FortiGateで通信できない原因を調べるときは、ファイアウォールポリシーに一致しているか、ログに通信が出ているかを確認します。ポリシーを作成しただけでは、実際にその通信が通っているかまでは分かりません。
この記事では、FortiGate 60F / FortiOS 7.4系の管理画面で、ポリシー一覧とログ画面を使って通信確認を行う手順をまとめます。Syslogサーバへ転送する設定や、CLIでパケットキャプチャを取る手順ではなく、FortiGate本体の画面で確認する内容です。
関連する作業は以下の記事でまとめています。
確認するポイント
通信確認では、以下を順番に見ます。
- 対象ポリシーが有効になっているか
- 送信元、宛先、サービスが想定どおりか
- ログが有効になっているか
- ポリシー一覧で通信量やヒット状況を確認する
- ログ & レポートで通信ログを確認する
通信できないときにログが出ていない場合、そもそもFortiGateまで通信が届いていない、別のポリシーに一致している、ログ取得対象になっていない、ルートや戻り通信に問題がある、などを切り分けます。
ポリシー一覧で確認する
- 左メニューから ポリシー & オブジェクト を開きます。
- ファイアウォールポリシー を選択します。
- 対象のインターフェースペアを展開します。
- 対象ポリシーの送信元、宛先、サービス、アクション、ログを確認します。
画面右側に ログ や バイト の列があります。ログ列ではログ取得の有効・無効、バイト列では通信量の有無を確認できます。横幅が足りない場合は、横スクロールや列表示を調整して確認します。ログ列が無効になっていると、通信が通っていてもログ画面で確認できない場合があります。
ログを確認する
- 左メニューから ログ & レポート を開きます。
- 転送トラフィック を選択します。
- 検索欄や詳細表示を使って、送信元、宛先、ポリシーID、結果を確認します。
検証環境では、対象通信が発生していない場合やログ設定が合っていない場合、画面のように エントリがありません と表示されます。この場合は、通信テストを実行したうえで、ポリシー側のログ設定とログ保存先を確認します。
ローカルトラフィックログを確認する
FortiGate自身が送受信する通信は、転送トラフィックではなく ローカルトラフィック 側で確認します。管理アクセス、FortiGate自身からのDNS、NTP、疎通確認などは、通常の端末間通信とは見え方が異なります。
端末からサーバーへ通信しているのにローカルトラフィックだけを見ていると、目的のログが見つかりません。端末間通信は 転送トラフィック、FortiGate自身の通信は ローカルトラフィック と分けて確認します。
ログが出ないときに確認すること
- 対象ポリシーでログが有効になっているか
- 通信が対象ポリシーに一致しているか
- 送信元、宛先、サービスが想定と違っていないか
- ポリシーの順番が適切か
- FortiGateまで通信が届いているか
- 戻り通信のルートがあるか
- ログ保存先がメモリ、ディスク、FortiAnalyzer、FortiCloudのどれになっているか
ログが出ない場合でも、FortiGateが原因とは限りません。端末側のデフォルトゲートウェイ、サーバー側ファイアウォール、戻り経路、DNS解決も合わせて確認します。
ポリシーIDで追いかける
ログに ポリシーID が表示されている場合は、そのIDがどのファイアウォールポリシーに対応しているかを確認します。意図したポリシーIDにヒットしていれば、ポリシーの方向性は合っています。別のポリシーIDにヒットしている場合は、上位のポリシーに先に一致している可能性があります。
FortiGateのポリシーは上から順番に評価されます。広い許可ポリシーや拒否ポリシーが上にあると、下に作成した細かいポリシーまで到達しないことがあります。
確認の流れ
- 対象端末から通信テストを行います。
- ポリシー一覧で対象ポリシーを確認します。
- 転送トラフィックログを確認します。
- ログに出ない場合は、ログ設定とポリシー順序を確認します。
- それでも分からない場合は、パケットキャプチャでFortiGateに通信が届いているか確認します。
ログ確認は、通信トラブルの切り分けで最初に見るポイントです。ログでポリシーID、送信元、宛先、結果を確認し、それでも判断できない場合にパケットキャプチャへ進むと、原因を絞り込みやすくなります。
コメント