Foritgateで、VLANトランクの設定と動作を確認します。今回、VLANをハードウェアスイッチ上に作成します。
ハードウェアスイッチの構成は以下の記事を前提にしますので、先にお読みいただくことをお勧めします。
>> 参考記事 : ハードウェアスイッチ間通信と動作確認 FortiOS6.0.9新しくハードウェアスイッチ(HW-Switch-4-5)を作成し、Port4 と5に割り当てます。(Port1, 2 , 3はデフォルトのInternalのままです。)
VLANは以下4つを設定し、InternalにVLAN100と200、HW-Switch-4-5にVLAN300と400を割り当てます。
- VLAN100 192.168.1.0/24
- VLAN200 192.168.2.0/24
- VLAN300 192.168.3.0/24
- VLAN400 192.168.4.0/24
![](https://hirotanoblog.com/wp-content/uploads/2021/04/A8BC9B69-77B6-4ABF-971D-802E5A4BCEDD.png)
上の図のように、CiscoのL2スイッチと端末を接続し、端末間の疎通を確認します。
設定
ハードウェアスイッチに設定されているIPアドレスを削除
今回の構成では、VLANにIPアドレスを付与するので、ハードウェアスイッチに付与されているIPアドレスを削除します。アドレッシングモードをDHCPにします。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/67B64401-025F-4BC1-848B-C5070C944308-1024x791.png)
VLANインタフェースの追加
VLANインターフェースとして、VLAN100 (VLAN番号:100)を追加します。このVLANインタフェースはinternalというデフォルトのハードウェアスイッチに割り当てます。
ネットワーク >> インタフェース から 新規作成 >> インターフェースをクリックします。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/2C69727A-E27B-4836-9AEE-FC3BEFD9FC7D-938x1024.png)
- インタフェース名:任意の名称。VLAN番号がわかるようにVLAN100とします。
- タイプ:VLANを選択
- インタフェース:ハードウェアスイッチであるinternalを選択
- VLAN ID:VLAN番号である100を設定
- IP/ネットワークマスク:IPアドレスである192.168.1.99/24を設定
- 管理アクセス:任意。疎通確認用にPingを許可
以下のようにハードウェアスイッチinternalにVLAN100が所属していることが確認できます。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/28629977-4CAE-4BA0-A5AA-807198089EAB-1024x327.png)
同様にVLAN200〜400までを設定します。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/16068CC5-A5DC-4DEC-8069-128CA1A8A0CA-1024x443.png)
L2スイッチ側の設定
Fortigateへ接続するポートはTrunkポート、端末へ接続するポートはAccessポートとして設定します。
左側のスイッチ
interface FastEthetnet 0/1 switchport trunk encapsulation dot1q switchport trunk allowed vlan 100,200 switchport mode trunk ! interface FastEthetnet 0/2 switchport mode access switchport access vlan 100
右側のスイッチ
interface FastEthetnet 0/10 switchport trunk encapsulation dot1q switchport trunk allowed vlan 300,400 switchport mode trunk ! interface FastEthetnet 0/11 switchport mode access switchport access vlan 300
動作確認と設定見直し
ハードウェアスイッチ間の通信
ハードウェアスイッチ間でポリシーを設定します。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/8D77D63A-739D-401F-A07F-33B67416F811-1024x798.png)
192.168.1.1 → 192.168.3.1 へ pingを実行しますが、疎通できません。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/41195CD5-A268-4A90-B104-1AC00D34F0DE.png)
今回、Fortigateに付与されているIPアドレスは、ハードウェアスイッチではなく、VLANインタフェースのため、ポリシーもVLANインタフェース間で設定する必要があります。
VLANインタフェース間ポリシーの設定
入力インタフェースをVLAN100 出力インタフェースをVLAN300に変更します。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/35CE93D4-C8FE-40AE-B431-8BCCCD0E4381.png)
再度、192.168.1.1 → 192.168.3.1 へ pingを実行すると、疎通ができるようになりました。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/0BFCC774-4714-4064-A530-1E2FED9DA273.png)
同一ハードウェアスイッチ内の通信確認
192.168.1.2/24の端末を接続し、同一ハードウェアスイッチ内である192.168.1.1 → 192.168.2.1 へ pingを実行しますが、疎通できません。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/479E5790-DB53-4E3C-A89A-B13FAD18EF6B.png)
同一ハードウェアスイッチ内でもVLANが異なれば、疎通できません。VLAN間のポリシーが必要になります。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/9B505A2D-78D5-4AE3-8989-3F76744075CF.png)
![](https://hirotanoblog.com/wp-content/uploads/2021/04/AB8C60EB-0E28-457F-9F9B-5B406B46ADD3.png)
VLAN間のポリシーを設定後、疎通できるようになりました。
![](https://hirotanoblog.com/wp-content/uploads/2021/04/543E68B0-3FA6-491B-9FD5-730ED3C08F52.png)
コメント
初めまして 安福と申します。
大変勉強になります。
貴重な経験を拝見させていただき
ありがとうございます。