【Fortigate】 VLANトランク設定（ハードウェアスイッチ）と動作確認 FortiOS6.0.9

Fortigateで、VLANトランクの設定と動作を確認します。今回は、VLANをハードウェアスイッチ上に作成します。

構成

新しくハードウェアスイッチ（HW-Switch-4-5）を作成し、Port4とPort5を割り当てます。Port1、Port2、Port3は、デフォルトのinternalのままです。

VLANは次の4つを設定します。internalにVLAN100と200、HW-Switch-4-5にVLAN300と400を割り当てます。

図のように、CiscoのL2スイッチと端末を接続し、端末間の疎通を確認します。

設定

ハードウェアスイッチのIPアドレスを外す

今回の構成では、IPアドレスをVLANインタフェースに付けます。そのため、ハードウェアスイッチ（internalとHW-Switch-4-5）に付いているIPアドレスは外します。アドレッシングモードをDHCPにします。

VLANインタフェースの追加

VLANインタフェースとして、VLAN100（VLAN番号：100）を追加します。このVLANインタフェースは、internalというデフォルトのハードウェアスイッチに割り当てます。

ネットワーク ›› インタフェース から、新規作成 ›› インターフェース をクリックします。

ハードウェアスイッチinternalに、VLAN100が所属していることが確認できます。

同様に、VLAN200〜VLAN400を設定します。

L2スイッチ側の設定

Fortigateへ接続するポートはトランクポート、端末へ接続するポートはアクセスポートとして設定します。

左側のスイッチ

interface FastEthetnet 0/1
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 100,200
switchport mode trunk
!
interface FastEthetnet 0/2
switchport mode access
switchport access vlan 100

右側のスイッチ

interface FastEthetnet 0/10
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 300,400
switchport mode trunk
!
interface FastEthetnet 0/11
switchport mode access
switchport access vlan 300

動作確認と設定の見直し

ハードウェアスイッチ間のポリシーで通信を確認

ハードウェアスイッチ間（internalからHW-Switch-4-5）でポリシーを設定します。

192.168.1.1 → 192.168.3.1 へpingを実行しますが、疎通できません。

C:\Users\（伏せています）>ping 192.168.3.1 192.168.3.1 に ping を送信しています 32 バイトのデータ:要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。 192.168.3.1 の ping 統計:1    パケット数: 送信 = 4、受信 = 0、損失 = 4 (100% の損失)、

今回、Fortigateに付与されているIPアドレスは、ハードウェアスイッチではなく、VLANインタフェースに付いています。そのため、ポリシーも、VLANインタフェース間で設定する必要があります。

VLANインタフェース間のポリシーに変更

入力インタフェースをVLAN100、出力インタフェースをVLAN300に変更します。

再度、192.168.1.1 → 192.168.3.1 へpingを実行すると、疎通できるようになりました。

C:\Users\（伏せています）>ping 192.168.3.1 192.168.3.1 に ping を送信しています 32 バイトのデータ:192.168.3.1 からの応答: バイト数 =32 時間 =3ms TTL=128192.168.3.1 からの応答: バイト数 =32 時間 =1ms TTL=128192.168.3.1 からの応答: バイト数 =32 時間 =1ms TTL=128192.168.3.1 からの応答: バイト数 =32 時間 =1ms TTL=128 192.168.3.1 の ping 統計:1    パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンド トリップの概算時間 (ミリ秒):    最小 = 1ms、最大 = 3ms、平均 = 1ms

同じハードウェアスイッチ内の通信確認

同じハードウェアスイッチ内のVLAN間にポリシーを設定

同じハードウェアスイッチinternalの中で、VLAN100の端末（192.168.1.1/24）とVLAN200の端末（192.168.2.1/24）の通信を確認します。VLAN200の端末は、Port3に接続したL2スイッチにつなぎます。このL2スイッチも、Fortigate側をトランクポート（許可するVLANは100と200）、端末側をアクセスポート（VLAN200）として設定します。

192.168.1.1 → 192.168.2.1 へpingを実行しますが、疎通できません。

C:\Users\（伏せています）>ping 192.168.2.1 192.168.2.1 に ping を送信しています 32 バイトのデータ:要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。要求がタイムアウトしました。 192.168.2.1 の ping 統計:1    パケット数: 送信 = 4、受信 = 0、損失 = 4 (100% の損失)、

同じハードウェアスイッチ内でも、VLANが異なれば疎通できません。VLAN間のポリシーが必要になります。

VLAN間のポリシーを設定したあと、疎通できるようになりました。

C:\Users\（伏せています）>ping 192.168.2.1 192.168.2.1 に ping を送信しています 32 バイトのデータ:192.168.2.1 からの応答: バイト数 =32 時間 =1ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 =1ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 =1ms TTL=128192.168.2.1 からの応答: バイト数 =32 時間 =1ms TTL=128 192.168.2.1 の ping 統計:1    パケット数: 送信 = 4、受信 = 4、損失 = 0 (0% の損失)、ラウンド トリップの概算時間 (ミリ秒):    最小 = 1ms、最大 = 1ms、平均 = 1ms

うまくいかないときの確認

まとめ

ハードウェアスイッチの基本は 【Fortigate】ハードウェアスイッチ間通信と動作確認 FortiOS6.0.9 から、FortiGateの設定の関連記事は 【Fortigate】サイト間IPSec設定（PPPoE網間接続）と動作確認 FortiOS6.0.9 から参照できます。