FortiGate の IPoE 設定｜MAP-E・DS-Lite の対応と手順

はじめに

FortiGate を IPoE 回線の終端機器として使う場合、「FortiOS に MAP-E / DS-Lite の機能があるか」だけでなく、「契約しているサービスと構成に合う公式の設定例があるか」を確認する必要があります。FortiOS のバージョンによって設定階層やモードが異なり、古い設定例をそのまま投入すると、コマンドが受け付けられない、または想定と異なる動作になる可能性があります。

本記事では、FortiGate の IPoE 対応を公式資料で確認できる範囲に絞って整理し、設定例の選び方、WAN 側 IPv6、VNE、経路、ポリシーの設定、設定後の確認手順をまとめます。IPoE の仕組みや MAP-E / DS-Lite の違いは、関連記事『IPoE とは｜MAP-E・DS-Lite の違いと設定前の確認点』で解説しています。本記事の設定例は Fortinet の公式資料に基づく整理で、筆者の実機検証結果ではありません。

結論として、FortiOS には 6.4.1 で MAP-E と固定 IP のモードが追加され、FortiOS 7.2.0 以降を対象とする公式資料では DS-Lite 専用の mode ds-lite が案内されています。7.6 系では設定階層が config system vne-interface に変わりました。ただし、FortiOS に機能があることと、契約中の国内サービスへ接続できることは別の条件です。サービス・契約種別・構成が一致する公式設定例を選んでから設定してください。

FortiGate の IPoE 対応状況と設定例の選び方

FortiGate の IPoE 対応は、FortiOS の機能、国内サービスへの対応、契約種別、接続構成の 4 つに分けて確認します。まず公式資料で確認できる機能とバージョンを整理し、次に自環境に合う設定例を選びます。

FortiOS の機能と確認できたバージョン

次の表は、Fortinet の公式資料で確認できた機能と、その資料が対象とするバージョンです。資料に記載された最初のバージョンは、現在の推奨バージョンではありません。脆弱性対応や既知の不具合を踏まえ、導入時点の最新情報でファームウェアを選定してください。

参考: Fortinet「MAP-E supports multiple VNE interfaces in the same VDOM」
“the set status option is no longer needed and has been removed”
（config system vne-interface では set status が不要となり、削除されたと説明されています）
https://docs.fortinet.com/document/fortigate/7.6.0/new-features/208421/map-e-supports-multiple-vne-interfaces-in-the-same-vdom

ポリシーや経路で指定するトンネルインターフェース名も、設定階層によって異なります。vne-tunnel を使う公式例では、トンネルインターフェースとして vne.root が作成されます。vne-interface を使う 7.6 系の公式例では、edit で指定した名前（例: vne.wan1）を経路やポリシーに指定しています。経路やポリシーを設定する前に、実際に作成されたインターフェース名を確認してください。確認方法は後述の動作確認表にまとめています。

機能があることとサービスに接続できることは別

FortiOS 6.4.1 の資料には MAP-E の設定例がありますが、国内の共有 IPv4 サービスに接続できるかは、次の条件がそろって初めて判断できます。

• 対象サービスの MAP ルールの取得・更新方式に、FortiOS が対応しているか
• 契約が共有 IPv4 か固定 IPv4 か（固定 IPv4 でもサービスによって設定方式が異なる）
• IPv6 プレフィックスを RA と DHCPv6-PD のどちらで受け取るか
• 対象モデルと FortiOS のバージョンに、制約や前提条件がないか

たとえば、Fortinet の OCN 光 IPoE サービス向けガイドは固定 IP の IP1 / IP8 / IP16 を対象としており、動的 IP サービスは対象外です。このガイドを、OCN の共有型サービスへ接続できる根拠にはできません。

参考: Fortinet「FortiGate IPoE 設定ガイド NTTドコモビジネス株式会社 OCN 光 IPoE サービス編 フレッツ光ネクスト対応版」
「動的IPサービスは非対応となります。」
（同ガイドが対象とするのは、IP1、IP8、IP16 の固定 IP サービスです）
https://www.fortinet.com/content/dam/fortinet/assets/deployment-guides/ja_jp/fg-ocn-ipoe-fixip.pdf

v6プラスや OCN バーチャルコネクトなどの共有 IPv4（動的 IP）サービスについて、本記事の調査では、サービスと契約種別を明示した Fortinet の国内向け設定ガイドを確認できませんでした。これらのサービスで FortiGate を使う場合は、利用可能と判断する前に、Fortinet またはサービス提供事業者に対応状況を確認してください。

設定例を選ぶ表

契約サービス、構成、FortiOS の組み合わせが一致する資料を選びます。表にない組み合わせは、設定例を流用せず、対応状況を確認してから進めてください。

固定 IPv4 の契約でも、設定方式は一律に mode fixed-ip とは限りません。OCN 光 IPoE 向けガイドの例は mode を指定せず、MAP ルールで生成されたトンネル用 IPv6 アドレスと、VNE 事業者から付与された固定 IPv4 アドレスが自動で設定される流れです。一方、クロスパスの固定 IP サービス向けガイドでは、BR と固定 IPv4 アドレスを指定する固定 IP モードを使用しています。サービス別の公式設定に従ってください。

