FortiGate VPNは、インターネット上の様々なエンドポイント間での安全な通信を可能にします。このドキュメントには、FortiGate VPNとNetskope Client間の円滑な相互運用性を確保するために必要なベストプラクティスが記載されています。
環境
- FortiGateサーバーバージョン：FortiOS v7.2.0-b1157
- FortiGateクライアントバージョン：7.4.7.1928
- Netskope Clientバージョン：138.0.0
Interoperability Configuration Requirements
FortiGate VPNとNetskopeテナントのウェブUIにおける特定の構成により、いずれかのアプリケーションからのプロセスまたはトラフィックがブロックされたり、 Netskopeクラウドに転送されたりしないようにします。 この相互運用性構成は、以下の手順で構成されます。
Address Configuration in FortiGate
VPNトンネルを設定する前に、ネットワークアドレスを設定してください。これらの住所は主に 以下の目的で使用されます。
-
Split Tunnel: 特定のアドレスがVPNを経由できるようにする。
-
Full Tunnel with Exclusion: 特定のアドレスがVPNをバイパスできるようにするため。
詳細については、 「アドレス オブジェクト」を参照してください。
アドレス設定は、以下の3つの設定手順で構成されます。
-
住所を追加
アドレスを設定するには、以下の手順を実行してください。
-
FortiGate ウェブ インターフェイスにログインします。
-
Policy & Objects > Addressesへ移動してください。
-
+ Create NewまたはNewをクリックしてください。
-
要件に基づいて以下を作成してください。
サブネットの設定
サブネットとは、FortiGate使うにおけるデジタルプロファイルで、ネットワーク範囲全体や特定のホストIPアドレスを定義・グループ化し、ファイアウォールのポリシーやルーティングルール内で管理できるようにします。詳しくは Subnetをご覧ください。
サブネットを設定するには、以下の手順を実行してください。
-
Name,には名前を入力してください（例：内部ネットワーク、DMZサブネット）。
-
Color,でChangeをクリックして、視覚的な識別のために色を割り当てます（オプション）。
-
Type,でドロップダウンメニューからSubnetを選択してください。
-
IP/Netmask,にはネットワークアドレスとネットマスクを入力してください。
-
Format: 192.168.1.0/24 or 192.168.1.0 255.255.255.0
-
Example: 10.0.0.0/8, 172.16.0.0/16
-
-
インターフェースSelectか、 Interfaceでany ままにしてください。
-
Toggle to enable Static route configuration (Optional).
-
Comments,にドキュメントのデスクリプションを追加します (オプション)。
-
保存するにはOKをクリックしてください。
FQDNを設定する
FQDN(完全限定ドメイン名)は、FortiGate 使うで特定のドメイン名(例:salesforce.com)を定義するためのデジタルプロファイルです 静的IPアドレスの代わりに、ファイアウォールが動的に変化するウェブサイトのアドレスを追跡し、セキュリティルールを適用できるようにする。詳細については、 FQDNアドレスをご覧ください。
FQDNを設定するには、以下の手順を実行してください。
-
Name,には名前を入力してください（例：Google-DNS、Company-Website）。
-
Type,でドロップダウンメニューからFQDNを選択してください。
-
FQDN,にはドメイン名を入力してください。
Example: www.example.com, *.google.com
-
Interfaceではインターフェースを設定します（通常、外部ドメインの場合はanyに設定されます）。
-
保存するにはOKをクリックしてください。
IPアドレス範囲を設定する
IP範囲はFortiGateのデジタルプロファイルです 連続するIPアドレスの連続ブロック（例：192.168.1.100）を定義します （192.168.1.200宛）標準的なサブネットマスクの境界に準拠しないため、静的サーバーブロックなどの特定のアセットのグループを管理するのに最適です。詳細については、 「IP範囲」をご覧ください。
IPアドレス範囲を設定するには、以下の手順を実行してください。
-
Name,には名前を入力してください（例：DHCP-Pool-Range）。
-
Type,でドロップダウンメニューからIP Rangeを選択してください。
-
Start IP,には開始IPアドレスを入力してください。
-
End IP,には終了IPアドレスを入力してください。
Example: Start: 192.168.1.100, End: 192.168.1.200
-
必要に応じて他のフィールドを設定し、 OKをクリックして保存してください。
ファイアウォールポリシーにアドレスを追加する
この設定では、定義されたネットワーク資産をアクティブなセキュリティパラメータにマッピングすることで、FortiGateファイアウォールがトラフィックを識別、許可、またはブロックできるようになります。この設定はトンネルの種類によって異なります。詳細については、「 Split Tunnel Mode: Enabled based on Trusted Destination 」および「Enabled based on policy Destination」のファイアウォールポリシーをご覧ください。
ポリシールートにアドレスを追加する（ルーティングの上書き）
この設定は、特定のネットワーク、ユーザー、またはプロトコルに対して、指定されたゲートウェイとネットワークインターフェイスを経由するカスタマイズされた経路を強制することで、ファイアウォールの標準的な宛先ベースのルーティングテーブルをバイパスするためのものです。
Note:ポリシーは上から下へと処理されます。より具体的な規則は、一般的な規則よりも上位に位置づけるべきである。ポリシーを並べ替えるにはドラッグ アンド ドロップを使用します。ポリシールート（ルーティングオーバーライド）にアドレスを追加するには、次の手順を実行します。
-
Network > Policy Routesに移動します。
-
+ Create Newをクリックしてください。
-
以下のポリシールートの詳細を設定してください。
-
Incoming Interface: インターフェースSelect （例：ポート1）。
-
Source: フィールドをクリックしてアドレスを選択します (例: Internal-LAN または Web-Server-01)。
-
Destination: フィールドをクリックして宛先アドレスを選択してください(例:Remote-Office-Network = 10.20.0.0/24)、または使うすべてをデフォルトルーティングにします。
-
Protocol: Select protocol (e.g., TCP, UDP, ALL).
