Fortigateのスプリットトンネルの設定方法について

スプリットトンネルとは？

スプリットトンネル（Split Tunnel）は、リモートアクセスVPNで接続中のクライアント端末が、一部のトラフィックのみをVPNトンネル経由にし、それ以外のトラフィックはローカルネットワークから直接インターネットへ送信する方式です。

この機能を使うことで、次のような利点があります。

• 不要なトラフィックをVPNに通さないことで、帯域の消費を削減
• 一般的なWebアクセスなどはクライアントの回線で処理されるため、パフォーマンスが向上
• セキュリティポリシーに応じた、柔軟な通信制御が可能

SSL VPNの基本設定

GUI 操作手順

1. FortiGateにログイン
2. [VPN] > [SSL-VPN Settings] に移動
3. 以下を設定：
   • Listen on Interface：インターネット側のWANインターフェース（例：wan1）
   • Server Certificate：有効なSSL証明書を選択
   • Authentication/Portal Mapping：後述するユーザーグループとポータルを紐づけ

補足
FortiGateでは、SSL VPN接続に使われる仮想インターフェース名は ssl.root となります。

スプリットトンネル対応ポータルの作成

GUI 操作手順

1. [VPN] > [SSL-VPN Portals] に移動
2. 新規ポータル（例：split-access）を作成するか、既存ポータルを編集
3. 以下の設定を行う：
   • Tunnel Mode：有効にする
   • Split Tunneling：有効にする
   • Routing Address：VPNトンネル経由で通す必要があるネットワークを指定（※事前に作成した「アドレスオブジェクト」を使用）

Routing Address（トンネル対象ネットワーク）の作成

[GUI 操作手順]

1. [Policy & Objects] > [Addresses] を開く
2. 「Create New」から以下のように設定
   • Name：internal_net（任意）
   • Type：Subnet
   • Subnet：例）192.168.10.0/24
   • Interface：任意（特定しない場合は「Any」でも可）

ユーザーグループの作成とポータル割り当て

GUI 操作手順

1. [User & Authentication] > [User Groups] に移動
2. 新しいグループを作成し、対象ユーザー（またはRADIUS/LDAPグループ）を追加
3. SSL VPN Settings画面に戻り、Authentication/Portal Mapping にて、このユーザーグループに「split-access」ポータルを紐付け

Firewallポリシーの作成（VPNユーザー→社内アクセス）

GUI 操作手順

1. [Policy & Objects] > [IPv4 Policy] に移動
2. 新規ポリシーを作成
   • Incoming Interface：ssl.root
   • Outgoing Interface：社内ネットワークのインターフェース（例：lan）
   • Source：VPNユーザーグループ
   • Destination：internal_net（先ほど作成したアドレス）
   • Service：ALL（必要に応じて制限）
   • Action：ACCEPT
   • NAT：必要に応じて有効化

クライアント（FortiClient）での動作確認

1. FortiClientからVPN接続を実施
2. 接続後、route print（Windows）でルーティングテーブルを確認
   • 192.168.10.0/24 のようなトンネル対象が含まれていること
3. 以下のように通信が分岐していれば成功
   • 社内システム（例：ファイルサーバ、社内Web）はVPN経由で接続可
   • 外部サイト（例：YouTube、Google）はクライアントのローカル回線経由でアクセス

補足：CLIでの設定（上級者向け）

config vpn ssl web portal
edit "split-access"
set tunnel-mode enable
set split-tunneling enable
set split-tunneling-routing-address "internal_net"
next
end

config firewall address
edit "internal_net"
set subnet 192.168.10.0 255.255.255.0
next
end

セキュリティ上の注意点

スプリットトンネルは通信の効率化に寄与する一方、ローカル経由で外部ネットワークと通信するため、次のリスクに留意が必要です。

運用ヒント

• VPNトンネル対象のネットワークを追加・変更する場合は、Routing Addressに指定する「Addressオブジェクト」を編集することで対応可能。
• FortiClientから見たルート設定は FortiGate から配信されるため、クライアント側の設定は不要。

まとめ

以上、Fortigateのスプリットトンネルの設定方法についてでした。

最後までお読みいただき、ありがとうございました。