FortiGate で VLAN 間ルーティングを実現したいという需要がありそうなので簡単な例を記載。
作業環境
- 型番：FortiGate 60E
- ファームウェアバージョン：v6.2.4
VLAN インターフェースを使用する場合
検証用のネットワーク構成
実現したいこと
- VLAN100 に属する端末A と VLAN200 に属する端末B との間で、FortiGate を介して双方向通信を実現したい
- FortiGate においては VLAN 間ルーティングを実施する
FortiGate の設定
- VLAN インターフェースの作成
- internal1 に対して VLAN100 インターフェースを作成する
- internal2 に対して VLAN200 インターフェースを作成する
- ポリシーの作成
- VLAN100 から VLAN200 への通信を許可するポリシーを作成する
- VLAN200 から VLAN100 への通信を許可するポリシーを作成する
- 今回の構成では、VLAN100、VLAN200 ともに FortiGate と直結しているので、FortiGate でのルーティング設定は必要ない
L2SW の設定
※Catalyst 2960 を使用
- 端末A 側
- FortiGate と接続するポートは、VLAN100 を許可するトランクポートとする
- 端末A と接続するポートは VLAN100 のアクセスポートとする
- 端末B 側
- FortiGate と接続するポートは、VLAN200 を許可するトランクポートとする
- 端末B と接続するポートは VLAN200 のアクセスポートとする
端末の設定
- 端末A のデフォルトゲートウェイは FortiGate の VLAN100 インターフェースとする
- 端末B のデフォルトゲートウェイは FortiGate の VLAN200 インターフェースとする
VLAN インターフェース設定
VLAN インターフェースの新規作成は、インターフェース画面から [新規作成] → [インターフェース] を選択し、新規インターフェース画面でタイプとして [VLAN] を選択します。
VLAN100 インターフェース
VLAN200 インターフェース
ポリシー設定
VLAN100 から VLAN200 への通信許可
VLAN200 から VLAN100 への通信許可
疎通確認
端末A (VLAN100) から端末B (VLAN200)
端末B (VLAN200) から端末A (VLAN100)
以上の結果から、VLAN 間で疎通が取れることを確認できました。
ポイント
- FortiGate で VLAN インターフェースを作成した場合は常にタグ VLAN となるため、FortiGate の VLAN インターフェース（を紐づけた物理インターフェース）と接続する L2SW のポートの設定はトランクポートとする
VLAN インターフェースを使用しない場合
検証用のネットワーク構成
実現したいこと
- VLAN100 に属する端末A と VLAN200 に属する端末B との間で、FortiGate を介して双方向通信を実現したい
- FortiGate においては IP セグメント間でルーティングを実施する
FortiGate の設定
- インターフェースの作成
- internal3 の IP アドレスを 10.100.1.254 と設定する
- internal4 の IP アドレスを 10.200.1.254 と設定する
- ポリシーの作成
- VLAN100 から VLAN200 への通信を許可するポリシーを作成する
- VLAN200 から VLAN100 への通信を許可するポリシーを作成する
- 今回の構成では、VLAN100、VLAN200 ともに FortiGate と直結しているので、FortiGate でのルーティング設定は必要ない
L2SW の設定
※Catalyst 2960 を使用
- 端末A 側
- FortiGate と接続するポート、端末A と接続するポートともに VLAN100 のアクセスポートとする
- 端末B 側
- FortiGate と接続するポート、端末B と接続するポートともに VLAN200 のアクセスポートとする
端末の設定
- 端末A のデフォルトゲートウェイは FortiGate の internal3 インターフェースとする
- 端末B のデフォルトゲートウェイは FortiGate の internal4 インターフェースとする
インターフェース設定
internal3 インターフェース
internal4 インターフェース
ポリシー設定
VLAN100 から VLAN200 への通信許可
VLAN200 から VLAN100 への通信許可
疎通確認
端末A (VLAN100) から端末B (VLAN200)
端末B (VLAN200) から端末A (VLAN100)
以上の結果から、VLAN 間で疎通が取れることを確認できました。
ポイント
- FortiGate の物理インターフェースに IP アドレスを設定する場合は、そのインターフェースに接続する L2SW のポートの設定はアクセスポートとする
―――――――――――――
