FortiGateが直接接続していないネットワーク宛の通信を転送するには、スタティックルートで「この宛先はこのゲートウェイへ渡す」という経路を明示的に設定します。LANやWANの先に別のルーターがあり、その配下に別セグメントが存在する構成では、スタティックルートがないとFortiGateは宛先への転送ができません。
この記事では、FortiGate 60F / FortiOS 7.4系の画面を前提に、スタティックルートの作成、ルーティングテーブルでの反映確認、切り戻しまでを実機で確認した内容で整理します。古いFortiGate 60D時代の手順を、現行の画面に合わせて更新したものです。
初期設定やインターフェースの設定がまだの場合は、先に以下の記事を確認してください。
【FortiGate】初期設定の手順｜管理画面へのログインからWAN・LAN設定まで
- 対象機種：FortiGate 60F（FortiOS v7.4.9で実機確認）
- 管理画面へログインできること
- 作業前にコンフィグをバックアップしておくこと（バックアップと復元手順）
今回の設定例
wan1側の隣接ルーター（192.168.10.1）の先にあるネットワーク 192.168.20.0/24 への経路を追加する例で説明します。
| 宛先ネットワーク | 192.168.20.0/24 |
| ゲートウェイアドレス | 192.168.10.1 |
| インターフェース | wan1 |
| アドミニストレーティブ・ディスタンス | 10（デフォルト） |
| プライオリティ | 1（デフォルト） |
なお、インターネット向けのデフォルトルート（0.0.0.0/0）は、WAN側をDHCPやPPPoEで設定した場合は自動で作成されます。固定IP回線などで手動設定する場合も、宛先を 0.0.0.0/0.0.0.0 にする以外は同じ手順です。
スタティックルートを作成する
- 管理画面で ネットワーク > スタティックルート を開きます。
- 「新規作成」を選択します。
- 宛先・ゲートウェイアドレス・インターフェースを入力し、「OK」を選択します。
各項目の考え方
| 宛先 | サブネット指定のほか、名前付きアドレスやインターネットサービスも選択できます。 |
| ゲートウェイアドレス | 宛先へ渡す隣接機器のIPアドレス。FortiGate自身が同一セグメントで到達できるIPを指定します。 |
| ディスタンス | 経路選択の優先度で、小さいほど優先されます。スタティックルートのデフォルトは10です。 |
| プライオリティ | 同じ宛先・同じディスタンスのスタティックルートが複数ある場合の優先度で、小さいほど優先されます。 |
ディスタンスもプライオリティも同じルートが複数あると、ECMPとして負荷分散の動作になります。意図せず複数経路に分散させないよう、既存ルートとの重複には注意してください。
設定後の確認
設定しただけで終わらせず、ルーティングテーブルに反映されているかを必ず確認します。GUIでは ダッシュボード > ネットワーク のルーティングウィジェットを展開すると確認できます。
CLIで確認する場合は get router info routing-table all を実行します。S で始まる行がスタティックルートです。
FortiGate-60F # get router info routing-table all
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
O - OSPF, IA - OSPF inter area
（省略）
Routing table for VRF=0
S* 0.0.0.0/0 [5/0] via 192.168.10.1, wan1, [1/0]
C 192.168.10.0/24 is directly connected, wan1
S 192.168.20.0/24 [10/0] via 192.168.10.1, wan1, [1/0]
あわせて execute ping でゲートウェイへの疎通を確認しておくと、経路追加後のトラブル切り分けが楽になります。なお、経路があってもファイアウォールポリシーで許可されていない通信は通らないため、実際の通信確認はポリシー設定とセットで行ってください。
切り戻し方法
追加したルートを取り消す場合は、一覧で該当ルートを選択して「削除」を実行します。設定を残したまま経路だけ止めたい場合は、編集画面でステータスを「無効化済み」に変更する方法もあります。
作業前のバックアップから戻す手順は、【FortiGate】設定バックアップと復元手順を参照してください。
作成時の注意点
- 戻り経路も必要：対向ルーター側にもFortiGate配下のセグメントへの経路が必要です。片方向だけ設定しても通信は成立しません。
- 既存経路との重複確認：同じ宛先のルートが既にないか、設定前にルーティングテーブルを確認してください。
- 誤設定はブラックホール化する：誤ったゲートウェイを指定すると、その宛先への通信が全て失われます。業務環境では作業時間帯の調整とバックアップ取得を先に行ってください。
- ルートとポリシーは別物：経路が正しくてもファイアウォールポリシーの許可がなければ通信しません。
コメント