FortiGateのファイアウォールポリシーは、作成して終わりではありません。運用していくと「通信を一時的に止めたい」「ポリシーの評価順を入れ替えたい」「不要になったポリシーを消したい」といった管理作業が必ず発生します。この記事では、FortiGate 60F / FortiOS 7.4系の画面を前提に、ポリシーの評価順の考え方と、編集・並び替え・有効／無効化・削除といった管理操作を実機で確認した内容で整理します。
ポリシーの新規作成そのものの手順は、以下の記事にまとめています。あわせて参照してください。
【FortiGate】ファイアウォールポリシー作成手順｜60Fで通信を許可する設定
ポリシーは上から順に評価される
FortiGateのファイアウォールポリシーは、リストの上から順番に評価され、最初に一致したポリシーのアクション（許可／拒否）が適用されます。一致した時点で評価は終了し、それより下のポリシーは見られません。
そのため、許可したいポリシーより上に、その通信にマッチする拒否ポリシー（あるいは広すぎる許可ポリシー）がないかを必ず確認します。意図した通りに通信が通らない・止まらないときは、まず評価順を疑うのが定石です。
また、どのポリシーにも一致しなかった通信は、リスト末尾にある暗黙のdeny（implicit deny）で拒否されます。この暗黙ポリシーは通常は表示されますが、明示的な拒否を書かなくても「許可されていない通信は落ちる」という前提で設計します。
ポリシーを編集する
既存ポリシーの内容を変更するには、対象のポリシーをダブルクリックするか、右クリックメニューから「編集」を選びます。編集画面のレイアウトは新規作成時と同じで、インターフェース・送信元・宛先・サービス・アクション・NAT・セキュリティプロファイルなどを変更できます。
右クリックメニューからは、編集のほかにコピー／ペースト、GUIを介さずコマンドで直接直せる「CLIで編集」、後述の有効／無効化や削除など、ポリシーに対する操作をまとめて選べます。
ポリシーを並び替える（評価順の変更）
評価順を変えたいときは、ポリシー一覧で対象の行をドラッグし、移動先へドロップします。前述のとおり評価は上から行われるため、「より限定的な許可・拒否を上に、広い許可を下に」という順序を意識して並べます。
GUIのドラッグ操作がやりにくい場合は、CLIの move コマンドでも順序を変更できます。たとえばポリシーID 5 をID 3 の前に移動するなら、config firewall policy に入って move 5 before 3 を実行します。本番環境で評価順を変えると通信影響が出るため、変更前後でルーティングと同様にポリシーのヒットカウントを確認すると安全です。
ポリシーを有効化／無効化する
ポリシーを削除せずに一時的に止めたいときは、無効化を使います。右クリックメニューの「設定ステータス」から「無効化済み」を選ぶと、そのポリシーは評価対象から外れます。設定内容は残るため、あとで「有効化済み」に戻せば元どおり使えます。
切り分け作業で「このポリシーが原因かどうか」を確認したいときは、削除ではなく無効化で試すのが安全です。無効化されたポリシーは、一覧上でグレー表示になり、有効なポリシーと区別できます。
ポリシーを削除する
不要になったポリシーは、右クリックメニューの「ポリシー削除」、または対象を選択して上部の「削除」ボタンから削除できます。削除時は確認ダイアログが表示され、OKで確定すると即時に反映されます。
削除は無効化と違って設定が残りません。誤って必要なポリシーを消すと通信断につながるため、業務環境では削除前にコンフィグをバックアップしておくことを推奨します。手順は【FortiGate】設定バックアップと復元手順を参照してください。
管理作業時の注意点
- 評価順を最優先で確認：通信が通らない／止まらないトラブルの多くは、ポリシーの並び順が原因です。まずヒットカウントで、どのポリシーに当たっているかを確認します。
- 止めるだけなら無効化：原因切り分けや一時停止は、削除ではなく無効化で行えば設定が残り、すぐ戻せます。
- 削除前にバックアップ：削除は元に戻せません。本番環境では作業前にコンフィグを保存します。
- ルートとポリシーは別物です。経路（スタティックルート）が正しくても、ポリシーで許可されていなければ通信しません。あわせてスタティックルート設定手順も確認してください。
コメント