FortiOS CLI を使用して HA クラスタ用に VLAN を設定する

vFSA, 上のHAクラスタでは、プロビジョニング中に4つのアグリゲートインターフェースが設定されます：

• Agg0 は外側のプライベートWANインターフェースです。
• Agg1 は外部のパブリックWANインターフェースです。
• Agg2 は内側のプライベートインターフェースです。
• Agg3 は内部のパブリックインターフェースです。

プライベートVLANはすべて agg2 を親インターフェイスとして設定してください。 また、親インターフェースとして agg3 が定義されているパブリックVLANも設定します。

次の例は、10.37.22.0/26 のサブネットを持つプライベートVLAN 798のCLI設定を示しています。 そのサブネットのゲートウェイは 10.37.22.1 で、サブネットマスクは 255.255.255.192 です。 次の例では、VLAN番号を使ってインターフェイスにラベルを付け、b はバックエンド（プライベート）、inside はインサイドVLANとして定義しています。 set allowaccess コマンドはコントロールプレーンの保護を可能にし、10.37.22.1/32 が FortiGate 上で使用できるコントロール/マネージメントプレーンレベルのサービスを規定します。 また、FortiGate への管理アクセスにサブネットのゲートウェイIPが使われることはほとんどないため、ping だけが設定されています。 ただし、そのIPを使用して FortiGate にアクセスしたい場合は、リモートCLIおよびウェブGUIアクセス用のサービス（SSHや HTTPS など）をそれぞれ追加することができます。

config system interface
edit "v798-b-inside"
set vdom "root"
set ip 10.37.22.1 255.255.255.192
set allowaccess ping
set role lan
set interface "agg2"
set vlanid 798
end

VLAN上の追加のサブネットについては、サブネットのゲートウェイとマスクをインターフェイスのセカンダリIPとして追加する。 例えば、VLAN798上に別のサブネット（10.37.23.0/24）があった場合、次のようなコマンドが使えます：

config system interface
edit v798-b-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 10.37.23.1 255.255.255.0
set allowaccess ping
end

次の例は、サブネット 67.228.192.0/28 上のパブリックVLAN (803)のコンフィギュレーションを示しています。 そのサブネットのゲートウェイは 67.228.192.1 で、サブネットマスクは 255.255.255.240 です。 次の例では、VLAN番号を使ってインターフェイスにラベルを付け、f はフロントエンド(パブリック)、inside はインサイドVLANとして定義しています。

config system interface
edit "v803-f-inside"
set vdom "root"
set ip 67.228.192.1 255.255.255.240
set allowaccess ping
set role lan
set interface "agg3"
set vlanid 803
end

VLAN上の追加のサブネットについては、サブネットのゲートウェイとマスクをインターフェイスのセカンダリIPとして追加する。 例えば、VLAN803上に別のサブネット（67.228.225.128/26）があった場合、次のようなコマンドを使います：

config system interface
edit v803-f-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 67.228.225.129 255.255.255.192
set allowaccess ping
end

FortiOS CLI を使用したスタンドアロン vFSA の設定

スタンドアロン版はこのように設定できる：

config system interface
edit "v798-b-inside"
set vdom "root"
set ip 10.37.22.1 255.255.255.192
set allowaccess ping
set role lan
set interface "agg0"
set vlanid 798
end

同じVLANインターフェイス上にサブネットゲートウェイを追加する場合は、HAコンフィギュレーションサンプルと同じです：

config system interface
edit v798-b-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 10.37.23.1 255.255.255.0
set allowaccess ping
end

スタンドアロン版はこのように設定できる：

config system interface
edit "v803-f-inside"
set vdom "root"
set ip 67.228.192.1 255.255.255.240
set allowaccess ping
set role lan
set interface "agg1"
set vlanid 803
end

スタンドアロンのvFSAコンフィギュレーションは、同じVLAN上の追加のサブネットゲートウェイのHAコンフィギュレーションと一致する：

config system interface
edit v803-f-inside
set secondary-IP enable
config secondaryip
edit 0
set ip 67.228.225.129 255.255.255.192
set allowaccess ping
end