FortiGate 60Fを初めて設定するときは、まず管理PCをFortiGateのLAN側ポートへ接続し、DHCPで管理用IPアドレスを取得できる状態にします。管理画面へ入れること、WAN・LANの役割、管理アクセスの公開範囲を確認してから、インターネット接続やポリシー設定へ進むのが安全です。
この記事では、FortiGate 60F / FortiOS 7.4系の画面を前提に、初期ログイン、LAN側DHCP、WAN設定、LAN設定、Firewall Policy、設定後の確認までを整理します。古いFortiGate 60DやFortiOS 5.x/6.x系とは画面や初期動作が異なるため、古い記事の手順をそのまま流用しないでください。
FortiGate設定ガイド｜初期設定・ポリシー・VPN・障害対応
作業前に確認すること
- 対象機種、FortiOSバージョン、契約回線の接続方式（DHCP／固定IP／PPPoE／IPoE）を確認する
- 既存環境へ接続する前に、FortiGate単体で管理画面へ入れることを確認する
- 作業用PCはFortiGateのLAN側ポートへ接続し、最初はDHCPでIPアドレスを取得する
- 検証目的でWAN側の管理アクセスを有効にした場合は、作業後に必ず閉じる
- シリアル番号、WANの実IP、FortiCloudアカウント、ライセンス情報はスクリーンショットに残さない
1. FortiGateのLAN側へ接続する
初期設定では、PCをFortiGate 60FのLAN側ポート（internal側）へ接続します。PC側のIPv4設定は、まずDHCP取得のままにします。FortiGate側でDHCPサーバーが動作していれば、PCには同一セグメントのIPアドレスが払い出されます。
今回の実機確認では、FortiGateのLAN側管理IPは 192.168.1.99/24、PC側はDHCPで 192.168.1.110 を取得しました。環境によって払い出されるアドレスは変わりますが、PCが 192.168.1.0/24 のアドレスを取得できていれば、ブラウザから https://192.168.1.99 へ接続できます。
DHCPでアドレスを取得できない場合だけ、PCに 192.168.1.2/24 などを一時設定して 192.168.1.99 へ接続します。最初から手動IP固定を前提にすると、FortiGate側のDHCP動作確認を見落とすため、通常はDHCP取得を先に確認します。
2. 管理画面へログインする
ブラウザで https://192.168.1.99 を開きます。自己署名証明書の警告が表示される場合がありますが、初期設定時のローカル管理画面であることを確認したうえで進みます。
FortiGate 60Fの初期ログインでは、ユーザー名は admin、初期パスワードは空欄です。過去機種や古い手順で見かける admin/admin と混同しないでください。初回ログイン後は、推測されにくい長い管理者パスワードへ必ず変更します。
3. ダッシュボードで機種とFortiOSを確認する
ログイン後、ダッシュボードのシステム情報で機種名、FortiOSバージョン、動作モードを確認します。今回の実機では FortiGate-60F、FortiOS v7.4.9、NATモードであることを確認しました。
ここで表示されるシリアル番号、WAN IP、ライセンス関連の情報は、ブログや社外資料へそのまま載せないでください。スクリーンショットを使う場合は、必ず伏せ加工を行います。
4. インターフェース構成を確認する
ネットワーク > インターフェース を開き、LAN側とWAN側の状態を確認します。FortiGate 60Fでは、internal側がVLANスイッチとして表示され、internal1〜internal5などのLANポートがメンバーとして見えます。
初期状態では、internal側に 192.168.1.99/24 が設定され、DHCPサーバーの払い出し範囲も確認できます。作業用PCがこのDHCP範囲からアドレスを取得できているかを確認しておくと、後続のLAN設定変更時に切り分けがしやすくなります。
5. 管理アクセスを必要最小限にする
インターフェースの 管理者アクセス では、HTTPS、HTTP、PING、SSHなどを許可できます。初期設定作業ではLAN側のHTTPSとPINGが使えれば十分です。SSHを使う場合も、LAN側または管理用セグメントに限定します。
WAN側でHTTPSやSSHを有効にすると、上流ネットワークからFortiGate管理画面へ到達できる状態になります。検証のため一時的に有効化することはありますが、作業後は無効化するか、Trusted Hostsなどで送信元IPを限定してください。HTTPは平文通信になるため、原則として有効にしません。
6. WANインターフェースを設定する
ネットワーク > インターフェース でWANポートを開き、契約回線の方式に合わせて設定します。DHCP回線ならアドレッシングモードをDHCP、固定IPならIPアドレス・サブネットマスク・デフォルトゲートウェイ・DNS、PPPoEなら接続IDとパスワードを設定します。
WANポートにIPアドレスが付与されたら、デフォルトゲートウェイへの疎通、DNS解決、FortiGuard関連の到達性を確認します。ここで疎通できない場合は、Firewall Policyを増やす前に、WAN側のアドレス取得・ルート・DNSを先に確認します。
7. LANインターフェースとDHCPを設計する
本番環境へ入れる前に、LAN側のIPアドレスを既存ネットワークと重複しない値へ変更するか検討します。例として社内LANで 192.168.10.0/24 を使う場合、既存ルーター、VPN拠点、無線AP、NASなどと重複していないかを先に確認します。
FortiGateをDHCPサーバーとして使う場合は、払い出し範囲、デフォルトゲートウェイ、DNS、リース時間を設定します。既存DHCPサーバーがある環境では、FortiGate側のDHCPを有効にすると二重配布になるため、どちらをDHCPサーバーにするかを先に決めます。
8. Firewall PolicyとNATを作成する
LANからWANへ通信させるには、IPv4 Policyを作成します。Incoming InterfaceをLAN、Outgoing InterfaceをWAN、SourceをLANセグメント、Destinationを必要な宛先、Serviceを必要な通信に設定します。一般的なインターネット接続ではNATを有効にします。
検証時だけ all/all を許可する設定は便利ですが、本番前には用途別に分割してください。FortiGateはポリシーを上から順番に評価するため、意図しない広い許可が上位に残っていないかも確認します。
9. 疎通とログを確認する
クライアントがDHCPで正しいIPアドレス、デフォルトゲートウェイ、DNSを取得できるか確認します。続いて、名前解決、Web閲覧、外部IPへの疎通、必要な業務アプリの通信を確認します。
通信できない場合は、FortiView、Forward Trafficログ、PolicyのHit Countを確認します。いきなりポリシーを増やすのではなく、どのインターフェースで止まっているか、NAT前後でアドレスがどう見えているかを切り分けます。
初期設定後に必ず行うこと
- 管理者パスワードを変更する
- 共有adminを常用せず、必要に応じて個人別管理者アカウントを作成する
- WAN側のHTTPS、HTTP、SSH管理アクセスを閉じる
- FortiOSをサポート対象の安定バージョンへ更新する
- FortiGuardライセンス、NTP、DNSを確認する
- 設定変更前後でコンフィグをバックアップし、保管先のアクセス権を限定する
- リモート保守はWAN管理画面直開けではなく、VPNとMFAを前提に設計する
FortiGateの初期設定は「インターネットにつながった」で終わりではありません。管理面を閉じ、ログを確認できる状態にし、復旧用コンフィグを残して初めて運用開始できます。
コメント