AX＆FortiGate
セキュア仮想ネットワークソリューション
システム構築ガイド

第 2 版
資料 No. NTS-11-R-008

アラクサラネットワークス株式会社

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

はじめに
セキュア仮想ネットワークソリューションは、アラクサラ AX シリーズによるネットワークパーティションと、Fortinet 社 FortiGate シリーズによる仮想ドメイン(VDOM)とを組合せて構築できる、高度なセキュリティ管理を備えた仮想ネットワークのソリューションです。本ガイドは Fortinet, Inc.およびフォーティネットジャパン(株)との相互の協力のもと、セキュア仮想ネットワークソリューションの考え方や一例を紹介し、また同システム構築の際の一助となることを目的として書かれています。

関連資料
・AX シリーズ ネットワークパーティション ソリューションガイド [基本編] [認証編] [応用編]・AX シリーズ製品マニュアル（ https://www.alaxala.com/jp/techinfo/manual/ ）・Fortinet 各種資料のダウンロード( https://www.fortinet.com/jp/resources )・Fortinet Technical Documentation ( https://docs.fortinet.com/ ) (英文サイト)
本資料使用上の注意事項
本資料に記載の内容は、弊社が特定の環境において基本動作を確認したものであり、機能・性能・信頼性についてあらゆる環境条件すべてにおいて保証するものではありません。弊社製品を用いたシステム構築の一助としていただくためのものとご理解いただけますようお願いいたします。
本資料作成時の OS ソフトウェアバージョンは特記の無い限り以下となっております。
AX シリーズ
AX3660S
AX2630S, AX2340S

Ver. 12.1.W
Ver. 2.5

FortiGate シリーズ
FortiGate FortiOS
FortiAuthenticator
FortiManager
FortiAnalyzer

Ver. 7.2.5
Ver. 6.4.6
Ver. 7.4.1
Ver. 7.4.1

なお本資料の内容は、改良のため予告なく変更する場合があります。

輸出時の注意本資料を輸出される場合には、外国為替および外国貿易法ならびに米国の輸出管理関連法規などの規制をご確認の上、必要な手続きをお取りください。
商標一覧
・アラクサラの名称およびロゴマークは、アラクサラネットワークス株式会社の商標および登録商標です。
・Fortinet®、FortiGate®、FortiOS、FortiAuthenticator、FortiAnalyzer®は米国およびその他の国々におけるFortinet, Inc.の登録商標または商標、その他本書で記載されているフォーティネット製品はフォーティネッ
トの商標です。
・Microsoft Excel®は米国 Microsoft Corporation の米国およびその他の国における商標又は登録商標です。
・Ethernet®は、富士フイルムビジネスイノベーション株式会社の商品名称です。
・イーサネット®は、富士フイルムビジネスイノベーション株式会社の商品名称です。
・そのほかの記載の会社名、製品名は、それぞれの会社の商標もしくは登録商標です。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

2

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

改訂履歴
版数
初版
第2版

rev
-

日付
2011.72024.7

変更内容
初版発行
AXシリーズの製品ラインアップを更新
シャーシ系機器の記載を削除
FortiGateの製品ラインアップを更新
構成変更
・構成機器を変更
・システム構築例をスタック+LAG+FortiGate HAに変更
・認証を追加Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

変更箇所
2.1
2.1 、 2.5 、
3.1
2.2
2.5 、 3.1 、
付録

3AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

目次
1. 仮想ネットワークによるセキュリティレベルの向上 ............................................................ 51.1

重要度を増すシステムのセキュリティ対策 ...................................................................................................................... 5

1.2

システムに求められる課題と 2 つの「仮想化」がもたらす解決策 .......................................................................... 6

1.3

セキュア仮想ネットワークソリューション概要 .................................................................................................................. 7

2. キーテクノロジー ................................................................................................................................... 9
2.1

ネットワーク・パーティション (VRF 機能) ......................................................................................................................... 9

2.2

仮想ドメイン(VDOM)と FortiGate シリーズ ....................................................................................................................11

2.3

仮想化テクノロジーの組み合わせによるメリット .......................................................................................................... 12

2.4

セキュア仮想ネットワークの具体化イメージ .................................................................................................................13

2.5

装置の冗長化 ..........................................................................................................................................................................14

3. システム構築例 ..................................................................................................................................... 163.1

組織単位に分割管理する場合の適用例 (スタック＋リンクアグリゲーション + FortiGate HA) ............... 16

4. 効率的な運用ツール............................................................................................................................ 46
4.1

FortiManager と FortiAnalyzer ...........................................................................................................................................46

5. 留意事項 ................................................................................................................................................... 48
付録 ..................................................................................................................................................................... 50

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

4

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

1. 仮想ネットワークによるセキュリティレベルの向上
1.1

重要度を増すシステムのセキュリティ対策

昨今、企業の持つ個人情報の漏洩からそのユーザらに莫大な損害が発生したり、国家の機密情報の漏洩が世界的な社会問題になったりするなど、企業や行政団体、教育機関など社会組織において各種情報の取り扱いが厳しくなっています。
一方で、情報管理のためのツールとして一般的な存在となった IT システムですが、こちらもウイルス感染やスパムメール、インターネットからの攻撃などシステム外部からの要因以外にも、組織内に持ち込まれた PC からのウイルス感染、マルウェアによる情報漏洩、さらには悪意を持つユーザの組織内部からの意図的な攻撃や機密情報の漏洩操作など、守るべき情報に対する脅威の内容も高度かつ多種にわたっています。
また、ノート型 PC に加えタブレット端末やスマートフォンなど、個人が持てる情報端末に多様性が増している
ことも、各種情報にアクセスできる機会を増やしています。
このような背景から、これからの IT システムにおいては、組織内の各部門で持つさまざまな情報に対し、その情報をアクセスすべき権限を持つユーザーにのみ適切なアクセス権限を与え、またその情報に直接関係しないユーザには不必要にアクセスさせないような環境を作る必要があります。
つまり、IT システムにおけるセキュリティ管理は会社、行政団体、教育機関などといった単位から、部門や省庁、学部といった、より細かい単位でのセキュリティ(脅威)管理が重要となるでしょう。

図 1.1-1 セキュリティ管理図

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

5

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

1.2

システムに求められる課題と 2 つの「仮想化」がもたらす解決策

情報それぞれに適切なアクセス権限を与えることを考えると、以下の施策が考えられます。


ネットワークの分離
ネットワークを組織単位で完全に分ける（物理的にアクセスできないようにする）。
ユーザ認証
認証機能を取り入れることで、不正なユーザを排除。
アクセス制御URL、アプリケーションフィルタ等で必要な通信の許可、不要な通信の禁止を制御。
アクセスログの記録
サーバ、ネットワーク等への不正アクセス等を監視。

さらにセキュリティをより効果的なものとするには、システムと運用の両面から複数の対策を実施する必要があります。しかし以上のような施策を導入する場合、システムにおいてはネットワーク機器装置の増加や、それに伴う各種設定(フィルタ等)の追加が必要です。また運用においては運用・管理の煩雑化など初期投資や運用のためのコストが増加します。これらが大きな阻害要因となり現実にはなかなか導入に至らないケースが多いかと考えられます。
「ネットワークやアクセス制御は組織毎に細分化してセキュリティを強化したいが、それに伴う装置や運用の増加にかかるコストは抑えたい」－これらの相反する課題を解決するソリューションが、以下に示す 2 つの仮想化技術の組み合わせによるソリューションです。


ネットワークの仮想化
単一の物理ネットワークを複数の仮想ネットワークに分離することで組織間のセキュリティを確保
ファイアウォ－ルの仮想化
仮想ネットワークごとに仮想ファイアウォール（FW）を割り当てることで組織単位に最適なセキュリティポリシーを運用

そしてこのソリューションをより現実的なものとするため、アラクサラネットワークスと Fortinet が連携した、「セキュア仮想ネットワークソリューション」として提案いたします。

