FortiGateで通信ポリシーを作成するときは、送信元・宛先・サービスをそのままIPアドレスやポート番号で指定するのではなく、先に「オブジェクト」として登録しておくと管理しやすくなります。
この記事では、FortiGate 60Fの管理画面でアドレスオブジェクトとサービスオブジェクトを作成する手順をまとめます。画面構成はFortiOSのバージョンによって多少変わりますが、基本的な考え方は同じです。
初回ログインやLAN/WANの基本設定がまだの場合は、先に以下の記事を確認してください。
オブジェクトを作成する理由
FortiGateのポリシーでは、通信の送信元、宛先、サービスを指定します。小規模な検証なら直接IPアドレスを入力しても動きますが、運用では先にオブジェクト化しておく方が安全です。
- ポリシー画面で設定内容を読み取りやすくなる
- IPアドレスやポート番号を変更するときに修正箇所を減らせる
- 複数のポリシーで同じ宛先やサービスを使い回せる
- 不要な許可設定を見つけやすくなる
特に後から設定を見返す場合、192.168.10.100 とだけ書かれているより、ZAIKO_SV のように用途が分かる名前が付いている方が判断しやすくなります。
今回の設定例
| 項目 | 設定例 |
|---|---|
| アドレスオブジェクト名 | ZAIKO_SV |
| IPアドレス | 192.168.10.100/32 |
| インターフェース | any、または対象のLAN側インターフェース |
| サービスオブジェクト名 | TCP_8080 |
| プロトコル | TCP |
| 宛先ポート | 8080 |
この記事では例として1台の在庫管理サーバーとTCP 8080番ポートを登録します。実際の環境では、サーバー名や用途が分かる名前に置き換えてください。
アドレスオブジェクトを作成する
まず、通信の送信元または宛先として使うIPアドレスを登録します。
- 左メニューから ポリシー & オブジェクト を開きます。
- アドレス を選択します。
- 新規作成 をクリックします。
- 名前、タイプ、IPアドレス、インターフェースを入力します。
- OK をクリックして保存します。
| 項目 | 入力例 | 補足 |
|---|---|---|
| 名前 | ZAIKO_SV | サーバー名や用途が分かる名前にします。 |
| タイプ | サブネット | 単一ホストでもサブネットとして登録できます。 |
| IP/ネットマスク | 192.168.10.100/32 | 1台だけ指定する場合は/32にします。 |
| インターフェース | any または internal | 迷う場合は最初はanyでも動きます。運用では対象インターフェースを絞る方が管理しやすいです。 |
ネットワーク全体を指定する場合は、192.168.10.0/24 のようにサブネットで登録します。サーバー1台だけを宛先にしたい場合は、/32 を使います。
サービスオブジェクトを作成する
次に、許可したいポート番号をサービスオブジェクトとして登録します。HTTPやHTTPSなどの一般的なサービスは最初から用意されていますが、独自ポートを使う場合はカスタムサービスを作成します。
- 左メニューから ポリシー & オブジェクト を開きます。
- サービス を選択します。
- 新規作成 をクリックします。
- 名前、プロトコル、宛先ポートを入力します。
- OK をクリックして保存します。
| 項目 | 入力例 | 補足 |
|---|---|---|
| 名前 | TCP_8080 | プロトコルとポート番号が分かる名前にします。 |
| プロトコルタイプ | TCP/UDP/SCTP | 通常はTCPまたはUDPを選びます。 |
| 宛先ポート | 8080 – 8080 | 単一ポートの場合は開始と終了を同じ値にします。 |
範囲指定をしたい場合は、開始ポートと終了ポートに別々の値を入れます。例えばTCP 8000から8099までを許可する場合は、8000 - 8099 のように指定します。
名前の付け方
オブジェクト名は後から見たときに意味が分かることが重要です。アドレスオブジェクトはIPアドレスそのものより、サーバーの用途や拠点名を名前に入れると管理しやすくなります。
| 用途 | 名前の例 |
|---|---|
| 在庫管理サーバー | ZAIKO_SV |
| 本社セグメント | HONSHA_SEG |
| 大阪セグメント | OSAKA_SEG |
| TCP 8080番 | TCP_8080 |
| UDP 500番 | UDP_500 |
日本語名でも登録できますが、CLIで確認する可能性がある場合や、他の管理者と共有する場合は、英数字とアンダースコアで統一しておく方が扱いやすいです。
設定時の注意点
- 単一ホストは
/32、ネットワーク全体は/24など、範囲を間違えないようにします。 - サービスオブジェクトでは、送信元ポートではなく宛先ポートを指定するのが基本です。
- 既存の標準サービスで足りる場合は、無理にカスタムサービスを作成しない方が管理が簡単です。
- 検証用に作った不要なオブジェクトは、ポリシーで使っていないことを確認してから削除します。
オブジェクトを作成しただけでは通信は許可されません。実際に通信を通すには、次にファイアウォールポリシーで送信元、宛先、サービスを指定します。
次に行う設定
アドレスオブジェクトとサービスオブジェクトを作成したら、次はポリシーを作成します。ポリシーでは、どのインターフェースからどのインターフェースへ、どの通信を許可するかを指定します。
次の記事では、今回作成したオブジェクトを使ってファイアウォールポリシーを作成する手順を整理します。
コメント