FortiGate ゾーンを使用したファイアウォールポリシー設定ガイド

2024-03-302024-04-21

本記事について

本記事では、Fortinet 社のファイアウォール製品である FortiGate における、「ゾーン」を使用したファイアウォールポリシーの設定方法について説明します。

動作確認環境

本記事の内容は以下の機器にて動作確認を行った結果に基づいて作成されています。

FortiGate-60F
- バージョン 7.4.3

想定するシナリオ

以下の図のように、FortiGate の internal1 の先にネットワークセグメント①が、internal2 の先にネットワークセグメント②が存在し、それぞれのセグメントから FortiGate の wan1 の先にある外部ネットワークに対して通信を行います。

このとき、セグメント①とセグメント②それぞれの外部ネットワークへの通信要件は全く同じだとします。

FortiGate でどのようなファイアウォールポリシーを設定する必要があるかを考えます。

単純に考えると、以下の2種類のポリシーが必要となります。

セグメント①から外部ネットワークへの通信を許可するポリシー（着信インターフェースが internal1）
セグメント②から外部ネットワークへの通信を許可するポリシー（着信インターフェースが internal2）

しかしこのような設計にした場合、通信要件の変更がある度に上記①②の2種類のポリシーを設定する必要があり、管理工数が大きくなります。

「ゾーン」を使用してインターフェースをグループ化する

ここで FortiGate の「ゾーン」機能を使用することを考えます。

ゾーンは複数のインターフェースをまとめてグループ化する機能です。

ファイアウォールポリシー設定の「着信インターフェース」にてゾーンを指定できるため、複数のインターフェースに対するポリシー設定を一つのポリシー設定のみで実現することができます。

ここでは internal1 と internal2 をゾーンでグループ化することとします。

ゾーンを使用する場合の注意点

ゾーンを使用する場合以下の点に注意してください。

インターフェースをゾーンに所属させると、ファイアウォールポリシー設定やアドレスオブジェクト設定等のインターフェース指定項目にてそのインターフェースを指定できなくなります。インターフェースの代わりにゾーンを指定することになります
同じゾーンに所属するインターフェース間の通信の制御方法について考慮する必要があります
- 後述する「ゾーン内トラフィックをブロック」設定をどうするか、など
インターフェース間で通信要件の共通点が少ない場合はゾーンを設定しない方が良いということもあり得ます

ゾーンの作成方法

GUI でゾーンを作成する方法

STEP

インタフェース画面の表示

GUI にログインし左側のメニューから「ネットワーク > インタフェース」をクリックします。

STEP

ゾーン新規作成画面の表示

インターフェース画面にて左上の「新規作成 > ゾーン」をクリックします。

STEP

ゾーンの設定

ゾーン設定画面で各項目を設定します。

「名前」には任意のゾーン名を入力します
「ゾーン内トラフィックをブロック」を有効にするとゾーン内のインターフェース間での通信が原則ブロックされ、必要な場合はファイアウォールポリシーを設定することになります。無効にするとゾーン内のインターフェース間での通信がファイアウォールポリシー無しで許可されます
「インターフェースメンバー」ではゾーンに所属させるインターフェースを指定します
必要な場合は「コメント」を入力します

以上の設定ができたら「OK」をクリックして設定を確定します。

STEP

設定の確認

インターフェース画面にて「ゾーン」項目が表示され、設定したゾーンが追加されていることを確認します。

以上でゾーンの作成は完了です。

CLI でゾーンを作成する方法

CLI でゾーンの設定をする場合はconfig system zoneにて行います。

ゾーンのコンフィグは以下のようにedit項目で表され、一つのedit項目が一つのゾーンに対応します。

config system zone
    edit "internal"
        set description ''
        set intrazone deny
        set interface "internal1" "internal2"
    next
end

設定項目については以下の通りです。

GUI 設定項目	CLI 設定項目	デフォルト値 (CLI)
名前	edit の ID 値	ー
ゾーン内トラフィックをブロック	intrazone	deny
インターフェースメンバー	interface
コメント	description	ー

注意点として、GUI での「ゾーン内トラフィックをブロック」は CLI での「intrazone」に対応しますが、以下のように意味合いが逆になっています。

GUI ではゾーン内トラフィックを「ブロックするかどうか」
CLI ではゾーン内トラフィックを「許可するかどうか」

GUI での設定	CLI での設定
ゾーン内トラフィックをブロックが有効	set intrazone deny
ゾーン内トラフィックをブロックが無効	set intrazone allow

GUI での設定値と CLI での設定値の対応

インターフェースメンバーについては、値として複数のインターフェースを半角スペース区切りで指定します。

config system zone
    edit "internal"
        set interface "internal1" "internal2"
    next
end

ゾーンを使用したファイアウォールポリシー設定例

以下の想定構成について、ネットワークセグメント①②から外部ネットワークへの通信を許可するポリシーを設定します。

アドレスオブジェクトの作成

まずファイアウォールポリシー設定で使用するアドレスオブジェクトを作成します。

ポイントは以下のようにインターフェースとして作成したゾーンを指定することです。

補足

「インターフェース」の選択肢にゾーンに所属しているインターフェースは表示されません。ゾーンに所属しているインターフェースは「インターフェース」項目で設定できないことがわかります。

ネットワークセグメント②のアドレスオブジェクトも同様に作成します。

必要な場合は2つのアドレスオブジェクトをアドレスグループとしてグループ化することもできます。

アドレスオブジェクトの詳しい作成方法についてはこちらの記事を確認してください。

サービスオブジェクトの作成

サービスオブジェクトは通信要件に合わせて必要なサービスを作成してください。

ここではデフォルトで存在する適当なサービスを使用することとします。

サービスオブジェクトの詳しい作成方法についてはこちらの記事を確認してください。

ファイアウォールポリシーの設定

ネットワークセグメント①②から外部ネットワークへの通信を許可するポリシーを設定します。

ポイントは「着信インターフェース」で作成したゾーンを指定することです。また「送信元」ではネットワークセグメント①とネットワークセグメント②の両方のアドレスオブジェクトを指定します。例では2つのアドレスオブジェクトをまとめたアドレスグループで指定しています。宛先・サービスには通信要件に合わせた宛先・サービスを指定してください。