図 1.2-1 AX シリーズと FortiGate シリーズの連携イメージ

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

6

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

1.3

セキュア仮想ネットワークソリューション概要

セキュア仮想ネットワークソリューションとは、2 つの仮想化技術の組み合わせによって、組織ごとに高度にセキュリティ管理されたネットワークシステムを必要最小限の機器で提供するソリューションです。
2 つの仮想化をどのように組み合わせて実現するのか、それぞれの仮想化の概念を踏まえながら、セキュア
仮想ネットワークソリューションの概要を紹介します。

1.3.1

ネットワークの仮想化

組織間のセキュリティを確保するためには、それぞれの組織で独立したネットワークとしてしまうことが最もシンプルかつ簡単な方法です。そこでアラクサラのネットワーク・パーティションで組織ごとに独立したネットワーク
構成を作ります。

図 1.3-1 ネットワーク・パーティションによる仮想ネットワーク概念図
ネットワークごと組織単位に分離するため、組織間の通信を完全に遮断することができます。
しかし、ネットワーク自体はネットワーク・パーティションによる仮想ネットワークで構成されるため、実際のスイッチ機器は最少の構成で済み、機器や運用コストの増加を抑えます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

7

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

1.3.2

ファイアウォールの仮想化

ネットワーク・パーティションによって組織毎に分けられたネットワークそれぞれに対する、外部からの脅威の防御や内部からのアクセス制御、管理、監視については、やはりそれぞれのネットワークにファイアウォールを配するのがシンプルでわかりやすい構成でしょう。
そのネットワークそれぞれに渡るいくつものファイアウォールを、Fortinet の FortiGate シリーズによる仮想ドメイン(VDOM)が担います。

図 1.3-2 仮想ドメイン(VDOM)適用の概念図
ネットワーク・パーティションによる仮想ネットワークで構成された組織毎のネットワークそれぞれに対し、仮想ドメイン(VDOM)をそれぞれ配することで、組織毎のアクセス管理や監視を、同じく最小限の投資で済ませることが可能です。
また VDOM は単なるファイアウォールとしてだけではなく、URL フィルタや IPS 検知、ウイルスチェックなど、
高度な脅威管理機能を備えています。このため組織毎の詳細なアクセス制御でその組織自体を守るだけでな
く、万が一の組織内部からの攻撃やウイルス感染の脅威をその組織内など局所的に留め、他の組織への影響を防ぐ、といった高度なセキュリティを実現します。
このように、アラクサラのネットワーク・パーティションと、Fortinet FortiGate の VDOM の組み合わせにより、組織毎に独立して高度なセキュリティ管理をそなえたネットワークを最小限の装置機器構成で構築することができます。
システム全体として高度なセキュリティ環境を実現しながらも、機器の構成と運用管理コストについては最小化の両立を図ったシステムを作ることを可能にする。それが「セキュア仮想ネットワークソリューション」です。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

8

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

2. キーテクノロジー
ここでは、先に述べた「2 つの仮想化」それぞれについて、より詳細に解説します。

2.1

ネットワーク・パーティション (VRF 機能)

アラクサラが提供する、ネットワークにおける仮想化技術がネットワーク・パーティションです。
ネットワーク・パーティションとは、レイヤ 3 機能を論理的に分割する『VRF(Virtual/VPN Routing and
Forwarding)』と呼ばれる機能に、レイヤ 2 の論理ネットワーク技術である VLAN を組合せ、複数の論理的なネットワークをシンプルな物理構成によるシステムで実現する技術です。

図 2.1-1 ネットワーク・パーティション概念図

VRF では、レイヤ 3 ネットワークでの基本情報であるルーティングテーブルや ARP テーブルなどを、扱う複数のネットワークそれぞれで独立して制御および管理をおこないます。この VRF によって分けられた論理的な
レイヤ 3 ネットワークと VLAN によって分けられた論理的なレイヤ 2 ネットワークを、分割されたネットワーク単位でまとめたものを「パーティション」と呼びます。
これにより、レイヤ 3 のネットワークが論理的にいくつもあるようなシステムを 1 台で構成することが可能となるため、組織単位で独立したネットワーク構成とすることも簡単にできます。
ただし、VLAN およびルーティングテーブルや ARP テーブルは、装置の持つ全体のリソースを各 VRF で分けあって使用します。従って VRF によって装置の収容条件等が拡張されるものではありません。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

9

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

VRF を扱う装置内では、VRF-ID と呼ぶ VRF 毎にユニークな識別子を各パーティション内の VRF や VLANに付与して区別しますが、システム全体の管理用などに VRF-ID を持たないパーティションによるネットワークも存在します。これをグローバルネットワークと呼び、グローバルネットワークでは telnet や FTP、syslog などシステ
ム管理に関する機能が一般の VRF より広くサポートされます。
AX シリーズにおいて VRF 機能をサポートする機種および設定可能な VRF 数は以下の通りです。

図 2.1-2 AX シリーズのボックス型スイッチ

表 2-1 VRF サポート状況
VRF サポート機種
VRF 設定可能数

ボックス型
AX3660S
255(グローバル含まず)

ネットワーク・パーティションのさらに詳しい内容については、「AX シリーズ ネットワークパーティション ソリュ
ーションガイド [基本編] (第 2 版)」、「AX シリーズ ネットワーク・パーティション ソリューションガイド [認証編](第 2 版)」、 「AX シリーズ ネットワーク・パーティション ソリューションガイド [応用編] (初版)」に記載しています。こちらも合わせてご利用ください。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

10

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

2.2

仮想ドメイン(VDOM)と FortiGate シリーズ

FortiGate がそなえる仮想ドメイン（VDOM）は、物理的な FortiGate 装置を複数の仮想装置（セキュリティドメ
イン）に分割する機能です。各 VDOM は、ネットワークやファイアウォール、セキュリティなど各種の設定を個別に設定でき、また管理者も個別に分けることが可能など、各々が全く独立した FortiGate 装置として振る舞います。以下に概念図を示します。

仮想UTM

U
仮想

TM

ファイアウオール
IPS
IPsec-VPN
SSL-VPNアンチウイルスWebコンテンツフィルタ
アプリコントロール

M

仮想

UT

組織毎に独立したセキュリ
ティポリシーの設定と運用、管理者の設置が可能

図 2.2-1 仮想ドメイン(VDOM)の概念図
この VDOM では、ファイアウォールとしての機能も充実しています。一般的なファイアウォールの機能(アドレス/ポートによるフィルタ、NAT 等)から、VPN、IPS 検知、アンチウイルス、Web コンテンツフィルタ、アプリケーションコントロールなどの統合的なセキュリティ機能（UTM）までを備え、またそれらは各 VDOM 個別に設定することが可能です。
またネットワークに VDOM を加える場合、各 VDOM は以下の 2 つの動作モードのいずれかで構成することができます。これらのモードについても各 VDOM 毎に独立して設定が可能です。
• トランスペアレントモード：
同一ネットワークセグメント(VLAN)内でファイアウォールとして機能します。
• NAT モード：
異なるネットワークセグメント(VLAN)にまたがりゲートウェイ的に動作可能です。
NAT などを使う場合はこちらのモードで使用することが前提です。
このように省スペース、省消費電力、柔軟性と簡素な管理を提供し、FortiGate の根幹をなす VDOM は以下のような用途で広く利用されています。
データセンタにおける、顧客別の独立したネットワークセキュリティサービス。
事務、教員、学生などセキュリティレベルの異なるネットワークそれぞれに対する、独立したネットワークセキュ
リティゲートウェイの提供。
プライベートクラウドサービスにて、独立したネットワークセキュリティゲートウェイオプションサービス。
同じプライベートアドレスを持つネットワーク同士のアドレスの変更を伴わない統合。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

