このガイドでは、NetskopeとFortiGateファイアウォールデバイス間のGREトンネルの設定方法について説明します。この構成例では、FortiOS バージョン 6.4.9 を実行している FortiGate デバイスを使用します。 FortiOSのすべてのバージョンで動作します。
NetskopeでGREトンネルを作成する
Netskope UIでFortiGate用のGREトンネルを作成するには、 「GREサイトの作成」を参照してください。
FortiGateでGREトンネルを設定する
GREトンネルを設定するには、以下のCLIコマンドを入力してください。
config system gre-tunnel
edit "GRE-NETSKOPE"
set interface "port1"
set remote-gw 163.116.174.36
set local-gw 192.168.1.17
next
end
以下の点にご注意ください。
remote-gwには、Netskope POP からコピーした IP アドレスを入力してください。この例では、MRS1 GREゲートウェイです。local-gwには、インターネットに接続されているインターフェースのIPアドレスを入力してください。この例では、FortiGateファイアウォールはISPルーターの背後に設置され、プライベートIPアドレスは192.168.1.17です。これは109.210.55.51へのSNATです。
GREインターフェースの設定
残りのGRE設定を完了するには、CLIとGUIの2つの方法があります。CLIの方が速い。
FortiGateがGREトンネルを設定した際に自動的に作成したGREインターフェースを設定する必要があります。
FortiGate CLI設定
GREインターフェースを設定するには、以下のコマンドを入力してください。
config system interface
edit "GRE-NETSKOPE"
set ip 192.168.254.1 255.255.255.255
set allowaccess ping
set interface "port1"
next
end
FortiGate GUI設定
- Network > Interfacesへ移動してください。
- 編集GRE-NETSKOPE 。
- 以下のGREインターフェースを設定してください。
- OKをクリックしてください。
静的ルートの作成
GREインターフェース用の静的ルートを作成する必要があります。距離と優先度の値に注意してください。
FortiGate CLI設定
静的ルートを設定するには、以下のコマンドを入力してください。
config router static
edit ### enter a digit number that doesn’t overlap with existing policies
set distance 5
set priority 10
set device "GRE-NETSKOPE"
next
end
FortiGate GUI設定
- Network > Static Routesへ移動してください。
- + Create Newをクリックしてください。
- 以下の静的ルートを設定してください。
- OKをクリックしてください。
2つのデフォルトルートが正しくインストールされていることを確認するには、次のコマンドを入力してください。
get router info routing-table all
 |
ポリシーベースのルートの作成
GREトンネル経由でトラフィックをルーティングするには、ポリシーベースルート（PBR）を作成する必要があります。この例では、LAN インターフェース (つまり、ポート 2 10.10.10.0/24) からのすべての HTTP および HTTPS トラフィックをルーティングします。
FortiGate CLI設定
PBRを作成するには、以下のコマンドを入力してください。
config router policy
edit ### enter a digit number that doesn’t overlap with existing policies
set input-device "port2"
set src "10.10.10.0/255.255.255.0"
set dst "0.0.0.0/0.0.0.0"
set protocol 6
set start-port 443
set end-port 443
set output-device "GRE-NETSKOPE"
next
edit ### enter a digit number that doesn’t overlap with existing policies
set input-device "port2"
set src "10.10.10.0/255.255.255.0"
set dst "0.0.0.0/0.0.0.0"
set protocol 6
set start-port 80
set end-port 80
set output-device "GRE-NETSKOPE"
next
end
FortiGate GUI設定
- Network > Policy Routesへ移動してください。
- + Create Newをクリックしてください。
- HTTPSトラフィックに対して、以下のルーティングポリシーを設定してください。
- HTTPトラフィックに対して、以下のルーティングポリシーを設定してください。
- OKをクリックしてください。
ファイアウォールポリシーの作成
LANインターフェースからGREトンネルインターフェースへのトラフィックを許可するファイアウォールポリシーを作成する必要があります。この例では LANサブネットを識別するためのアドレスオブジェクト。
FortiGate CLI設定
ファイアウォールポリシーを作成するには、以下のコマンドを入力してください。
config firewall address
edit "LAN"
set associated-interface "port2"
set subnet 10.10.10.0 255.255.255.0
next
end
config firewall policy
edit ### enter a digit number that doesn’t overlap with existing policies
set name "to Netskope GRE"
set srcintf "port2"
set dstintf "GRE-NETSKOPE"
set srcaddr "LAN"
set dstaddr "all"
set action accept
set schedule "always"
set service "HTTP" "HTTPS"
next
end
FortiGate GUI設定
- Policy & Objects > Addressesへ移動してください。
- + Create Newをクリックしてください。
- 以下のアドレスオブジェクトを作成します。サブネットをLANのサブネットに変更してください。
- OKをクリックしてください。
- Policy & Objects > Firewall Policyへ移動してください。
- + Create Newをクリックしてください。
- 以下のファイアウォールポリシーを作成します。
Serviceの場合、クラウドファイアウォールがある場合は、 HTTPとHTTPまたはALLを選択できます。 - OKをクリックしてください。
トラブルシューティング
GREトンネルが設定されると、インターフェースは常に稼働状態になります。以下に、設定の確認とトラブルシューティングに役立つヒントをいくつか示します。
- 監視サーバーを作成し、トラフィックがトンネルを通過していることを確認するには、次のコマンドを入力してください。
config system link-monitor edit "0" set srcintf "GRE-NETSKOPE" set server "10.174.6.209" next endこのコマンドを使用すると、 Netskope POPのプローブIPアドレスへの接続を監視できます。
- リンクモニターが正常に動作しているかどうかを確認するには、次のコマンドを入力してください。
diagnose sys link-monitor status
以下のような出力が表示されるはずです。
- Netskope UIで、 User Traffic列とKeepalive列のステータスがSeenになっていることを確認してください。
