FortiGateのSNMPの設定について

FortiGate（FortiOS）には、ネットワーク監視や管理システム（Zabbix、PRTG、Nagiosなど）から監視情報を取得するための SNMP（Simple Network Management Protocol）機能 が搭載されています。

ここでは、FortiOS公式CLI仕様と実運用でのベストプラクティスに基づいた、正確な設定方法を解説します。

SNMP設定の全体像

FortiGateでSNMPを利用する際は、以下の項目を段階的に設定します。

設定上の重要ポイント（精査済み）

SNMPエージェントの有効化箇所

SNMPを有効化する設定は config system snmp sysinfo 配下で行います。

この中で set status enable を指定し、連絡先・設置場所などの情報を設定します。

config system snmp sysinfo
    set status enable
    set contact-info "admin@example.com"
    set location "Tokyo-DC"
end

インターフェース側でSNMP通信を許可

SNMPは、通信を受け付けるインターフェースで allowaccess snmp が有効になっている必要があります。

忘れるとポーリング要求を受け付けません。

config system interface
    edit "port1"
        set allowaccess ping https ssh snmp
    next
end

v1 / v2c コミュニティ設定

v1/v2cは「コミュニティ（community）」で認証します。

ホスト（監視サーバ）を登録する際は config hosts セクションを使用し、インターフェースとIPを明示します。

config system snmp community
    edit 1
        set name "readonly-v2c"
        set query-v2c-status enable
        set events cpu-high mem-low log-full
        config hosts
            edit 1
                set interface "port1"
                set ip 192.0.2.10 255.255.255.255
                set host-type query
            next
            edit 2
                set interface "port1"
                set ip 192.0.2.20 255.255.255.255
                set host-type trap
            next
        end
    next
end

補足

• host-type query：SNMPポーリング許可
• host-type trap：トラップ送信先
• set events：トラップ対象イベント（例：CPU高負荷、メモリ低下、ログ領域満杯など）

SNMP v3 設定（AuthPriv例）

SNMPv3は強固な認証・暗号化を備えています。

CLI上では config system snmp user ブロックで設定します。

queries enable を忘れずに有効化しましょう。

config system snmp user
    edit "snmpv3user01"
        set status enable
        set security-level auth-priv
        set auth-proto sha256
        set auth-pwd "AuthPass#2025"
        set priv-proto aes256
        set priv-pwd "PrivPass#2025"
        set queries enable
        set query-port 161
        set notify-hosts 192.0.2.20
        set events cpu-high mem-low log-full
    next
end

ポイント

• v3では notify-hosts がトラップ送信先の設定になります。
• ポーリングを許可する送信元IPは、Local-in policy で制御します。

Local-in Policyによるポーリング元制御（v3で推奨）

config firewall local-in-policy
    edit 1
        set intf "port1"
        set srcaddr "NMS-192.0.2.10"
        set dstaddr "all"
        set action accept
        set service "SNMP"
        set schedule "always"
    next
end

これにより、特定のNMS（ネットワーク監視サーバ）IPのみがFortiGateへSNMPアクセス可能となります。

VDOM・高度設定オプション

• VDOM環境
  管理VDOM以外からのSNMPクエリを許可する場合は
  config system snmp sysinfo 内で set non-mgmt-vdom-query enable を設定。
• エンジンID設定（SNMPv3専用）
  v3トラップに必要な場合は set engine-id-type text と set engine-id <string> を指定。
• MIB View（FortiOS 7.2以降）
  SNMPで参照可能なOIDをサブツリー単位で制限可能。
  セキュリティ要件のある環境での情報露出を抑制できます。

動作確認の手順

疎通確認

ping <FortiGate管理IP>

v2cでの確認

snmpwalk -v2c -c readonly-v2c <FortiGate-IP> 1.3.6.1.2.1.1.1.0

v3での確認（AuthPriv）

snmpwalk -v3 -l authPriv -u snmpv3user01 \
-a SHA -A 'AuthPass#2025' -x AES -X 'PrivPass#2025' \
<FortiGate-IP> 1.3.6.1.2.1.1

トラップテスト

トラップ受信サーバ（UDP 162）を起動し、FortiGate側でログ満杯・CPU高負荷イベントを発生させて受信可否を確認。

よくある設定ミスと対策

GUIから設定する場合の手順

1. System → SNMP
   SNMPエージェントを有効化、contact / location を設定。
2. New Community / New User
   v1/v2cまたはv3の設定を追加。
3. Network → Interfaces
   SNMPアクセスを許可するインターフェースで「SNMP」にチェック。
4. Apply / Save
   設定を保存し、有効化。

まとめ

FortiGateでのSNMP設定は、CLIで行うとより確実で柔軟です。

ポイントは以下の3つです。

1. config system snmp sysinfo で有効化すること
2. インターフェースで allowaccess snmp を忘れないこと
3. v3では notify-hosts と Local-in policy の併用が必須

これらを押さえれば、FortiGateを安定して監視システムに統合できます。

以上、FortiGateのSNMPの設定についてでした。

最後までお読みいただき、あありがとうございました。