11

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

また、FortiGate シリーズはシステムの用途や規模に合わせ、豊富にラインアップを揃えています。

図 2.2-2 FortiGate シリーズ
FortiGate-40F シリーズ以上の FortiGate では、オプションライセンス等の追加無しに最大 10 の仮想ドメインを構成できます。FortiGate-1000F ではオプションを追加することで最大 250 まで、FortiGate-2200E シリーズ以上では同様にオプションの追加で最大 500 まで拡張することができます。より上位の大規模エンタープライズシ
ステムに対応するシャーシ型製品の FortiGate-5140 では 14 枚の FortiGate ブレードを使用することにより最大
3,500 個の VDOM が構築できます。
また、FortiGate-90G シリーズ以上では 10Gbps、FortiGate-600F シリーズ以上では 25Gbps、FortiGate-1000F
シリーズ以上では 100Gbps のインタフェースを備えており、大規模かつ大容量なスループットが要求される構成にも耐ええる構成となっております。

2.3

仮想化テクノロジーの組み合わせによるメリット

上記、アラクサラのネットワーク・パーティションと、Fortinet の仮想ドメイン(VDOM)を組み合わせることで、次のようなメリットが得られます。
ミニマムな物理的制約
物理構成(装置台数)の最小化により、導入コストや電力/スペースなどを低減。また管理対象も少なくなり、運用コストも低減。

自在な論理構成
論理構成は自在なので物理構成はシンプルなまま、高度なネットワークを構成することが可能。

システム変更への柔軟な対応
仮想ネットワークは他への影響無しに追加削除が自由。組織の統合や部署の新設など、柔軟な対応が可能。

IPv6 ReadyAX シリーズ、FortiGate シリーズとも IPv6 Ready Logo 取得済み。IPv6 マイグレーションにも対応可能。

ネットワーク認証とも連携
AX シリーズのネットワーク認証機能と連携することで、ロケーションに縛られずに自分のリソース(仮想システム)へアクセスすることが可能。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

12

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

2.4

セキュア仮想ネットワークの具体化イメージ

上記、2 つの仮想化技術によって提唱されるセキュア仮想ネットワークソリューションを、実際のシステムとして適用し構築するとどのようになるのか、どのようなメリットがあるのかについて解説します。
まず、会社などで使われるネットワークは、一般的には以下のようなイメージで考えられます。

図 2.4-1 一般的なネットワーク構成

このような会社ネットワークを、アラクサラと Fortinet の仮想化技術を用いたセキュア仮想ネットワークとして再構成すると、図 2.4-2 セキュア仮想ネットワークの論理構成のように、組織ごとにネットワークとアクセス制御が分離された、高度なセキュリティを備えるネットワークとすることができます。

図 2.4-2 セキュア仮想ネットワークの論理構成

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

13

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

2.5

装置の冗長化さらに、実際に運用されるシステムでは、装置機器や回線の障害などに対応できるよう可用性を考慮した構成とするケースが一般的ですが、複数のネットワークが同一の装置上に構成される仮想ネットワークでは、より高い信頼性が要求されるため、システムとして冗長構成は必須です。
アラクサラの AX シリーズでは、リング、GSRP 等に代表される高信頼、高可用を実現する機能の他、STP 等の標準化された装置冗長プロトコルも利用可能です。
こちらについても、構成に応じて当社 Web ページ等にて各種構築ガイドを揃えていますのでご活用ください。
（https://www.alaxala.com/jp/techinfo/guide/）
一方、Fortinet の FortiGate シリーズにおいても、HA（High Availability：冗長化構成）機能により、冗長構成のシステムを構築することができます。FortiGate の HA 機能は、独自のプロトコル FGCP（FotiGate Clustering
Protocol）により、装置の 2 重化を実現し、Active－Active、Active－Passive の各モードに対応します。
（１） Active－Passive モード動作概要
ホットスタンドバイ・フェイルオーバ保護機能を提供。
 トラフィックを処理する Primary Unit と Subordinate unit から構成。
 Subordinate unit はネットワークと Primary Unit に接続されるが、トラフィックは処理しない。
 Subordinate unit は通常スタンドバイ状態で待機。
 Primary Unit が故障等により、“Cluster State Information”メッセージを受信すると、スタンドバイ状
態から Active 状態に移行し、トラフィックを処理。
 リンクのフェイルオーバ保護機能を提供。

（２） Active－Active モード動作概要
ロードバランシングならびにフェイルオーバ保護機能を提供。
 すべてのクラスタユニット間でネットワークトラフィックを負荷分散。
 トラフィックを処理する Primary Unit と１台以上の Subordinate unit で構成されます。
 Primary Unit は、全トラフィックを受信し、処理します。
 Primary Unit は、ウイルススキャンのトラフィック、またはオプションで全 TCP およびウイルススキャ
ンのトラフィックを複数のクラスタユニット間で負荷分散します。
 Active－Passive クラスタ同様にリンクのフェイルオーバ保護機能を提供。
 Primary Unit に障害が発生した場合、Subordinate unit が Primary Unit になり、残りのすべてのクラ
スタユニット間で TCP セッションを再配布します。
 Subordinate unit に障害が発生した場合、Primary Unit は残りのすべてのクラスタユニット間で全
TCP セッションを再配布します。
この他、詳細につきましては、FortiOS 7.2.5 Administration Guide - High Availability 等を参照願います。
以下、2.4 節で紹介したセキュア仮想ネットワークの物理構成を冗長構成とした例を以下に示します。論理的な構成は「図 2.4-2 セキュア仮想ネットワークの論理構成」と変わりません。なお、今回の構成は外部システムを削除した構成とします。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

14

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(1) スタック＋リンクアグリゲーション ＋FortiGate HA
中小規模のシステムで、L3 コアスイッチを AX3660S 等のボックス型で構成するといった場合は、一般的なス
タック＋リンクアグリゲーション（LAG）構成と組み合わせ、以下のような構成とすることもできます。

図 2.5-1

スタック/LAG 構成 + FortiGate 冗長構成

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

15

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

3. システム構築例
これまでの解説の通り、アラクサラのネットワーク・パーティションによる仮想ネットワークと FortiGate の VDOM
による仮想ファイアウォールを使うと、最小限の装置機器の運用で複数のネットワークとアクセス制御による高度なセキュリティを持つネットワークを構成できます。本章では、2.4 節で紹介した構成をもとに、以下を構築す
る場合について解説します。
• ボックス型スイッチによるスタック＋リンクアグリゲーション構成と FortiGate HA 構成での構成例

3.1

組織単位に分割管理する場合の適用例 (スタック＋リンクアグリゲーション + FortiGate HA)企業など、既にネットワークを一つの大きな単位で使用しているケースで、1 章での解説のようにセキュリティ
管理を強化するために、ネットワークの単位を組織ごとに細分化する例について解説します。

図 3.1-1 仮想ネットワーク物理構成

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

16

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

物理構成は以上のように単一のシステムを構成した場合とほとんど変わりません。しかしながら、仮想ネット
ワークを含めた論理的なネットワーク構成は以下の通りです。ファイアウォールについては、FortiGate を冗長構成で使用しネットワークのコア部分に組み込む形とします。

図 3.1-2 仮想ネットワーク論理構成
ネットワーク・パーティション(VRF)による仮想ネットワークにて、ゲスト用ネットワーク、社員用 OA ネットワーク
それぞれを独立した L3 ネットワークとし、また認証や統計用として使用するセグメントも仮想ネットワークとして、独立したネットワークとします。そしてそれぞれを仮想ドメイン(VDOM)にて橋渡しするように構成します。
これにより、ゲスト用ネットワークおよび社員用 OA ネットワークそれぞれ独立したネットワークでの構成となり、また各ネットワークの脅威管理(アンチウイルス、IPS、各種フィルタ)を含めたアクセス管理も各 VDOM で独立しておこなうことが可能です。
管理・認証用ネットワークでは、RADIUS サーバでユーザ認証をおこなうように設定します。端末が当該ネッ
トワークに接続するとネイティブ VLAN を通じて認証をおこないます。認証が成功すると、ダイナミック VLAN によりどこから接続しても適切なネットワークへ誘導し、接続することができます。同一フロアに異なるネットワークが混在するような場合でも、認証スイッチを別途用意したりネットワーク毎に分けることなく、最小限の台数で効率良くシステムを構築することが可能です。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

