FortiGateのループ検知について

FortiGate（フォーティゲート）のループ検知は、ネットワークにおけるブロードキャストストームやループ障害を防ぐための重要なセキュリティ・安定性機能です。

FortiGate自体はL3ファイアウォールが中心の製品ですが、L2スイッチング機能やハードウェアスイッチ（インターフェースグループ）を利用している場合、ループ検知が非常に重要になります。

以下に、FortiGateにおけるループ検知の仕組み、設定方法、注意点を詳しく解説します。

FortiGateにおけるループとは？

ネットワークループは、L2レベル（スイッチレイヤー）でフレームが無限に回り続ける現象です。

原因としては以下のようなものがあります。

• スイッチ間でSTP（Spanning Tree Protocol）が正しく動作していない
• 誤ってLANケーブルを同一セグメントの2ポートに接続した
• FortiGate内のhardware switch（ソフトウェアブリッジ）の構成ミス
• VLAN設定の誤り

ループが発生すると

• ブロードキャストトラフィックが増大（ブロードキャストストーム）
• ネットワーク全体が停止することもある
• FortiGateのCPU使用率が上昇し、管理画面すら応答しなくなる

FortiGateのループ検知機能とは？

FortiGateでは、主に以下のケースでループ検知機能が利用されます。

ハードウェアスイッチのループ検知

FortiGateのhardware switch interface（例：lan、internal）は、複数の物理ポートを一つのL2ブリッジとして扱います。

この中でループが発生しないように、FortiGateはブロードキャストの自動抑制機能やループ検出を提供しています。

ループ検知の仕組み（基本的な例）

• FortiGateが自動で送出するプローブフレーム（L2のEthernetフレーム）を、他のポートから受信した場合に「ループあり」と判断
• 一定時間そのポートをブロックし、ログに出力（例：「loop detected on port x」）

設定方法：ループ検知を有効にする

FortiOSのGUIやCLIから設定できます。

GUIから有効にする方法（FortiOS 7.x以降）

1. Network > Interfaces を開く
2. hardware switch interface（例：lan） を選択
3. 「Edit」画面の中に「Loop Guard」や「Broadcast Storm Control」などの項目がある（バージョンによって表記が異なる）
4. 必要な設定をONにして保存

CLIでの設定例

config system interface
    edit "lan"
        set loop-guard enable
        set broadcast-storm-control 50
    next
end

• loop-guard enable: ループ検知の有効化
• broadcast-storm-control: ブロードキャストストームを制限する閾値（0〜100%、0で無効）

注意：インターフェースが「ハードウェアスイッチ」か「物理インターフェース」かによって、設定可能な項目が異なります。

ログの確認方法

ループ検知が発動した場合、FortiGateのログに次のようなメッセージが記録されます。

Interface 'lan' port 3 loop detected. Port temporarily disabled.

これにより、どのポートでループが発生したのかを特定可能です。

FortiGateループ検知の限界と補完策

限界

• FortiGateのループ検知は、L2機能が限定的なため、Cisco CatalystやArubaのような専用スイッチと比較すると高機能ではない
• STP（Spanning Tree Protocol）はサポートしていない（完全なL2スイッチではないため）

補完策

• フルL2スイッチとの併用：FortiGateの外にCiscoやArubaなどのL2スイッチを配置し、STPやBPDUガードを使う
• 管理ネットワークとユーザーネットワークの分離
• ブロードキャストストーム制御の閾値調整でループ対策を強化

FortiGateのループ検知を活用するシナリオ例

まとめ

FortiGateのループ検知は、「ハードウェアスイッチインターフェース」使用時に特に有効なL2ネットワークの自己防衛手段です。

FortiGate単体ではSTPのような高度な機能は持ちませんが、loop-guardやstorm-controlを適切に使うことで、意図しないループからネットワークを守ることが可能です。

以上、FortiGateのループ検知についてでした。

最後までお読みいただき、ありがとうございました。