FortiGateを導入・運用していると、新規構築時の設定値を整理したり、既存機器の設定内容を把握・共有したりするために、パラメータシートを作成・更新する場面があります。
FortiGateには多くの設定項目があり、利用する機能や構成によって管理したい内容も変わります。また、Excelでパラメータシートを作成しても、実機の設定変更に合わせて更新しなければ、実際の設定と文書の内容に差分が生じます。
この記事では、FortiGateのパラメータシートに記載する項目の考え方、Excelで作成・管理する方法、既存環境から作成するときの注意点を整理します。あわせて、設定仕様書の一例として、SSD-assistanceで生成した成果物も紹介します。
FortiGateのパラメータシートとは
FortiGateのパラメータシートは、機器の設定値を項目ごとに整理した資料です。
新規構築時には設計した設定予定値を整理し、構築やレビューの基準として利用できます。運用中の機器では現在の設定値を記録し、構成確認や変更管理、引き継ぎなどに利用できます。会社や案件によって「設定書」「設定仕様書」などと呼ばれることもあります。
パラメータシートには、インターフェース、ルーティング、ファイアウォールポリシー、各種オブジェクトなど、対象環境で確認・管理したい設定値を整理します。ただし、FortiGateのすべての設定を一律に記載する必要はありません。利用している機能や構成、資料の用途によって必要な項目は変わります。
Configや設計書とも役割が異なります。ConfigはFortiGateに保持されている設定そのものを確認するために有用ですが、設定値を用途ごとに一覧し、関係者が確認するための資料とは形式が異なります。設計書はネットワーク構成や設計方針、設定の意図などを含む場合があり、設定値を項目ごとに整理するパラメータシートとは役割が異なることがあります。
Configを保管している場合でも、引き継ぎや構成確認、変更後の確認などで設定値を一覧したい場合は、パラメータシートとして整理しておくと確認しやすくなります。
FortiGateのパラメータシートに記載する主な項目
記載する項目は、FortiOSのバージョン、利用機能、環境構成（VDOMの利用など）、社内や案件の管理ルールによって変わります。代表的な設定領域を整理すると、次のようになります。
| 設定領域 | 項目の例 | 確認・管理する内容 |
|---|---|---|
| 基本・管理設定 | 機種、シリアル番号、FortiOSのバージョン、ホスト名、管理者、管理アクセス、DNS、NTP、HAなど | 機器の識別情報、OSバージョン、管理方法、時刻同期や冗長化に関する設定を確認する |
| インターフェース・ネットワーク | インターフェース、IPアドレス、VLANなど | FortiGateがどのネットワークへどのように接続しているかを確認する |
| ルーティング・WAN | スタティックルート、動的ルーティング、SD-WANなど | 通信経路やWAN回線の利用方法を確認する |
| ファイアウォールポリシー・オブジェクト | ファイアウォールポリシー、アドレス、サービス、スケジュール、VIPなど | どの通信を許可・制御するか、その条件となるオブジェクトを確認する |
| セキュリティ機能 | アンチウイルス、Webフィルタ、アプリケーションコントロール、IPS、SSL/SSHインスペクションなど | ポリシーへ適用するセキュリティ機能や検査内容を確認する |
| VPN・リモートアクセス | IPsec VPNなど | 拠点間接続やリモートアクセスに使用する設定を確認する |
| 認証・アクセス制御 | ユーザー、グループ、認証設定、ZTNA関連設定など | 利用者や端末の条件に応じたアクセス制御を確認する |
| ログ・監視 | ログ出力、Syslog／FortiAnalyzer、SNMP、アラート通知など | ログの保存・転送先や、監視・通知に関する設定を確認する |
SD-WANは複数のWAN接続をまとめ、リンクの状態やルールに応じてトラフィックを制御する機能です。また、ZTNAはユーザーや端末の識別・認証、端末状態などを用いてアプリケーションへのアクセスを制御する仕組みです。これらを利用している環境では、関連する設定もパラメータシートの管理対象として検討します。
VPNやリモートアクセスで確認すべき項目は、FortiOSのバージョンや機種によって異なります。FortiOS 7.6.3以降ではSSL VPN tunnel modeは廃止されています。利用できる機能はバージョンや機種によって異なるため、詳細はFortinet公式情報のSSL VPN tunnel mode replaced with IPsec VPNやAgentless VPNの機種別サポート情報を確認してください。
表の項目をすべて盛り込むことが目的ではありません。自社や案件で「構築時に何をレビューするか」「運用時に何を確認・更新するか」を基準に、必要な項目を選ぶことが大切です。
Excelでパラメータシートを作成・管理する方法
Excelで整理する場合は、最初から細かな項目を増やすのではなく、管理対象を決めてから設定値を落とし込んでいきます。一例として、次のような流れで進められます。
- パラメータシートで管理する範囲を決める
利用しているFortiGateの機能と、資料の用途を確認します。構築・レビュー用、構成管理用、引き継ぎ用、納品用など、目的によって必要な情報は異なります。