17

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

また、装置個別の設定を反映した論理構成は以下の通りです。

図 3.1-3 仮想ネットワーク 論理構成

表 3.1-1 仮想ネットワーク 論理設定
用途
ゲストサーバ/Uplink 用
ゲスト端末 PC 用
社員用 OA サーバ/Uplink 用
社員用 OA 端末 PC 用
管理・認証システム用
認証用

VDOM
VDOM1
VDOM2
-

VRF ID10
20-

VLAN ID
10
100
20
200
300
1000

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

IP アドレス
172.16.100.0/24
192.168.10.0/24
172.16.200.0/24
192.168.20.0/24
192.168.77.0/24-

18

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

それぞれのネットワークで疎通可能な範囲は以下の通りです。

(1) ゲスト用ネットワーク VRF10（VLAN10,100）と社員用 OA ネットワーク VRF20（VLAN20,200）の適用
範囲

図 3.1-4 VRF10・VRF20 ネットワークの適用範囲
端末認証が成功すると、各ネットワークへの通信が可能になります。ゲスト用ネットワーク（VRF10）と、社員用 OA ネットワーク（VRF20）は、それぞれ次のように通信ができます。
① 同一ネットワーク内の端末同士は通信可能です。
② FortiGate を通じてインターネットへの通信が可能です。
③ 異なるネットワークに接続されている端末、機器とは通信できません。
端末が所属している VLAN100 は、コアスイッチ内 VRF10 で同一ネットワークの VLAN10 を通じてインター
ネットへの通信が可能です。同様に VLAN200 は VRF20 の同一ネットワーク、VLAN20 を通じてインターネッ
ト通信ができます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

19

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(2) 管理ネットワークの範囲

図 3.1-5 VLAN300 の適用範囲
端末がアクセススイッチへ接続すると、RADIUS サーバを利用した IEEE802.1X 認証が VLAN300 のネット
ワーク内で行われます。
① 認証に成功するとゲスト用ネットワークまたは社員用 OA ネットワークの各ネットワークに所属することができます。（上図では認証成功後、ゲスト用ネットワーク（VLAN100）に所属。）各ネットワーク所属
後は、ゲスト用ネットワーク VRF10（VLAN10,100）と社員用 OA ネットワーク VRF20（VLAN20,200）の適用範囲のポリシーに準拠し、通信が可能です。
② もし認証に失敗した場合は、どちらのネットワークにも所属できないため、通信はできません。ただし、再度アクセススイッチへ接続し直したり、認証失敗から一定時間が経過することで再認証が行われます。
③ VLAN300 内では主に管理システムの通信が行われます。ここでは FortiGate と FortiAnalyzer、FortiManager との通信が行われ、常に機器の状態を監視することが可能です。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

20

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

3.1.2

システム構築時のポイント

本例の構成を設計する際におけるポイントを以下に示します。

(1) コアスイッチ、UTM 各装置の要求性能や収容条件は、もとのシステムで使用の装置と同等で良い。
今回の構成のように、もととなるネットワークで VLAN にてセグメント分けしていた部分を、仮想ネットワークで置き換えるといった構成とする場合、ネットワーク全体の収容条件はもとのネットワークとほとんど変わりません。従って使用する装置の選定に関しては、もとのネットワークで使用していた装置の収容条件と同等と考えることができます。

(2) 可用性の確保はスタック＋リンクアグリゲーション構成を基本とし、UTM(FortiGate)は HA(冗長クラスタ)構成。
コアスイッチが AX3660S などボックス型である場合、障害などに対する可用性の確保のために 2 台使用してスタックとリンクアグリゲーションを組み合わせた構成を基本として構築します。FortiGate も同様に 2 台以上を用意します
がこちらは同装置の持つ装置冗長構成の機能である HA を用います。

(3) 各 VDOM で NAT を使用すれば、IP アドレスの重複も可能。
VDOM は仮想のファイアウォールとして機能しますが、VDOM では NAT も独立して機能します。このため、各ネットワークで使用する IP アドレスを重複させることが可能です。
また、各ネットワークごとの仮想ネットワークが接続される機器管理システム用の仮想ネットワーク内でのルーティ
ングテーブルも簡略化することが可能です。
ただし、同じ FortiGate で NAT を複数回繰り返すことになり、システムでの転送性能の上限値が小さくなるとかレイ
テンシが大きくなるなど、システム全体のパフォーマンスに影響するので注意が必要です。

(4) FortiGate はインターネットと接続できるパスを設ける。
FortiGate のライセンス管理や各種フィルタ機能で使用されるパターンファイル、シグネチャ等の更新などは外部にある Fortinet の専用サーバを通しておこないます。従って FortiGate はインターネット接続できる環境下に置く必要があります。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

21

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

3.1.3

スイッチ機器(AX シリーズ)設定時のポイント

コンフィグなど、機器の設定の際のポイントを以下に示します。

(1) スパニングツリー(STP)を無効化する。
AX シリーズではデフォルトで PVST+による STP が動作していますが、この構成では STP を使用しないため、STPの設定はディセーブルとします。

(2) VLAN インタフェースでの設定は最初に所属 VRF の設定からおこなう。
VLAN インタフェースでは、所属 VRF の設定と IP アドレスの設定が必要ですが、所属 VRF の設定は IP アドレスの設定前におこなう必要があります。(IP アドレスが設定されている状態では所属 VRF の設定はできません。)
ですので、VLAN インタフェースの設定では所属 VRF の設定を最初におこなってください。

(3) 認証機能はアクセススイッチで設定する。
AX3660S では VRF 機能と認証機能を同時利用が出来ません。認証機能を利用する場合は、アクセススイッチで設定するようにしてください。

3.1.4

UTM 機器(FortiGate)設定時のポイント

同様に、FortiGate の設定におけるポイントを以下に示します。

(1) 物理インタフェースの設計や設定を最初におこなう。
論理インタフェース(VLAN)や VLAN に関連する設定は、物理インタフェースと紐づいており、論理インタフェー
スを設定した後に物理インタフェースのみの設定変更はできません。(VLAN の設定を残したまま、その VLAN を割り付ける物理インタフェースを変更するということはできません。一旦その物理インタフェース上の VLAN 設定を全て削除してから、変更先の物理インタフェースを定義し、その上に再度 VLAN を設定しなおす必要があります。)
このため、FortiGate に関する構成設計や設定は、まず最初に物理インタフェースの仕様を決めてからおこなうことを推奨します。

(2) HA のマスタとする装置は、プライオリティ設定値をデフォルトより大きな値とする。
FortiGate を 2 台以上用意して、HA(装置冗長クラスタ)を構成する場合、マスタ/バックアップとなる装置の優先付けとしてプライオリティを設定します。プライオリティは設定値の大きい方が優先されます。
また、プライオリティの低い装置(=バックアップとなる装置)を HA 構成に加えた場合、その装置の設定は自動的にプライオリティのもっとも高い装置(=マスタ)のものと同じに同期されます。このため、マスタとしたい装置のプライオリ
ティはデフォルトの値(=128)より大きく設定することを推奨します。
これにより、新規に装置を HA 構成に加えた場合の設定内容の消失を防げます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

22

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(3) コンフィグ他、各種機能等の設定作業はマスタ装置のみに対しておこなえば良い。
上述の通り、バックアップとする装置(=プライオリティの低い装置)を HA に加えると、その装置の設定内容はマスタの装置と同じものに自動的に設定変更され、マスタの装置において各種機能の設定変更が発生しても同期して同時に設定変更がおこなわれます。
従って、複数台の装置で HA を構成しているケースでも、各種設定の変更作業はマスタの装置に対してのみおこ
なえば良いです。

