FortiGateのzone設定について

FortiGateにおける「Zone（ゾーン）」の設定は、複雑なネットワーク環境を論理的に整理・簡素化し、セキュリティポリシーの管理を効率化するための強力な機能です。

特に、大規模なネットワークや複数のインターフェースを持つFortiGateを運用する際に、ゾーンを活用することで設定が一貫性を持ち、運用ミスも減らすことが可能になります。

以下では、FortiGateにおけるゾーンの基本から、実際の設定方法、使用上の注意点まで詳しく解説します。

FortiGateのZoneとは？

定義

FortiGateの「Zone」は、複数の物理・仮想インターフェースを1つの論理グループとしてまとめる機能です。

このグループに対してセキュリティポリシーを適用することで、個別のインターフェースごとにポリシーを書く必要がなくなります。

例えで理解

たとえば、「LAN1」「LAN2」「LAN3」という3つのインターフェースが社内ネットワークとして存在するとします。

この3つすべてを同じポリシーでインターネットへ接続させたい場合、各インターフェースに個別にポリシーを書くと冗長になります。

そこで「Internal」というZoneを作り、3つのLANインターフェースをその中に入れてしまえば、「Internal → WAN1」という1本のポリシーで済むのです。

Zoneを使うメリット

FortiGateのZone設定手順（GUI）

Zoneの作成

1. FortiGateのGUIにログイン
2. [Network] → [Interfaces] → [Create New] → [Zone]
3. 以下の項目を入力：
   • Name: ゾーン名（例：Internal）
   • Interface Members: ゾーンに含めるインターフェース（例：lan1, lan2 など）
   • Allow Traffic Between Members: チェックを入れると、ゾーン内のインターフェース間通信を許可（入れないと相互通信不可）
4. [OK]をクリックして保存

ポリシーの設定

1. [Policy & Objects] → [IPv4 Policy]
2. [Create New] をクリック
3. 以下を設定：
   • Incoming Interface: 作成したゾーン（例：Internal）
   • Outgoing Interface: 例えば wan1 など
   • その他、適切なサービス・アクションを設定
4. ポリシーを保存

CLIでのZone作成方法（参考）

config system zone
    edit "Internal"
        set interface "lan1" "lan2" "lan3"
        set intrazone enable
    next
end

• intrazone enable：ゾーン内のインターフェース同士の通信を許可
• intrazone disable：相互通信を禁止

注意点

よくあるユースケース

補足：ゾーン vs インターフェース指定ポリシー

→ 基本はゾーンを使い、特定の要件で個別ポリシーを併用するのが現実的です。

まとめ

FortiGateのZone機能は、ネットワークを論理的に整理し、セキュリティポリシーの管理を効率化するための非常に便利な仕組みです。

正しく活用すれば、運用ミスを減らし、セキュリティレベルも高めることが可能です。

活用のポイント

• 同一ポリシーで扱うインターフェースはなるべくゾーンにまとめる
• ゾーン内通信の許可設定（intrazone）には注意
• ゾーン追加・削除の際はポリシーの依存関係をチェックする

以上、FortiGateのzone設定についてでした。

最後までお読みいただき、ありがとうございました。