のリンクはなく、各 VDOM を独立して管理します
  2. 管理 VDOM
    • 管理 VDOM を他の VDOM とインターネットの間に配置し、その他の VDOM は VDOM 間リンクを使用して管理 VDOM に接続します
    • 管理 VDOM は、双方向で許可されるトラフィックを含め、インターネットアクセスを完全に制御します
    • 入口と出口が1つしかないため、これによりセキュリティを向上させることができます
    • 管理 VDOM 以外の VDOM 同士での通信は行いません
  3. メッシュ VDOM
    • VDOM は VDOM 間リンクを介して通信させます
    • フルメッシュ構成では、すべての VDOM が相互接続されます
    • 部分メッシュ構成では、一部の VDOM のみが相互接続されます

マルチ VDOM モードを有効にする

マルチ VDOM モードは、GUI または CLI で有効にできます。有効にすると、再起動は必要ありませんが、FortiGate からログアウトします。

FortiGate 60 シリーズモデル以下では、VDOM の有効化は CLI でのみ実施可能です。

FortiGate 60E の場合は VDOM モードの変更は CLI でのみ実施可能です。

VDOM モードの設定項目は config system global 配下の set vdom-mode です。

マルチ VDOM モードとする場合は set vdom-mode multi-vdom と設定します。

FW02 # config system global

FW02 (global) # set vdom-mode multi-vdom

FW02 (global) # end
You will be logged out for the operation to take effect.
Do you want to continue? (y/n)y

exit

FW02 login:

CLI 操作と基本設定

CLI での VDOM 設定手順、VDOM ごとの管理者設定、およびインターフェースの VDOM への割り当て設定の方法は、分割タスク VDOM の場合と同様です。

参考資料

Virtual Domains | Cookbook

―――――――――――――

タイトルとURLをコピーしました