(4) HA で監視ポートを使用する際は HA の構成が正しく済んでから設定すること。
HA ではポートのリンク状態でマスタを切り替えることも可能であり、その際の HA 系交替の監視対象となるポート
を HA 監視ポートと呼びます。装置交換時など、マスタ以外の装置でこの監視ポートを設定する際は下記のいずれかの方法で設定してください。
• 新規に HA を構築するときは、HA クラスタの構築をし、HA が正しく動作していることを確認してから HA
監視ポートの設定をする。
• 追加する装置に、少なくともマスタ装置と同じ監視ポート設定をしてからマスタ装置に接続する。(予めバックアップしておいた設定を、追加する装置にリストアした後に、HA クラスタへ参加させる)• マスタ装置に接続する前に、マスタ装置の HA 監視ポートがすべてアップ状態であることを確認する。
5 章 留意事項でも解説していますが、装置交換時などで方法を誤ると最悪の場合、現在運用中のコンフィグが消失してしまうおそれがあります。

(5) 必要に応じて管理 VDOM の変更も可能
シグネチャのアップデートや snmp trap の送出など、FortiGate 全体の管理に関わる VDOM を管理 VDOM と呼び、デフォルトでは root バーチャルドメインが管理 VDOM となっています。
今回の例では、システム全体の管理用は個別の VRF と独立したネットワーク構成(グローバル VRF を使用)としており、FortiGate 本体の管理もその中でおこなうようにしているため、root バーチャルドメインはグローバル VRF 内にある設定としています。
ですが管理 VDOM を変更すれば、root 以外の VDOM でも FortiGate 全体の管理に関わる役割を持たせることもできます。例えば、VDOM1 の管理者=システム全体の管理者、などであったりする場合は、管理 VDOM を
VDOM1 とすることも可能です。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

23

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

3.1.5

コンフィグレーション例

本構成のコンフィグレーションの例を下記に示します。コアスイッチとフロアスイッチは、スタック構成となっていることが前提です。スタックの設定方法については 別途「AX シリーズ L3 ボックス型スイッチ スタック導入
ガイド (第 6 版)」 「AX2600S シリーズ スタック導入ガイド (初版)」を参照ください。

(1) コアスイッチ (AX3660S)の設定
C1-A/B 共通 (AX3660S-24T4X)の設定
スパニングツリーの設定(config)# spanning-tree disable

スパニングツリーは使用しないため無効に設定します。(AX 構
築ポイント(1))

VRF の設定(config)# vrf definition 10(config)# vrf definition 20

VRF10,20 を使用することを設定します。

VLAN の設定(config)# vlan 10,20,100,200,300

使用する VLAN の設定をおこないます。

VLAN インタフェースの設定(config)# interface vlan 10(config-if)# vrf forwarding 10(config-if)# ip address 172.16.100.1 255.255.255.0(config)# interface vlan 20(config-if)# vrf forwarding 20(config-if)# ip address 172.16.200.1 255.255.255.0(config)# interface vlan 100(config-if)# vrf forwarding 10(config-if)# ip address 192.168.10.1 255.255.255.0(config)# interface vlan 200(config-if)# vrf forwarding 20(config-if)# ip address 192.168.20.1 255.255.255.0(config)# interface vlan 300(config-if)# ip address 192.168.77.1 255.255.255.0

VLAN10 は VRF10 で使用します。(構築ポイント(2))
VLAN10 に IP アドレスを設定します。
VLAN20 は VRF20 で使用します。(構築ポイント(2))
VLAN20 に IP アドレスを設定します。

VLAN100 は VRF10 で使用します。(構築ポイント(2))
VLAN100 に IP アドレスを設定します。
VLAN200 は VRF20 で使用します。(構築ポイント(2))
VLAN200 に IP アドレスを設定します。
VLAN300 はシステム管理用に VRF を設定せず使用します。
VLAN300 に IP アドレスを設定します。

物理ポートインタフェースの設定
チャネルグループの設定(config)# interface range tengigabitethernet 1/0/25,
tengigabitethernet 2/0/25(config-if-range)# channel-group 10 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 10 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 10(config-if)# switchport mode trunk(config-if)# switchport trunk allowed vlan 100,200,300

ポートチャネル 10 に使用する VLAN を割り当てます。

(config)# interface range tengigabitethernet 1/0/26,
tengigabitethernet 2/0/26(config-if-range)# channel-group 11 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 11 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 11(config-if)# switchport mode trunk(config-if)# switchport trunk allowed vlan 100,200,300

ポートチャネル 11 に使用する VLAN を割り当てます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

24

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
(config)# interface range tengigabitethernet 1/0/28,
tengigabitethernet 2/0/28(config-if-range)# channel-group 20 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 20 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 20(config-if)# switchport mode access(config-if)# switchport access vlan 300

ポートチャネル 20 に使用する VLAN を割り当てます。

ポートの設定(config)# interface range tengigabitethernet 1/0/27,
tengigabitethernet 2/0/27(config-if-range)# switchport mode trunk(config-if-range)# switchport trunk allowed vlan
10,20,300

ポート 1/0/27 と 2/0/27 は UTM の接続用に VLAN10,20,300を扱うトランクポート(タグ付 VLAN を扱うポート)を構成します。

装置のリモート管理に関する設定(config)# line vty 0 15

telnet によるログインを許可します。

(2) 管理・認証システム用アクセススイッチ (AX2340S)の設定
S1 (AX2340S-48T4X)の設定
スパニングツリーの設定(config)# spanning-tree disable

スパニングツリーは使用しないため無効に設定します。(AX 構
築ポイント(1))

VLAN の設定(config)# vlan 300

使用する VLAN の設定をおこないます。

VLAN インタフェースの設定(config)# interface vlan 300(config-if)# ip address 192.168.77.5 255.255.255.0

VLAN300 はシステム管理用に使用します。
VLAN300 に IP アドレスを設定します。

物理ポートインタフェースの設定
ポートの設定(config)# interface range tengigabitethernet 1/0/51-52(config-if-range)# channel-group 20 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 20 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 20(config-if)# switchport mode access(config-if)# switchport access vlan 300

ポートチャネル 20 に使用する VLAN を割り当てます。

(config)# interface range gigabitethernet 1/0/1-3(config-if)# switchport mode access(config-if)# switchport access vlan 300

スタティックモードで使用する VLAN を割り当てます。

装置のリモート管理に関する設定(config)# line vty 0 5

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

telnet によるログインを許可します。

25

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(3) フロアスイッチ (AX2630S)の設定
FL1-A/B 共通 (AX2630S-24P4XW)の設定
スパニングツリーの設定(config)# spanning-tree disable

スパニングツリーは使用しないため無効に設定します。(AX 構
築ポイント(1))

VLAN の設定(config)# vlan 100,200,300

使用する VLAN の設定をおこないます。

VLAN インタフェースの設定(config)# interface vlan 300(config-if)# ip address 192.168.77.20 255.255.255.0

VLAN300 はシステム管理用に使用します。
VLAN300 に IP アドレスを設定します。

物理ポートインタフェースの設定
チャネルグループの設定(config)# interface range gigabitethernet 1/0/25,
gigabitethernet 2/0/25(config-if-range)# channel-group 10 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 10 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。
→FL2-A/B はポートチャネル 11(config)# interface port-channel 10(config-if)# switchport mode trunk(config-if)# switchport trunk allowed vlan 100,200,300

ポートチャネル 10 に使用する VLAN を割り当てます。
→FL2-A/B はポートチャネル 11(config)# interface range gigabitethernet 1/0/26,
gigabitethernet 2/0/26(config-if-range)# channel-group 12 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 12 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 12(config-if)# switchport mode trunk(config-if)# switchport trunk allowed vlan 100,200,300

ポートチャネル 12 に使用する VLAN を割り当てます。

装置のリモート管理に関する設定(config)# line vty 0 5

telnet によるログインを許可します。

装置 FL2-A/B の設定は使用するポートチャネル番号と装置アドレスが異なる以外は装置 FL1 の設定と同様です。
(ポートチャネル番号：10→11 もしくは 12 のまま、装置アドレス：192.168.77.20→192.168.77.21)