- 設定項目を分類してExcelのシートや列を設計する
基本・管理設定、ネットワーク、ルーティング、ポリシー、オブジェクト、VPNなど、設定を確認しやすい単位に整理します。すべてを一つのシートに詰め込むより、設定のまとまりに合わせて分けると確認しやすくなります。
- 設定値を記入・確認する
新規構築では設計した設定予定値を記入します。既存環境を文書化する場合は、現在の実機設定を確認し、対応する項目へ記録します。過去の資料がある場合も、現在の設定との整合を確認します。
- 内容をレビューする
値の記載漏れや列のずれ、古い情報の残存がないかを確認します。特にポリシーやオブジェクトが多い環境では、行数が増えるほど確認負担も大きくなります。
- 設定変更に合わせてExcelも更新する
実機だけを変更してパラメータシートを更新しなければ、両者に差分が生じます。変更作業の手順に文書更新を含めるなど、継続して維持できる運用を決めておきます。
Excelは、項目を表形式で整理でき、必要に応じて編集できる点でパラメータシートに適した形式の一つです。ただし、Excelファイルを作成しただけでは実機との整合性は保たれません。実機変更と文書更新をどのように同期させるかまで決めておく必要があります。
また、パラメータシートにはネットワーク構成や管理設定などの重要な情報が含まれるため、保管場所や閲覧・編集権限も決めておきます。パスワードや事前共有鍵などの認証情報を記載する場合は、社内のセキュリティルールに従って取り扱います。
既存FortiGateからパラメータシートを作るときの課題
既存のFortiGateからパラメータシートを作る場合は、「何を書くか」を決めるだけでなく、現在の設定を正しく拾い上げ、Excelへ反映する作業が発生します。
対象が1台で、利用機能が限定され、設定変更も少ない環境であれば、手作業で作成・更新する方法でも運用できる場合があります。しかし、対象台数が増えたり、ポリシーやオブジェクトが多かったり、設定変更が頻繁だったりすると、次の作業が積み重なります。
- 必要な設定項目を実機やConfigから探す
- Excelの対応するセルへ転記する
- 転記漏れや誤記がないか確認する
- 設定変更のたびに該当箇所を更新する
- 実機とExcelの差分がないか確認する
Configを保存していれば、設定そのものの記録は残せます。ただし、Configから必要な値を探して人が確認することと、用途ごとに整理されたパラメータシートを維持することは別の作業です。
対象台数、設定量、更新頻度を見て、手作業で継続できるかを判断するとよいでしょう。初回の作成だけでなく、その後の更新まで含めて負担が大きい場合は、設定情報から文書を生成する方法も選択肢になります。
FortiGateの設定仕様書を自動生成する方法
既存FortiGateの設定情報を人がExcelへ転記する代わりに、ツールで採取した情報から設定仕様書を生成する方法もあります。
セイ・テクノロジーズの「SSD-assistance」は、FortiGateから採取した設定情報をもとに、Excel形式の設定仕様書を生成できます。既存環境の設定値を一つずつExcelへ転記する作業や、設定変更後に設定仕様書を作り直す作業の負担を抑えたい場合に利用できる選択肢です。VDOMを利用した構成にも対応しています。
一方、対象台数が少なく、既存のExcelを無理なく維持できている場合は、手作業での管理を続ける方法もあります。対象台数や設定量、更新頻度などを踏まえて選択します。
なお、自動生成されるのは、採取した設定情報をもとにした設定仕様書です。設定の背景や設計意図、運用上の注意事項など、実機の設定情報だけでは表せない内容は、必要に応じて別途管理・追記します。
SSD-assistanceが生成対象としているFortiOSのバージョンや設定仕様書の出力項目は更新される可能性があります。利用を検討する際は、最新のSSD-assistanceサービス仕様で対応状況を確認してください。
FortiGate設定仕様書のサンプルを確認する
FortiGateの設定値をどのように整理するか確認したい場合は、SSD-assistanceで生成したFortiGate設定仕様書の一部を、記事内の画像で確認できます。出力される設定項目やレイアウトを具体的に把握でき、Excelで設定値を整理する際の一例としても参考にできます。
編集可能なExcel形式の成果物を実際に確認したい場合は、SSD-assistanceの無料トライアルで、自社環境から生成される成果物を確認できます。
まとめ
FortiGateのパラメータシートは、すべての設定項目を網羅することよりも、構築や運用で確認・管理したい設定値を、継続して更新できる形に整理することが重要です。FortiOSのバージョンや利用機能、環境構成によって管理対象は変わるため、自社や案件で必要な範囲を決めて作成します。
対象台数が少なく変更頻度も低ければ、Excelを手作業で作成・更新する方法でも運用できます。一方、既存環境から多くの設定値を転記する必要がある場合や、変更後の文書更新が負担になっている場合は、設定情報から設定仕様書を生成する方法も選択肢になります。
実際の項目やレイアウトを確認したい場合は、まずFortiGate設定仕様書のPDFサンプルをご覧ください。編集可能なExcel形式の成果物を自社環境で確認したい場合は、SSD-assistanceの無料トライアルで確認できます。
