【Fortigate】ハードウェアスイッチ間通信と動作確認 FortiOS6.0.9

ハードウェアスイッチは、FortiGate の複数の物理ポートをまとめて、1つのインターフェースとして扱えるようにした仮想的なインターフェースです。まとめたポートは、同じスイッチにつながっているのと同じように動きます。

この記事では FortiGate 60F を使い、既定のハードウェアスイッチを確認したうえで、ポートを分けて新しいハードウェアスイッチを作ります。最後に、ハードウェアスイッチ間で通信するにはファイアウォールポリシーが必要なことを ping で確かめます。検証時の FortiOS は 6.0.9 です。

ハードウェアスイッチとは

FortiGate 60F には、1〜5 の番号が付いた物理ポートがあります。初期状態では、この5つのポートが internal という名前のハードウェアスイッチにまとめられています。

ハードウェアスイッチは、本体のスイッチチップ（ハードウェア）で処理されます。同じハードウェアスイッチのポートは、同じブロードキャストドメインに属し、1台のスイッチにつながっているように動きます。似た機能にソフトウェアスイッチがあり、Fortinet のドキュメントでは次のように比べられています。

ハードウェアスイッチ設定の確認

既定のハードウェアスイッチを確認する

実際の設定を確認します。ネットワーク ›› インターフェース を開くと、internal という名前のハードウェアスイッチに物理ポート1〜5 が割り当てられています。

物理インターフェースのステータスは、緑がリンクアップ、赤がリンクダウンです。internal には 192.168.1.99/24 が設定されています。

internal をクリックすると、インターフェースメンバーに internal1〜internal5 という名前で物理ポートが入っていることがわかります。

internal1〜internal5 は同じセグメントのポートなので、たとえばポート1とポート5に端末をつなぐと、ファイアウォールポリシーを作らなくても通信できます。

初期状態では internal1〜internal5 が同じセグメントですが、たとえば internal1〜internal3 と internal4〜internal5 でセグメントを分けることもできます。その場合は、ハードウェアスイッチを新しく作ります。

ハードウェアスイッチの追加

internal から internal4・internal5 を外す

まず、既定のハードウェアスイッチ internal から internal4 と internal5 を外します。internal の編集画面で、インターフェースメンバーの internal4 と internal5 の ✖ をクリックします。

internal4 と internal5 がメンバーから消えたら、OK をクリックします。

一覧に戻ると、internal のメンバーは 1〜3 になり、internal4 と internal5 は物理インターフェースとして表示されます。

新しいハードウェアスイッチを作る

internal4 と internal5 を入れる新しいハードウェアスイッチを作ります。インターフェース一覧の左上にある 新規作成 ›› インターフェース を選びます。HW-Switch-4-5 という名前で作り、192.168.2.0/24 のセグメントを割り当てます。

OK をクリックすると、新しいハードウェアスイッチ HW-Switch-4-5 にポート4と5が割り当てられたことを確認できます。

動作確認

ハードウェアスイッチ間の通信を確認する

ポート1（internal）とポート5（HW-Switch-4-5）に端末をつなぎ、ポート1の端末（192.168.1.1）からポート5の端末（192.168.2.1）へ ping を実行します。結果は、応答がありません。

C:\Users\Administrator>ping 192.168.2.1 192.168.2.1 に ping を送信しています 32 バイトのデータ:1要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。 192.168.2.1 の ping 統計:2    パケット数: 送信 = 4、受信 = 0、損失 = 4 (100% の損失)、

同じハードウェアスイッチの中は、ファイアウォールポリシーがなくても通信できます。一方、ハードウェアスイッチが違えば、FortiGate から見て別のインターフェースです。インターフェースをまたぐ通信は、ファイアウォールポリシーで許可しない限り通りません。

そこで、ポリシー&オブジェクト ›› ファイアウォールポリシー で、入力インターフェースと出力インターフェースにそれぞれのハードウェアスイッチを選んだポリシーを作ります。

ポリシーを作ったあと、もう一度 ping を実行すると、異なるハードウェアスイッチ間で疎通できるようになりました。

C:\Users\Administrator>ping 192.168.2.1 192.168.2.1 に ping を送信しています 32 バイトのデータ:1192.168.2.1 からの応答: バイト数 =32 時間 =3ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 <1ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 <1ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 =1ms TTL=128 192.168.2.1 の ping 統計:2    パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンド トリップの概算時間 (ミリ秒):    最小 = 0ms、最大 = 3ms、平均 = 1ms

まとめ

ハードウェアスイッチを分けると、ポートをセグメントごとに分けられ、セグメント間の通信をファイアウォールポリシーで制御できるようになります。ポートを追加するときは、そのポートがほかの設定から参照されていないことと、IP アドレスが 0.0.0.0 になっていることを先に確かめてください。

FortiGate の関連記事：【Fortigate】 PPPoE設定と動作確認 ／ FortigateのDHCPサーバ設定と通信シーケンスの詳細解説