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

26

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(4) 端末 PC 用アクセススイッチ (AX2340S)の設定
L2 認証のさらに詳しい内容については、「AX シリーズ認証ソリューションガイド(第 12 版)」に記載しています。
こちらも合わせてご利用ください。
A1 (AX2340S-48T4X)の設定
スパニングツリーの設定(config)# spanning-tree disable

スパニングツリーは使用しないため無効に設定します。(AX 構
築ポイント(1))

VLAN の設定(config)# vlan 300,1000

使用する VLAN の設定をおこないます。

(config)# vlan 100 mac-based(config-vlan)# state active

認証後 VLAN として、VLAN100 に MAC VLAN を設定します。

(config)# vlan 200 mac-based(config-vlan)# state active

認証後 VLAN として、VLAN200 に MAC VLAN を設定します。

VLAN インタフェースの設定(config)# interface vlan 300(config-if)# ip address 192.168.77.10 255.255.255.0

VLAN300 はシステム管理用に使用します。
VLAN300 に IP アドレスを設定します。

物理ポートインタフェースの設定
チャネルグループの設定(config)# interface range gigabitethernet 1/0/49-50(config-if-range)# channel-group 12 mode on(config-if-range)# link debounce time 0

スタティックモードでポートチャネル 12 を設定します。
リンクダウン検出時間を最小(0 ﾐﾘ秒)に設定します。

(config)# interface port-channel 12(config-if)# switchport mode trunk(config-if)# switchport trunk allowed vlan 100,200,300

ポートチャネル 12 に使用する VLAN を割り当てます。

ポートの設定(config)# interface range gigabitethernet 1/0/1-2(config-if-range)# switchport mode mac-vlan(config-if-range)# switchport mac native vlan 1000
(config-if-range)# dot1x multiple-authentication(config-if-range)# dot1x port-control auto

ポート 1/0/1 と 1/0/2 に mac-vlan モードを設定し、ネイティブ
VLAN を設定します。
認証サブモードを端末認証モードに指定します。
IEEE802.1X 認証を有効にします。(AX 構築ポイント(3))

IEEE802.1X 認証の設定(config)# dot1x system-auth-control

IEEE802.1X を有効にします。(AX 構築ポイント(3))

RADIUS の設定(config)# aaa authentication dot1x default group radius(config)# dot1x radius-server host 192.168.77.150 key"alaxala123"

IEEE802.1X のユーザ認証を RADIUS サーバで行うことを設定します。
RADIUS サーバの IP とパスワードを設定します。

装置のリモート管理に関する設定(config)# line vty 0 5

telnet によるログインを許可します。

装置 A2 の設定は使用する VLAN ID と装置アドレスが異なる以外は装置 A1 の設定と同様です。
(装置アドレス：192.168.77.10→192.168.77.11)

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

27

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(5) UTM (FortiGate)の設定
FortiGate にて HA 構成を組む場合、マスタとする装置にて基本的な設定をおこなっておきます。
UTM1 (FortiGate-200E)の設定
HA(冗長)クラスタの設定
CLI
config system ha
set mode a-p
set group-name axfgcluster1
set password secret123
set monitor port15
set hbdev port17 0
set priority 200
endGUI
システム＞設定＞HA(FortiGate 構築ポイント(1))[モード] アクティブ-パッシブ[デバイスのプライオリティ] 200
装置のプライオリティ(大きい方が高優先)(FortiGate 構築ポイント(2))[グループ ID] 0[グループ名] axfgcluster1
任意のグループ名[パスワード] secret123
任意の推察されにくいパスワード[モニタインタフェース] port15[ハートビートインタフェース] port17<OK>

VDOM の作成
config system global
set vdom-mode multi-vdom
end
You will be logged out for theoperation to take effect.
Do you want to continue? (y/n)yシステム＞設定[システムオペレーション設定]
バーチャルドメイン [ラジオボタン] [ON]をクリック

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

28

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

Changing the virtual domain configuration will require you to relogin. Are you
sure you want to continue?
[OK]をクリック

config vdom
edit VDOM1
next
edit VDOM2
end

システム＞VDOM＞新規作成[バーチャルドメイン] VDOM1[タイプ] トラフィック[NGFW モード] プロファイルベース[WiFi の国/地域]日本<OK>
同様に VDOM2 を作成する。

VLAN の設定
config global
config system interface
edit vlan10
set vdom VDOM1
set ip 172.16.100.254/24
set allowaccess ping https ssh
snmp http fgfm ftm
set interface port15
set vlanid 10
nextedit vlan20
set vdom VDOM2
set ip 172.16.200.254/24
set allowaccess ping https ssh
snmp http fgfm ftm
set interface port15
set vlanid 20
next

ネットワーク＞インターフェース＞新規作成＞インターフェース[名前] vlan10[タイプ] VLAN
[インタフェース] port15[VLAN ID] 10[バーチャルドメイン] VDOM1[IP/ネットマスク] 172.16.100.254/255.255.255.0[管理者アクセス] HTTPS, HTTP, PING, FMG アクセス, SSH, SNMP, FTM にチェック<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

29

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
edit vlan300
set vdom root
set ip 192.168.77.254/24
set allowaccess ping https ssh
snmp http fgfm ftm
set interface port15
set vlanid 300
end

同様に VLAN20、 VLAN2 を以下の設定で作成する。
[名前] vlan20[タイプ] VLAN
[インタフェース] port15[VLAN ID] 20[バーチャルドメイン] VDOM2[IP/ネットマスク] 172.16.200.254/255.255.255.0[管理者アクセス] HTTPS, HTTP, PING, FMG アクセス, SSH, SNMP, FTM にチェック<OK>[名前] vlan300[タイプ] VLAN
[インタフェース] port15[VLAN ID] 300[バーチャルドメイン] root
[IP/ネットマスク] 192.168.77.254/255.255.255.0[管理者アクセス] HTTPS, HTTP, PING, FMG アクセス,SSH,SNMP,FTM にチェック<OK>Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

30

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

グローバルアドレスを 192.168.77.254 として例示

VDOM1 の設定
デフォルトルートとスタティックルートの設定
config vdom
edit VDOM1
config router static
edit 1
set gateway 172.16.100.1
set device vlan10
next
end

現在の VDOM（グローバル）＞VDOM1

ネットワーク＞スタティックルート＞新規作成[宛先] サブネット
0.0.0.0/0.0.0.0[ゲートウェイアドレス] 172.16.100.1[インターフェース] vlan10<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

31

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
ファイアウォール設定例(NAT ポリシの追加)
config vdom
edit VDOM1
config firewall policy
edit 1
set name vlan10_policy
set srcintf vlan10
set dstintf vlan10
set action accept
set srcaddr all
set dstaddr all
set schedule always
set service ALL
set nat enable
next
end

現在の VDOM（グローバル）＞VDOM1
ポリシー＆オブジェクト＞ファイアウォールポリシー＞新規作成[名前] vlan10_policy[着信インターフェース] vlan10[発信インターフェース] vlan10[送信元] all
[宛先] all[スケジュール] always[サービス] ALL[アクション] 許可[NAT] [ラジオボタン] ON<OK>

VDOM2 の設定
デフォルトルートとスタティックルートの設定
config vdom
edit VDOM2
config router static
edit 1
set gateway 172.16.200.1
set device vlan20
next
end

現在の VDOM＞VDOM2

ネットワーク＞スタティックルート＞新規作成[宛先] サブネット
0.0.0.0/0.0.0.0[ゲートウェイアドレス] 172.16.200.1[インターフェース] vlan20<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

32

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

ファイアウォール設定例(NAT ポリシの追加)
config vdom
edit VDOM2
config firewall policy
edit 1
set name vlan20_policy
set srcintf vlan20
set dstintf vlan20
set srcaddr all
set dstaddr all
set schedule always
set service ALL
set action accept
set nat enable
next
end

現在の VDOM（グローバル）＞VDOM2
ポリシー＆オブジェクト＞ファイアウォールポリシー＞新規作成[名前] vlan20_policy[着信インターフェース] vlan20[発信インターフェース] vlan20[送信元] all
[宛先] all[スケジュール] always[サービス] ALL[アクション] 許可[NAT] [ラジオボタン] ON<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

