FortiGate で VLAN 間ルーティングを実現する設定(v6.2.4)

ファイアウォール(UTM)

FortiGate で VLAN 間ルーティングを実現したいという需要がありそうなので簡単な例を記載。

作業環境

  • 型番:FortiGate 60E
  • ファームウェアバージョン:v6.2.4

VLAN インターフェースを使用する場合

検証用のネットワーク構成

実現したいこと

  • VLAN100 に属する端末A と VLAN200 に属する端末B との間で、FortiGate を介して双方向通信を実現したい
    • FortiGate においては VLAN 間ルーティングを実施する

FortiGate の設定

  • VLAN インターフェースの作成
    • internal1 に対して VLAN100 インターフェースを作成する
    • internal2 に対して VLAN200 インターフェースを作成する
  • ポリシーの作成
    • VLAN100 から VLAN200 への通信を許可するポリシーを作成する
    • VLAN200 から VLAN100 への通信を許可するポリシーを作成する
  • 今回の構成では、VLAN100、VLAN200 ともに FortiGate と直結しているので、FortiGate でのルーティング設定は必要ない

L2SW の設定

※Catalyst 2960 を使用

  • 端末A 側
    • FortiGate と接続するポートは、VLAN100 を許可するトランクポートとする
    • 端末A と接続するポートは VLAN100 のアクセスポートとする
  • 端末B 側
    • FortiGate と接続するポートは、VLAN200 を許可するトランクポートとする
    • 端末B と接続するポートは VLAN200 のアクセスポートとする

端末の設定

  • 端末A のデフォルトゲートウェイは FortiGate の VLAN100 インターフェースとする
  • 端末B のデフォルトゲートウェイは FortiGate の VLAN200 インターフェースとする

VLAN インターフェース設定

VLAN インターフェースの新規作成は、インターフェース画面から [新規作成] → [インターフェース] を選択し、新規インターフェース画面でタイプとして [VLAN] を選択します。

VLAN100 インターフェース

VLAN200 インターフェース

ポリシー設定

VLAN100 から VLAN200 への通信許可

VLAN200 から VLAN100 への通信許可

疎通確認

端末A (VLAN100) から端末B (VLAN200)

端末B (VLAN200) から端末A (VLAN100)

以上の結果から、VLAN 間で疎通が取れることを確認できました。

ポイント

  • FortiGate で VLAN インターフェースを作成した場合は常にタグ VLAN となるため、FortiGate の VLAN インターフェース(を紐づけた物理インターフェース)と接続する L2SW のポートの設定はトランクポートとする

VLAN インターフェースを使用しない場合

検証用のネットワーク構成

実現したいこと

  • VLAN100 に属する端末A と VLAN200 に属する端末B との間で、FortiGate を介して双方向通信を実現したい
    • FortiGate においては IP セグメント間でルーティングを実施する

FortiGate の設定

  • インターフェースの作成
    • internal3 の IP アドレスを 10.100.1.254 と設定する
    • internal4 の IP アドレスを 10.200.1.254 と設定する
  • ポリシーの作成
    • VLAN100 から VLAN200 への通信を許可するポリシーを作成する
    • VLAN200 から VLAN100 への通信を許可するポリシーを作成する
  • 今回の構成では、VLAN100、VLAN200 ともに FortiGate と直結しているので、FortiGate でのルーティング設定は必要ない

L2SW の設定

※Catalyst 2960 を使用

  • 端末A 側
    • FortiGate と接続するポート、端末A と接続するポートともに VLAN100 のアクセスポートとする
  • 端末B 側
    • FortiGate と接続するポート、端末B と接続するポートともに VLAN200 のアクセスポートとする

端末の設定

  • 端末A のデフォルトゲートウェイは FortiGate の internal3 インターフェースとする
  • 端末B のデフォルトゲートウェイは FortiGate の internal4 インターフェースとする

インターフェース設定

internal3 インターフェース

internal4 インターフェース

ポリシー設定

VLAN100 から VLAN200 への通信許可

VLAN200 から VLAN100 への通信許可

疎通確認

端末A (VLAN100) から端末B (VLAN200)

端末B (VLAN200) から端末A (VLAN100)

以上の結果から、VLAN 間で疎通が取れることを確認できました。

ポイント

  • FortiGate の物理インターフェースに IP アドレスを設定する場合は、そのインターフェースに接続する L2SW のポートの設定はアクセスポートとする

―――――――――――――

タイトルとURLをコピーしました