FortiGateのGARPについて

FortiGateのGARP（Gratuitous ARP）について詳しく説明します。

GARPとは何か

基本概念

GARP（Gratuitous ARP）は、自分自身のIPアドレスに対するARPリクエストまたはリプライをネットワークにブロードキャストする仕組みです。

通常のARPは「あるIPアドレスに対応するMACアドレスを知りたい」ときに使いますが、GARPは「このIPはこのMACだよ」と周囲に知らせるために用いられます。

用途

• ARPキャッシュの更新
• IPアドレスの重複検出（DAD：Duplicate Address Detection）
• フェイルオーバー後のMACテーブル更新（VRRP, HA等）

FortiGateにおけるGARPの用途とシナリオ

FortiGateファイアウォールでは、GARPが以下のような文脈で使われます。

HA（High Availability）環境でのフェイルオーバー時

FortiGateのHA（アクティブ/パッシブ）構成では、プライマリデバイスからセカンダリにフェイルオーバーした際、仮想IP（またはフローティングIP）のMACアドレスが変わることがあります。

問題

スイッチやルーターなどのネットワーク機器が古いMACアドレスをARPキャッシュに保持していると、パケットが新しいアクティブノードに届かない可能性があります。

解決

FortiGateはフェイルオーバー後にGARPを送信して、周囲の機器に「このIPは今はこのMACですよ」と通知し、ネットワークを即座に収束させます。

インターフェースの有効化時

インターフェースが起動すると、FortiGateは自身のインターフェースIPアドレスに対するGARPをブロードキャストします。

これにより、近隣の機器のARPテーブルに自身を登録させることができます。

IPアドレスの重複検出（DAD）

FortiGateは自身のインターフェースに設定されたIPアドレスが他の機器で既に使用されていないか確認するために、GARP（ARPリクエスト）を送信し応答があるかどうかを監視することがあります。

FortiGateのGARPの挙動と設定

自動的に送信されるタイミング

• インターフェース有効化時
• HAフェイルオーバー後
• DHCPサーバとして機能しているとき（アドレス割当時）
• IPアドレスの設定変更後

明示的に制御できるか？

GARPの送信自体はFortiOS内部で自動的に管理されており、CLIで「GARPを有効／無効にする」といった直接的な制御は基本的に提供されていません。

ただし、HAやVRRPの設定の一部としてGARP送信タイミングや通知方法に影響を与えるパラメータを設定することができます。

GARPが正常に動作しているかの確認方法

パケットキャプチャでの確認

FortiGateのCLIで以下のように入力することで、ARPパケット（GARP含む）をキャプチャできます。

diagnose sniffer packet any "arp" 4

GARPは送信元IPとターゲットIPが同じになっている点が特徴です。

ARP, Request who-has 192.168.1.1 tell 192.168.1.1

または、

ARP, Reply 192.168.1.1 is-at 00:09:0f:aa:bb:cc

FortiGateとスイッチの相互作用における注意点

• ネットワークスイッチがMACアドレスをすぐに更新しない場合、GARPが複数回送信されることで正常化を図ることがあります。
• FortiGate側がGARPを送信しても、L2スイッチやL3ルーターが古い情報をキャッシュしていると通信がうまくいかないことがあります。対処としては、GARP送信間隔の調整（HA関連）やスイッチのARPキャッシュタイマーの短縮が推奨されます。

実運用におけるGARPトラブル事例と対策

補足：GARPとVRRPの違い

FortiGateがVRRPを使う場合にもGARPは重要です。

マスターが切り替わった後に新しいマスターがGARPを送信することで、L2/L3デバイスに通知します。

これは、フェイルオーバー時のダウンタイム短縮に非常に重要です。

まとめ

以上、FortiGateのGARPについてでした。

最後までお読みいただき、ありがとうございました。