33

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
管理 VDOM の変更 (必要に応じて)config global
config system global
set management-vdom VDOM 名
end
end

現在の VDOM＞グローバルシステム＞VDOM＞
管理 VDOM にしたい VDOM 名を右クリック[管理を切り替え]アイコンをクリック

または管理 VDOM にしたい VDOM 名を左クリック[管理を切り替え]アイコンをクリック (FortiGate 構築ポイント(5))

設定のバックアップ
config global
exec backup config ftp master.conf
サーバ IP アドレス ユーザーID パスワード

現在の VDOM＞グローバル
右上のユーザー＞設定＞バックアップ[スコープ] グローバル[バックアップ] ローカル PC[ファイルフォーマット] FortiOS<OK>

任意のフォルダに保存する
同様に VDOM も保存する

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

34

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

続いて、バックアップとして使用する装置の設定をマスタ装置と接続する前に以下のように設定します。
UTM2 (FortiGate-200E)の設定
HA(冗長)クラスタの設定
CLI
config system ha
set mode a-p
set group-name axfgcluster1
set password secret123
set monitor port15
set hbdev port17 0
set priority 100
endGUIシステム＞設定＞HA[モード] アクティブ-パッシブ[デバイスのプライオリティ] 100 装置のプライオリティ(大きい方が高優先)[グループ ID] 0[グループ名] axfgcluster1
任意のグループ名[パスワード] secret123
任意の推察されにくいパスワード[モニタインタフェース] port15[ハートビートインタフェース] port17<OK>

バックアップ装置での以上の設定終了後、マスタ装置へ接続、続いてネットワークに接続します。

HA が正しく構成されているかの確認は以下の通りです。
GUI の場合
システム＞設定＞HA

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

35

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

CLI の場合# config global(global) # get system ha status
HA Health Status: OK
Model: FortiGate-200E
Mode: HA A-PGroup Name: axfgcluster1
Group ID: 0
Debug: 0＜中略＞
Configuration Status:
FG200E4Q16901137(updated 1 seconds ago): in-sync
FG200E4Q16901137 chksum dump: 5f 9d a7 43 cd 15 81 25 85 87 12 f5 90 8a d4 2aFG200E4Q16900272(updated 4 seconds ago): in-sync
FG200E4Q16900272 chksum dump: 5f 9d a7 43 cd 15 81 25 85 87 12 f5 90 8a d4 2a＜中略＞Primary: FortiGate-200E , FG200E4Q16901137, HA cluster index = 0
Secondary : FortiGate-200E , FG200E4Q16900272, HA cluster index = 1
number of vcluster: 1
vcluster 1: work 169.254.0.1
Primary: FG200E4Q16901137, HA operating index = 0
Secondary: FG200E4Q16900272, HA operating index = 1(6) RADIUS サーバ (FortiAuthenticator-VM)の設定
RADIUS サーバの設定を行います。

(a) インターフェースの設定
System＞Network＞Interfaces
port1 を選択
<Edit>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

36

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

[IP Address / Netmask] 192.168.77.150/255.255.255.0[Access Rights]
Telnet [ON]
SSH [ON]GUI [ON]HTTP [ON]RADIUS Auth [ON]RADIUS Accounting [ON]<OK>

IP アドレスを変更すると Web アクセスへの再接続が必要です。

(b) RADIUS サービスの設定(i) RADIUS クライアントの設定
Authentication＞RADIUS Service＞Clients<Create New>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

37

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
[Name] radius[Client address] [Range]を選択
192.168.77.10-192.168.77.11[Secret] alaxala123<OK>(ii) RADIUS ポリシーの設定
Authentication＞RADIUS Service＞Policies<Create New>[RADIUS clients][Policy name] FortiSecure[RADIUS Clients] radius (192.168.77.10-192.168.77.11) を選択、<→>を押下<Next>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

38

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
[RADIUS attribute criteria]<Next>[Authentication type][ラジオボタン] Password/OTP authentication
Accept EAP [ON]PEAP [ON]<Next>[Identity source]<Next>[Authentication factors][ラジオボタン] Password-only“Allow CTP for EAP-MSCHAPv2 Authentication with Forticlient” [ON]<Next>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

39

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）
[RADIUS response]<Save and exit>(iii) RADIUS ポートの確認
Authentication＞RADIUS Service＞Services[Authentication port] 1812
[Accounting SSO port] 1813
<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

40

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）(c) ユーザの登録(i) ゲスト用 NW ユーザの登録
Authentication＞User Management＞Local Users<Create New>を押下[Create New Local User][Username] aaa <任意>
[Password] 12345678 <任意>
[Password confirmation] 12345678 <任意>
Allow RADIUS authentication [ON]<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

41

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

[Edit Local User]
Password authentication [ON]Allow RADIUS authentication [ON][RADIUS Attributes][+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Type[Value] VLAN[+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Medium-Type[Value] 6 or IEEE-802[+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Private-Group-ID[Value] 100<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

42

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）(ii) 社員用 OA NW ユーザの登録
Authentication＞User Management＞Local Users<Create New>

[Create New Local User][Username] bbb <任意>
[Password] 12345678 <任意>
[Password confirmation] 12345678 <任意>
Allow RADIUS authentication [ON]<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

43

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

[Edit Local User]
Password authentication [ON]Allow RADIUS authentication [ON][RADIUS Attributes][+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Type[Value] VLAN[+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Medium-Type[Value] 6 or IEEE-802[+Add RADIUS Attributes][Vendor] Default[Attribute ID] Tunnel-Private-Group-ID[Value] 200<OK>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

44

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）(d) 設定のバックアップ
右上のユーザー＞Restore/Backup<Download Backup File>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

45

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

4. 効率的な運用ツール
ネットワークを仮想化すると、構成が物理的な構成、いわゆる見た目と異なることになるため、運用管理の面で負担が大きくなりがちです。
アラクサラのネットワーク・パーティションや FortiGate では、そういった仮想化されたネットワークの運用を手助けするツールも用意されています。

4.1

FortiManager と FortiAnalyzer

FortiGate に関しては、FortiGate における各種設定など装置そのものの管理と、FortiGate によるアクセス制
御によって得られる各種ログ監視の両面を助けるアプライアンス・VM 製品があります。
その前者にあたるのが FortiManager です。
FortiManager では、複数の FortiGate と、複数の仮想ドメイン（VDOM）を、集中管理するためのアプライアン
ス・VM 製品です。FortiManager を使うことで、共有できるセキュリティポリシを複数の FortiGate や VDOM に適用したり、FortiGate のファームウェアの更新を集中的に効率よく実施できます。また、インターネットリーチャブ
ルでない FortiGate に対して、アンチウイルスや IPS のシグネチャデータベースを更新することもできます。この他、設定履歴や差分の管理機能も備えています。FortiManager の XML API の利用で、自動化にも対応可能です。

図 4.1-1

FortiManager 設定画面例

一方、ログ管理を助けるアプライアンス・VM 製品として FortiAnalyzer があります。
FortiAnalyzer は、複数の FortiGate や複数の VDOM が記録するログを管理するためのアプライアンス・VM製品であり、FortiAnalyzer を使うことで、ログの検索や、ログの集計、報告書作成と報告書の送付が簡単に行なえます。スケジューリング機能により、毎週月曜日８時に、VDOM 毎に PDF 形式の一週間の攻撃状況の報告書を作成し、VDOM 毎の管理者に報告書を電子メールで送付する、といったことが自動でできます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

46

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

図 4.1-2

FortiAnalyzer 設定/ログ参照画面例

図 4.1-3 FortiAnalyzer 自動生成レポート例

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

47

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

5. 留意事項(1) FortiGate インタフェースでの DHCP クライアント使用について
FortiGate では、スタンドアロンで使用している場合に限りインタフェースでの IP アドレス指定に DHCP クライ
アントによる設定を使うことが可能ですが、HA 構成としている際はインタフェースへの DHCP クライアントによるIP アドレス設定はできません。

