【FortiGate 60F】ミラーポート（SPAN）設定手順｜Wiresharkで通信を確認

ネットワークで通信トラブルが起きたとき、「実際にどんなパケットが流れているのか」を確認したい場面があります。FortiGateのミラーポート（SPAN）機能を使うと、あるポートを流れるパケットを別のポートへコピーし、そのポートにつないだPCでキャプチャできます。この記事では、FortiGate 60F / FortiOS 7.4系の画面で、内蔵スイッチ（internal1〜5）を使ったポートミラーリングの設定手順と、設定が反映されているかの確認方法を実機で整理します。

古いFortiGate 60D時代の画面とはメニュー構成が変わっているため、この記事は60F / FortiOS 7.4系の実機で確認した内容に更新しています。

FortiGate自身のCLIで取得するパケットキャプチャ（diagnose sniffer packet）とは異なり、SPANでは内蔵スイッチの通信を別ポートへ複製し、接続したPCのWiresharkなどで確認します。

ミラーポート（SPAN）とは

SPAN（Switched Port Analyzer）は、指定したポートを通過するパケットを、別の指定ポートへ複製（ミラー）する機能です。複製先ポートにパケットキャプチャ用のPCを接続すれば、本来の通信に影響を与えずに中身を観察できます。

「ネットワークで障害が出ているが、どこで何が起きているか分からない」というときに、対象ポートをミラーしてWireshark等でキャプチャする、といった切り分けで役立ちます。

今回は、FortiGate 60Fの内蔵スイッチで internal1 を流れるパケットを internal5 へミラーする 設定を例にします。

設定手順

FortiGate 60Fの internal1〜5 は、内蔵スイッチ「internal」のメンバーポートとしてまとまっています。SPANはこのスイッチインターフェースの編集画面から設定します。

1. ネットワーク > インターフェース を開き、「internal」をダブルクリックして編集画面を開きます。
2. 編集画面を下へスクロールし、「SPAN（ポートミラーリング）」 のトグルを有効にします。
3. 送信元ポート にミラー元（例: internal1）、宛先ポート にキャプチャ用PCをつなぐポート（例: internal5）を指定します。
4. 方向 は、送受信の両方をキャプチャするなら「両方」を選びます（送信のみ・受信のみも選択可）。
5. 「OK」を選択して保存します。

宛先ポート（internal5）は、ミラーされたパケットを受け取る専用ポートになります。キャプチャ用PCはこの宛先ポートに接続します。

設定を確認する

GUIで保存したら、CLIでも設定が入っているかを確認しておくと確実です。CLIコンソールで次のコマンドを実行します。

FortiGate-60F # show system virtual-switch
config system virtual-switch
    edit "internal"
        set physical-switch "sw0"
        set span enable
        config port
            ...
        end
        set span-source-port "internal1"
        set span-dest-port "internal5"
    next
end

内蔵スイッチのSPAN設定は config system virtual-switch の配下に保存されます。set span enable、set span-source-port、set span-dest-port が意図した値になっていれば設定は完了です。

方向の初期値は「両方（both）」です。通常の show system virtual-switch では初期値の set span-direction both が省略されるため、表示されなくても異常ではありません。

あとは宛先ポート（internal5）にPCを接続し、Wiresharkなどのキャプチャツールでinternal1を流れるパケットを観察できます。

設定時の注意点

• 宛先ポートは通常の通信に使えなくなります：ミラー先に指定したポートはキャプチャ専用になるため、そのポートにつないだ機器は通常のLAN通信ができなくなります。空いているポートを宛先にしてください。
• 作業後は無効化する：ミラーは切り分けが終わったら無効に戻すのが基本です。有効なままだと、宛先ポートを別用途で使いたいときに混乱します。無効化はGUIのSPANトグルをオフ、またはCLIで set span disable です。
• キャプチャ側のNIC設定：キャプチャ用PCのNICはIPを持たなくても構いません。プロミスキャスモードでミラーされたフレームを受け取ります。
• キャプチャデータの取り扱い：取得したパケットには、社内IPアドレス、ホスト名、認証情報などが含まれる可能性があります。保存先と共有範囲を制限し、不要になったファイルは削除してください。
• 本番環境で使う場合は、ミラーによって宛先ポートの帯域が埋まる可能性があるため、対象ポートのトラフィック量にも注意します。

あまり日常的に使う機能ではありませんが、いざパケットレベルで通信を追いたいときに知っていると役立ちます。関連して、FortiGate自身でパケットを取得する方法（sniffer）や、初期設定・ポリシー管理については以下の記事も参照してください。

• FortiGateのCLIでパケットをキャプチャする方法
• 【FortiGate】初期設定の手順｜管理画面へのログインからWAN・LAN設定まで
• 【FortiGate】ポリシーの管理手順｜60Fで編集・並び替え・有効無効・削除する
• FortiGate設定ガイド｜初期設定・ポリシー・VPN・障害対応