-
Destination Port: 必要に応じて指定してください（例：HTTPSの場合は443）。
-
Gateway Address: ゲートウェイのIPアドレスを入力してください（例：192.168.1.1）。
-
Outgoing Interface: 送信インターフェースSelect （例：ポート2）。
-
Comments: Add a description.
-
-
OKをクリックしてください。
Common Routing Override Scenario: Route Guest Network Through Specific ISP
この構成では、すべてのゲストインターネットトラフィックをセカンダリISP回線経由で外部にリダイレクトすることで、プライマリ内部帯域幅を保護し、訪問者のアクティビティを分離します。
-
Source: ゲストネットワーク (192.168.100.0/24)
-
Destination: all
-
Gateway: 203.0.113.1 (ISP2 ゲートウェイ)
-
Outgoing Interface: port3
-
FortiGate VPNの設定
- スプリットトンネル：信頼できる宛先に基づいて有効化– これは除外設定付きのフルトンネルのように動作します。宛先が信頼できる宛先として明示的にリストされていない限り、すべてのトラフィックはVPN経由で送信されます。詳細については、「 SSL VPN 使う Trusted Destinations」のスプリットトンネル機能を有効にすることをご覧ください。
- スプリットトンネル:ポリシー宛先に基づいて有効 – これは標準的なスプリットトンネルです。VPNの保護サブネット設定で定義された特定の内部ネットワーク宛てのトラフィックのみがVPNを経由します。それ以外はすべて使うユーザーのローカルインターネットです。 詳しくは、「 SSL VPN 使う ポリシー destination の分割トンネル機能を有効にする」をご覧ください。
SSL VPNスプリットトンネルモードの作成：信頼できる宛先に基づいて有効化
始める前に、[ネットワーク] > [インターフェース] に移動して、以下を実行してください。
- WAN（外部ポート）と内部ポートにIPアドレスが割り当てられているかどうかを確認してください。
- それ以外の場合は、WANインターフェースと内部インターフェースを編集し、サブネットに基づいてIPアドレスとサブネットマスクを設定してください。
ユーザーとユーザーグループを設定する
-
ローカルユーザーを作成するには、「ユーザー」>「認証」>「ユーザー定義」に移動してください。
-
「ユーザー」>「認証」>「ユーザーグループ」に移動して、ローカルユーザーとともにグループを作成します。
SSL VPN ウェブポータルの設定
-
VPN > SSL-VPNポータル > SSL-VPNポータルの編集に移動し、「信頼できる宛先に基づいて有効にする」を選択します。
-
VPNトンネルへのトラフィックを除外するには、 Routing Address Overrideフィールドの下にIPアドレス範囲を追加してください。
Note: ワイルドカードFQDN（例：`*.google.com`）SSL VPN Routing Address Overrideフィールド内では、FortiOS はサポートしていません。使う Static FQDN の正確なもの(例:「salesforce.com」) 信頼できる宛先除外機能を活用するため。
SSL VPN設定を構成する
-
VPN > SSL-VPN設定に移動し、以下を入力してください。
-
Listen on Interface(s)でwan1（またはPort1）を選択します。
-
Listen on Portには10443を入力してください。
-
Server Certificateでサーバー証明書用の証明書を選択してください。デフォルトはFortinet_Factoryです。
-
Authentication/Portal Mapping All Other Users/Groupsポータルタイプを設定するには、名前を入力してください。
-
設定済みのユーザーグループ用に新しいAuthentication/Portal Mappingを作成し、設定済みのポータルにマッピングします。
-
SSL VPNファイアウォールポリシーの設定
内部アクセス ポリシーを設定するには、次の手順に従ってください。
-
Policy & Objects > Firewall Policyへ移動してください。
-
ファイアウォールポリシー名を入力してください。
-
Incoming Interface SSL-VPNトンネルインターフェース(ssl.root)に設定します。
-
送信インターフェースをポート2に設定してください。
-
Source Addressを「すべて」に、 User 「設定済みユーザーグループ」に設定してください。
-
Destination ALLに設定します。
-
Schedule alwaysに設定します。
-
Service ALLに設定します。
-
Select AcceptAction。
-
Click OK.