(2) FortiGate の HA 監視ポート設定の手順
HA の設定および監視ポートの設定がされた HA マスタ装置が監視ポートのダウンを検知している状態で、マスタと異なるコンフィグを持つ装置を、監視ポートの設定なしにマスタ装置に接続（HA クラスタへ参加）すると、マスタ側のコンフィグが消失します。追加された装置が新たなマスタとなり、コンフィグもあわせて追加された装置のものに同期するためです。(追加する装置では監視ポートの設定が無いと、監視ポートダウン検知無しとみなされます。)
マスタ装置に、工場出荷状態などマスタと異なる設定を持つ装置を接続するときの手順は下記のいずれかの方法を推奨します。
• 新規に HA を構築するときは、HA クラスタの構築をし、HA が正しく動作していることを確認してから
HA 監視ポートの設定をする。
• 追加する装置に、少なくともマスタ装置と同じ監視ポート設定をしてからマスタ装置に接続する。
• マスタ装置に接続する前に、マスタ装置の HA 監視ポートがすべてアップ状態であることを確認する。
なお監視ポートのダウン検知状況は CLI で下記のように確認します。
FortiGate-200E (global) # diagnose sys ha dump-by group
HA information.
group-id=1, group-name='axfgcluster1'
has_no_aes128_gcm_sha256_member=0
gmember_nr=2'FG200E4Q16900272': ha_ip_idx=1, hb_packet_version=45, last_hb_jiffies=0,
linkfails=0, weight/o=0/0, support_aes128_gcm_sha256=1'FG200E4Q16901137': ha_ip_idx=0, hb_packet_version=55, last_hb_jiffies=25199604,
linkfails=20, weight/o=0/0, support_aes128_gcm_sha256=1
hbdev_nr=1: port17(mac=906c..50, last_hb_jiffies=25199604, hb_lost=0),
vcluster_nr=1
vcluster-1: start_time=1712302233(2024-04-05 16:30:33),
state/o/chg_time=2(work)/2(work)/1712553345(2024-04-08 14:15:45)
pingsvr_flip_timeout/expire=3600s/2603s
mondev: port15(prio=50,is_aggr=0,status=1)'FG200E4Q16900272': ha_prio/o=0/0, link_failure=0, pingsvr_failure=0,
flag=0x00000001, mem_failover=0, uptime/reset_cnt=251856/0'FG200E4Q16901137': ha_prio/o=1/1, link_failure=50, pingsvr_failure=0,
flag=0x00000000, mem_failover=0, uptime/reset_cnt=0/2
0
ポートダウン検知なし
50
ポートダウン検知あり※この例では、FG200E4Q16901137 が監視ポートのいずれかのダウンを検知している状態を示します。

（※） ハードウェア障害の機器交換時は、予めバックアップしておいた設定を、新装置にリストアした後に、HA クラスタへ参加させることで、コンフィグの消失を避けることができます。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

48

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

(3) FortiGate の HA 構成におけるマスタ装置交替について
HA 構成としている装置でマスタとなっていた装置がダウン後、再度復旧した場合に同じその装置がマスタ状態に戻る(切戻る)場合があります。
HA では override 設定(CLI でのみ設定可能。デフォルトでは disable)が disable であり、かつ HA 構成の装置同士の「安定稼働時間(※)」の差が 300 秒以上ある場合、メンバ追加時の系交替、いわゆる切戻りが抑止されます。HA での装置復旧ではほとんどの場合この条件に該当するため、一般的には切戻りが発生しませんが、
override 設定が enable、もしくは安定稼動時間の差が 300 秒以下の場合は、プライオリティの高い装置がマスタになりますので、元マスタだった装置の復旧とともにマスタ交替も発生する(切戻る)状態が発生する場合があります。
(※)安定稼動時間：FortiGate が最後に経験した監視ポートのリンクダウンから、もしくは起動から監視ポートのリンクダウンが無ければ起動からの経過時間。HA 構成の装置間で安定稼動時間の差を確認するには、CLI
にて以下のように行います。
FortiGate-200E (global) # diagnose sys ha dump-by group
HA information.
group-id=1, group-name='axfgcluster1'
has_no_aes128_gcm_sha256_member=0
gmember_nr=2'FG200E4Q16900272':
ha_ip_idx=1,
hb_packet_version=191,
last_hb_jiffies=0,
linkfails=0, weight/o=0/0, support_aes128_gcm_sha256=1'FG200E4Q16901137':
ha_ip_idx=0,
hb_packet_version=203,
last_hb_jiffies=25463466,
linkfails=19,
weight/o=0/0,
support_aes128_gcm_sha256=1
hbdev_nr=1: port17(mac=906c..50, last_hb_jiffies=25463466, hb_lost=0),
vcluster_nr=1
vcluster-1:
start_time=1712554595(2024-04-08
14:36:35),
state/o/chg_time=2(work)/3(standby)/1712556896(2024-04-08 15:14:56)
pingsvr_flip_timeout/expire=3600s/3515s
mondev: port15(prio=50,is_aggr=0,status=1)'FG200E4Q16900272': ha_prio/o=0/0, link_failure=0, pingsvr_failure=0,
flag=0x00000001, mem_failover=0, uptime/reset_cnt=2300/3'FG200E4Q16901137': ha_prio/o=1/1, link_failure=0, pingsvr_failure=0,
flag=0x00000000, mem_failover=0, uptime/reset_cnt=0/3
装置の安定稼動時間の値。(単位 1 秒)
値が 0 であれば、最後にリンクダウンを経験した装置
正の値であれば、リンクダウンからの経過時間※この例ではセカンダリ装置(FG200E4Q16900272)の方が、安定稼動時間が 2300 秒（約 38 分）長いことを示しています。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

49

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

付録
本ガイドにて紹介した構成のコンフィグレーション例です。
3 章の各ネットワーク構成における各装置の全コンフィグレーションについて、テキスト形式のファイルとして本ファイルに添付しております。(添付ファイルを抽出するには、Adobe Acrobat 5.0 以降もしくは Adobe
Reader 6.0 以降が必要です。)
各コンフィグレーションについては、以下に示すファイル名と同じ名前の添付ファイルを参照下さい。

3.1 スタック＋リンクアグリゲーション + FortiGate HA 構成の例
装置名と対象装置
C1 (AX3660S-24T4X)
UTM1(FortiGate-200E)

対象ファイル
コアスイッチ
3-1_AXFG-guide_stack_C1.txt
UTM(*1)3-1_AXFG-guide_stack_UTM1_global.conf
3-1_AXFG-guide_stack_UTM1_root.conf
3-1_AXFG-guide_stack_UTM1_VDOM1.conf
3-1_AXFG-guide_stack_UTM1_VDOM2.conf
管理・認証システム用アクセススイッチ S1 (AX2340S-48T4X)
3-1_AXFG-guide_stack_S1.txt
フロアスイッチFL1 (AX2630S-24P4XW)
3-1_AXFG-guide_stack_FL1.txt
FL2 (AX2630S-24P4XW)
3-1_AXFG-guide_stack_FL2.txt
端末 PC 用アクセススイッチ
A1 (AX2340S-48T4X)
3-1_AXFG-guide_stack_A1.txt
A2 (AX2340S-48T4X)
3-1_AXFG-guide_stack_A2.txt(*1)UTM(FortiGate)のコンフィグは HA のマスタ分のみです。スレーブ側のコンフィグは HA 構成時にマスタと同期します。

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

50

AX＆FortiGate セキュア仮想ネットワークソリューション システム構築ガイド （第 2 版）

<空白ページ>

Copyright © 2024, ALAXALA Networks Corporation. All rights reserved.

51

2024 年 7 月 第 2 版発行
資料 No. NTS-11-R-008

アラクサラネットワークス株式会社
ネットワークテクニカルサポート〒212-0058
神奈川県川崎市幸区鹿島田 1 丁目 1 番 2 号
新川崎ツインタワー西棟 13 階 （旧：新川崎三井ビル）
https://www.alaxala.com/