FortiGateのコンフィグの見方について

FortiGateのコンフィグ（設定）ファイルの見方を理解することは、ネットワークセキュリティ管理やトラブルシューティングに非常に重要です。

FortiGateはFortinet社の次世代ファイアウォールで、CLI（Command Line Interface）での設定を通じて詳細な制御が可能です。

本記事では、FortiGateのコンフィグの基本構造から、具体的なセクションの読み方、実務的な確認ポイントまで、プロフェッショナル向けに詳しく解説します。

FortiGateのコンフィグファイルの基本

コンフィグファイルの取得方法

FortiGateの設定は、CLIやGUIからエクスポートできます。

以下はCLIでの出力例です。

# show full-configuration

または、設定をバックアップする場合

# execute backup config ftp <filename> <server> <username> <password>

GUIからは、System > Configuration > Backup で取得可能です。

コンフィグファイルの構造

FortiGateの設定は大きく分けて グローバル設定 と 仮想ドメイン（VDOM）ごとの設定 に分かれています。

グローバル設定（config global）

例

config global
    set hostname "FortiGate"
    config system global
        set admintimeout 10
    end
end

これはシステム全体の設定（ホスト名、管理者タイムアウトなど）を行う部分です。

VDOM設定（config vdom）

VDOM（Virtual Domain）機能を使っている場合、個別のVDOMごとに設定ブロックがあります。

config vdom
    edit root
        config system interface
            edit "wan1"
                set ip 192.168.1.1 255.255.255.0
                set allowaccess ping https ssh
            next
        end
    next
end

各設定セクションの見方

以下はよく使われる設定項目のセクション別の読み方です。

config system interface

ネットワークインターフェースの設定。

config system interface
    edit "wan1"
        set ip 192.168.1.1 255.255.255.0
        set allowaccess ping https ssh
        set alias "Internet"
        set device-identification enable
    next
end

• edit "wan1"：インターフェース名
• set ip：IPアドレスとサブネットマスク
• set allowaccess：許可される管理アクセス（ping, https, sshなど）

config firewall policy

ファイアウォールポリシーのルール設定。

config firewall policy
    edit 1
        set name "Allow_HTTP"
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "HTTP"
        set logtraffic all
        set nat enable
    next
end

• set srcintf / dstintf：通信元/先のインターフェース
• set action：許可（accept）、拒否（deny）、SSL検査（ssl-ssh-profile）など
• set nat：NAT有効化（通常インターネットに出る際に必要）

config router static

スタティックルート（静的ルーティング）の設定。

config router static
    edit 1
        set dst 0.0.0.0 0.0.0.0
        set gateway 192.168.1.254
        set device "wan1"
    next
end

• set dst：宛先ネットワーク（0.0.0.0/0はデフォルトルート）
• set gateway：ルーターのアドレス
• set device：出力インターフェース

config firewall address

アドレスオブジェクトの定義。

ポリシーで使用されるIPやネットワークの定義。

config firewall address
    edit "Office_Net"
        set subnet 192.168.10.0 255.255.255.0
        set type ipmask
    next
end

コンフィグ確認で見るべきチェックリスト

実務でよく使うCLIコマンド例

補足：VDOMを使っていない場合

もしVDOMを使っていない環境では、設定はすべてデフォルトのルートVDOM（root）に対して保存されています。

config vdom ブロックが省略されていることもあります。

まとめ

FortiGateのコンフィグファイルを読み解くには、以下の視点を持つことが大切です。

• 全体構造の把握（global設定／vdomごとの設定）
• セクションごとの意味を理解する（interface、policy、routerなど）
• ポリシーの流れと順序の重要性を理解する
• 実機でCLIに慣れることで構造が自然に身につく

構成ファイルの中身をただ見るのではなく、「なぜその設定が存在するか？」「どの通信を許可しているか？」を意識しながら読み進めることが、ネットワークエンジニアとしてのスキルを高める鍵になります。

以上、FortiGateのコンフィグの見方についてでした。

最後までお読みいただき、ありがとうございました。