インターネットアクセスポリシーを設定するには、以下の手順に従ってください。
-
Policy & Objects > Firewall Policyへ移動してください。
-
ファイアウォールポリシー名を入力してください。
-
Incoming Interface SSL-VPNトンネルインターフェース(ssl.root)に設定します。
-
送信インターフェースをwan1に設定します。
-
Source Addressを「すべて」に、 User 「設定済みユーザーグループ」に設定してください。
-
Destination ALLに設定します。
-
Schedule alwaysに設定します。
-
Service ALLに設定します。
-
Select AcceptAction。
-
Click OK.
SSL VPNスプリットトンネルモードの作成：ポリシー宛先に基づいて有効化
分割トンネルの設定については、以下のセクションを参照してください。
SSL VPN ウェブポータルの設定
-
VPN > SSL-VPN Portalsに移動して、トンネルモード専用のポータル my-split-tunnel-portal を作成します。
-
Enable Split Tunneling.
SSL VPN設定を構成する
-
VPN > SSL-VPN Settingsへ移動してください。
-
Listen on Interface(s)では、 wan1 (または AWS デプロイメントに従って Port1) を選択します。
-
Listen on Port 10443に設定します。
-
Server Certificateの証明書を選択してください。デフォルト値はFortinet_Factoryです。
-
Authentication/Portal Mappingテーブルで、 Create Newをクリックして、設定済みのユーザー グループを設定済みのポータルにマッピングします。
-
All Other Users/Groupsでは、デフォルトのポータルを構成済みのポータルに設定します。
SSL VPNファイアウォールポリシーの設定
-
Policy & Objects > Firewall Policyへ移動してください。
-
ファイアウォールポリシー名を入力してください。例： sslvpn Split Tunnel Access 。
-
Incoming interface SSL-VPN tunnel interface (ssl.root)でなければなりません。
-
Outgoing Interfaceを選択してください。例えば、ポート1。
-
Source to allとグループを、設定済みのユーザーグループに設定します。
-
VPN を介してトンネル接続する必要のある FQDN リソース (例: salesforce.com) をDestinationの下に追加します。
-
Schedule alwaysに設定します。
-
Service ALLに設定します。
-
Select AcceptAction。
-
OKをクリックしてください。
Configurations In Netskope Client
Netskope ClientをVPNクライアントと同時にインストールする場合は、VPNクライアントからのトラフィックをバイパスするように、ステアリング設定で例外を設定してください。サードパーティ製 VPN アプリの例外を追加する方法の詳細については、 「例外」を参照してください。
ネットワークロケーションを作成する
Netskopeポリシーに VPN ゲートウェイ サーバー URL を追加するには:
-
Policies > Profiles > Network Location > New Network Locationに移動し、「単一オブジェクト」または「複数オブジェクト」のいずれかを選択してください。
-
Single Objec t を追加するには、IP アドレス、IP アドレス範囲、または CIDR ネットマスクを指定します。完了したら、隣接する + ボタンをクリックし、次に「次へ」をクリックします。ネットワークの場所の名前を入力し、「ネットワークの場所を保存」をクリックしてください。
-
Multiple Objectsを追加するには、複数のIPアドレスまたはIPアドレス範囲を含むCSVファイルをアップロードしてください。ネットワークの場所の名前を入力し、「ネットワークの場所を保存」をクリックしてください。
-
完了したら、 Apply Changesをクリックしてください。
宛先ロケーション例外の作成
-
目的地例外を追加するには、ステアリング設定ページに移動して設定を選択します。
-
「例外」タブで「例外」ドロップダウンリストをクリックし、「宛先」を選択します。
-
新しい例外ポップアップウィンドウで、リストからネットワークロケーションプロファイルを選択します。
-
「追加」をクリックしてプロセスを完了してください。
Verifying Interoperability
FortiGate VPN Validation
トラフィックがVPNを経由していることを確認してください。
Netskope Client Functions
クライアントの動作を検証するために使用できる検証済みの使用ケースのリストを参照してください。