FortiGateで通信を許可するには、ファイアウォールポリシーを作成します。ポリシーでは、どのインターフェースから、どの宛先へ、どのサービスを許可するかを指定します。
この記事では、FortiGate 60F / FortiOS 7.4系の管理画面を使って、アドレスオブジェクトとサービスオブジェクトを指定したファイアウォールポリシーを作成する手順をまとめます。
アドレスオブジェクトやサービスオブジェクトをまだ作成していない場合は、先に以下の記事を確認してください。
今回の設定例
この記事では、以下の内容でポリシーを作成します。実際の環境では、インターフェース名、送信元、宛先、サービスを自分の構成に合わせて置き換えてください。
| 項目 | 設定例 |
|---|---|
| ポリシー名 | ALLOW_HONSHA_TO_ZAIKO_8080 |
| 着信インターフェース | internal |
| 発信インターフェース | wan1 |
| 送信元 | HONSHA_SEG |
| 宛先 | ZAIKO_SV |
| スケジュール | always |
| サービス | TCP_8080 |
| アクション | 許可 |
| NAT | 有効 |
| ログ | すべてのセッション |
スクリーンショットでは検証用としてポリシーを無効化した状態で保存しています。実運用では、内容を確認してから有効化してください。
ファイアウォールポリシーを作成する
- 左メニューから ポリシー & オブジェクト を開きます。
- ファイアウォールポリシー を選択します。
- 新規作成 をクリックします。
- 名前、着信インターフェース、発信インターフェースを指定します。
- 送信元、宛先、スケジュール、サービスを指定します。
- アクションを 許可 にします。
- 必要に応じてNATとログを設定します。
- OK をクリックして保存します。
各項目の考え方
| 項目 | 確認すること |
|---|---|
| 着信インターフェース | 通信がFortiGateへ入ってくる側のインターフェースを選びます。 |
| 発信インターフェース | FortiGateから通信を出す側のインターフェースを選びます。 |
| 送信元 | 通信を開始する端末やネットワークを指定します。 |
| 宛先 | 通信先のサーバーやネットワークを指定します。 |
| サービス | 許可するプロトコルやポート番号を指定します。 |
| NAT | インターネット向け通信では有効にすることが多いです。拠点間VPNや内部セグメント間通信では不要な場合があります。 |
| ログ | 検証中は「すべてのセッション」にすると確認しやすくなります。本番ではログ量も考慮します。 |
ポリシーは上から順番に評価されます。広い許可ポリシーを上に置くと、下の細かいポリシーに到達しない場合があります。新しいポリシーを追加した後は、意図した順番になっているか確認してください。
NATの設定
LAN側からインターネットへ出すポリシーでは、通常はNATを有効にします。送信元アドレスをFortiGateの発信インターフェースアドレスへ変換することで、内部IPアドレスのままインターネットへ出ないようにします。
一方で、拠点間VPNや内部セグメント間の通信では、NATを有効にすると相手側で送信元が分からなくなることがあります。NATを有効にするかどうかは、通信の向きと設計に合わせて判断します。
設定後の確認
- ポリシーが有効になっているか確認します。
- 送信元、宛先、サービスが意図したオブジェクトになっているか確認します。
- ポリシーの順番が適切か確認します。
- 対象端末から通信テストを行います。
- ログを確認し、作成したポリシーにヒットしているか確認します。
通信できない場合は、ポリシーだけでなく、ルーティング、DNS、端末側のデフォルトゲートウェイ、サーバー側のファイアウォールも確認します。FortiGate側でポリシーが正しくても、戻りの経路やサーバー側の待ち受け設定が原因で通信できないことがあります。
切り戻し方法
設定後に問題が出た場合は、まず該当ポリシーを無効化します。削除してしまうと設定内容を確認しにくくなるため、検証中は無効化で切り戻す方が安全です。
- 該当ポリシーを選択します。
- 無効 に変更します。
- 通信状態が元に戻るか確認します。
- 不要になったポリシーは、参照関係を確認してから削除します。
作成時の注意点
allやALLを使うと許可範囲が広くなります。検証後は必要最小限に絞ります。- ポリシー名は、通信の向きと目的が分かる名前にします。
- 一時的に作成した検証用ポリシーは、作業後に無効化または削除します。
- ログを有効にすると確認しやすくなりますが、通信量が多い環境ではログ量に注意します。
ファイアウォールポリシーは、FortiGateの設定の中でも通信に直接影響する部分です。設定値だけでなく、ポリシーの順番、NAT、ログ、切り戻し方法まで含めて確認してから有効化します。
コメント