設定前の確認と WAN 側 IPv6 の準備

契約や構成の確認が不十分なまま設定を始めると、FortiGate の設定を見直しても解決しない問題が残ります。一般的な確認項目はハブ記事で扱っているため、ここでは FortiGate の設定に直接影響する項目に絞ります。

設定前の確認表

変更前のバックアップと現状確認

既存の PPPoE 接続などから切り替える場合は、次の順で準備します。

公式ガイドには、DNS 設定の削除や、SD-WAN への移行時に既存の経路・ポリシーを削除する手順が含まれるものがあります。これらはガイドの構成を前提としたオプションや移行手順です。すべての環境で必要な手順として一括削除せず、自環境の設定と照らし合わせて判断してください。

RA で IPv6 プレフィックスを受け取る場合

フレッツ 光ネクストで HGW がない構成など、RA で IPv6 プレフィックスを受け取る場合は、WAN 側インターフェースに次の設定を行います。クロスパス、OCN 光 IPoE の各ガイドと Technical Tip で共通する設定です。以降の例では、WAN 側を wan1、LAN 側を internal とします。インターフェース名は機種に合わせて読み替えてください。

config system interface
    edit "wan1"
        config ipv6
            set dhcp6-information-request enable
            set autoconf enable
            set unique-autoconf-addr enable
        end
    next
end

autoconf

RA で受け取ったプレフィックスから、WAN 側の IPv6 アドレスを自動設定します。

unique-autoconf-addr

既定では無効です。Fortinet の MAP-E の資料では、IPv6 プレフィックスの変更に対応するために有効化が必要とされています。

dhcp6-information-request

DHCPv6 の Information-Request で、DNS サーバーなどの情報を取得します。公式ガイドでは、DNS サーバーの情報をこの方法で取得する構成が示されています。

interface-identifier

IPv6 アドレスの下位 64 ビットを指定し、受け取ったプレフィックスと組み合わせてアドレスを生成します。Administration Guide では固定 IP モードの例で使用されています。サービスから指定がある場合だけ、その値を設定します。公式例の識別子の値を、自分の契約へそのまま投入しないでください。

HGW 配下に設置し、HGW の LAN 側で DHCPv4 サーバーが有効な場合、クロスパスのガイドでは HGW 側の DHCPv4 を無効にするか、FortiGate の WAN 側を set mode static にして DHCP でのアドレス取得を止めるよう案内されています。HGW 自身が IPv4 over IPv6 を終端している場合は、FortiGate で重ねて終端しないでください。

DHCPv6-PD でプレフィックスを受け取る場合

フレッツ 光クロスで FortiGate を ONU に直接接続する場合や、HGW から DHCPv6-PD でプレフィックスを受け取る構成では、RA の例をそのまま使えません。Fortinet の「DHCP-PD support for MAP-E」では、WAN 側で DHCPv6-PD を有効にし、委譲されたプレフィックスを LAN 側インターフェースに割り当てる構成で、MAP-E と固定 IP モードの例が示されています。New Features Guide では 7.6.1 の機能です。

この構成の CLI は、対象バージョンの資料と照合したうえで設定してください。本記事の調査では、DHCPv6-PD 環境で DS-Lite モードを使う Fortinet の公式例は確認できませんでした。光クロスで DS-Lite を利用する場合は、サービス提供事業者と Fortinet に構成の対応状況を確認することをおすすめします。

LAN へ IPv6 を提供する場合の設定と IPv6 ポリシー

LAN の端末に IPv6 のネイティブ通信も提供するかは、IPv4 over IPv6 とは別に決めます。RA 構成の公式ガイドでは、ND Proxy を使って WAN 側のプレフィックスを LAN 側で利用する設定が、オプションとして示されています。LAN で IPv6 を使わない場合、この設定は不要です。DHCPv6-PD 構成では、委譲されたプレフィックスを LAN 側に割り当てる方式となるため、ND Proxy の例と混在させないでください。

config system nd-proxy
    set status enable
    set member "wan1" "internal"
end
config firewall multicast-policy6
    edit <未使用の ID>
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
    next
end
config firewall address6
    edit "link-local"
        set ip6 fe80::/10
    next
end
config firewall policy
    edit <未使用のポリシー ID>
        set name "link-local-wan1-to-internal"
        set srcintf "wan1"
        set dstintf "internal"
        set srcaddr6 "link-local"
        set dstaddr6 "link-local"
        set action accept
        set schedule "always"
        set service "ALL"
    next
    edit <未使用のポリシー ID>
        set name "internal-to-wan1-v6"
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr6 "all"
        set dstaddr6 "all"
        set action accept
        set schedule "always"
        set service "ALL"
    next
end

