FortiGate「Virtual Wire Pair」を使ってみる : ささの備忘録

こんばんは。

FortiGateの新しい機能を試してみましたので、ご報告です。

Paloaltoでは一般的に使用している、「Virtual Wire」。L1（ワイヤー）として動作するので、既存環境への影響が低く良いです。

同等の機能が、FortiGateでも実装出来るようになりました（OS5.6以降かな？）
「Virtual Wire Pair」です

今までは、既存環境に影響なく、FortiGateを導入する場合に使用されていたのは「Transparent」モードでした。モードを「NAT」から切り替える事で、L2で動作することが可能でした。

「Virtual Wire Pair」は、「Transparent」のモード設定とは違い、インターフェース設定です。
ですので、port１とPort2で「Virtual Wire Pair」、Port3とwan1で「NAT/Router」なんて構成も可能です

ただし、1ポート対1ポートの構成に限られます
また、スイッチポート構成は出来ません

では、早速試してみたいと思います

Virtual Wire Pairインターフェースの作成

初期状態を想定して、設定してみます
構成イメージは、以下になります

vwp05

構成で、1点注意があります。
「VWP（Virtual Wire Pairの略）」は、L1構成なので、IPアドレスは必要ありませんし、設定も出来ません。これはこれで良いのですが・・

FortiGateはライセンスのアクティベーションや、UTM機能を使用する為（FortiGuardアクセス）、インターネットへのアクセスが必須です。

ですので、インターネットアクセス用のポート（ManagemetやWAN2など）にIPアドレスを設定し、インターネットへアクセス出来るようにする必要があります

また、「VWP」設定を行う前提条件として、
「VWP」設定を行うインターフェースは、ポリシーやルート設定などに参照されてないこと。DHCPサーバー設定されていないこと。
もし参照・設定されていたら、解除しましょう

「internal」インターフェースポートを使用して、「VWP」を設定したいので・・
「internal」に紐づいている、DHCPサーバー設定、ポリシー設定を削除します

1. DHCPサーバーの削除

#config system dhcp server

#delete 1

#end

2. ポリシーの削除

#config firewall policy

#delete 1

#end

続いて、「internal」スイッチポートを解除します

3. スイッチインターフェースの削除

#config system virtual-switch

#delete internal

#end

スイッチポートが解除されました
※以降、キャプチャ画面は100Dの画面です