この例は OCN 光 IPoE 向けガイドの構成に基づき、ND Proxy、DHCPv6 の Information-Request に使うリンクローカル通信の許可、LAN から WAN への IPv6 通信の許可を設定しています。リンクローカルアドレスのオブジェクトは、ガイドによって fe80::/64 と fe80::/10 の違いがあります。本記事では、リンクローカルのアドレス範囲である fe80::/10 を使用しました。

IPv4 の NAPT はアドレス変換の仕組みで、セキュリティ機能ではありません。IPv6 では LAN の端末がグローバルアドレスを持つため、WAN から LAN への通信は、必要な宛先とサービスに絞ったポリシーだけを追加します。また、LAN への転送を許可するポリシーと、FortiGate 自身への管理アクセスは別の設定です。公式例にある WAN 側の ip6-allowaccess（HTTPS や SSH の許可）を、不要にコピーしないでください。

FortiGate の IPoE 設定手順（DS-Lite・固定 IP・MAP-E）

ここでは、公式資料で対象サービスと FortiOS を確認できた DS-Lite と固定 IP サービスの設定例を示します。いずれも RA 構成が前提です。経路とポリシーは、既存のエントリーを上書きしないよう未使用の ID で追加します。既存のデフォルトルートがある場合は、優先度の関係を確認してください。

DS-Lite の設定（FortiOS 7.2 系〜7.4 系、vne-tunnel）

クロスパス 可変 IP サービス編（FortiOS 7.2.0 以上）と Technical Tip の構成に基づく例です。事前に、前述の RA 構成の WAN 側 IPv6 設定を行います。br には、契約時に案内された AFTR の FQDN または IPv6 アドレスを指定します。

config system vne-tunnel
    set status enable
    set interface "wan1"
    set mode ds-lite
    set ipv4-address <未使用のプライベート IPv4 アドレス> 255.255.255.255
    set br "<契約時に案内された AFTR>"
end
config router static
    edit <未使用の ID>
        set device "vne.root"
    next
end
config firewall policy
    edit <未使用のポリシー ID>
        set name "internal-to-vne"
        set srcintf "internal"
        set dstintf "vne.root"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set tcp-mss-sender 1420
        set tcp-mss-receiver 1420
        set nat enable
    next
end

参考: Fortinet「Technical Tip: Configuring FortiGate for IPv6 DS-Lite Service」
“ensure that ‘set mode ds-lite’ is specified”
（VNE トンネルの設定では、主要な設定として set mode ds-lite を指定するよう案内されています。対象は FortiOS 7.2.0 以降です）
https://community.fortinet.com/fortigate-3/technical-tip-configuring-fortigate-for-ipv6-ds-lite-service-198928

DS-Lite では、利用者に割り当てられるグローバル IPv4 アドレスを FortiGate 側で設定しません。グローバル IPv4 への NAPT は、VNE 側の AFTR が行います。ipv4-address は、FortiGate 自身がトンネルから送信する通信の送信元として使うアドレスです。クロスパスのガイドでは、未使用のプライベート IPv4 アドレスの設定が推奨されています。Administration Guide（7.2 系）では、この設定は任意とされています。

公式例のポリシーは nat enable を指定しています。FortiGate は LAN 側の送信元アドレスを出力先インターフェース（vne.root）のアドレスへ変換し、その後 AFTR がグローバル IPv4 アドレスへ変換します。FortiGate 側の NAT と AFTR の NAPT は、役割の異なる別の処理です。

FortiOS 7.6 系では、設定階層が config system vne-interface に変わります。7.6.4 の CLI Reference では、vne-interface の mode に ds-lite が明記されており、7.6.4 で DS-Lite モードを使えることは公式 CLI で確認できます。一方、今回参照した国内サービス向けの完成した設定例は、いずれも vne-tunnel を使う 7.2 系〜7.4 系の例です。7.6 系で上記の例を vne-interface に置き換えて使う場合は、edit で付けたインターフェース名を経路とポリシーに指定し、個々のサービス・構成への適用条件を別途確認してください。実機では set mode ? で選択肢を確認できます。

fixed-ip モードと未使用の更新用 URL で DS-Lite を構成する例を見かけた場合は、その資料の対象バージョンを確認し、7.2.0 以降の ds-lite モードの手順と混在させないでください。

固定 IP サービスの設定（OCN 光 IPoE の例、FortiOS 7.6.1）

OCN 光 IPoE（固定 IP の IP1 / IP8 / IP16）向けガイドの基本設定です。前提は、フレッツ 光ネクスト、RA 構成、FortiOS 7.6.1 です。FortiOS 7.4 系以前では config system vne-tunnel を使うよう案内されています。

config system vne-interface
    edit "vne.wan1"
        set interface "wan1"
    next
end
config router static
    edit <未使用の ID>
        set device "vne.wan1"
    next
end
config firewall policy
    edit <未使用のポリシー ID>
        set name "internal-to-vne.wan1"
        set srcintf "internal"
        set dstintf "vne.wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set tcp-mss-sender 1420
        set tcp-mss-receiver 1420
        set nat enable
    next
end

このガイドの構成では、トンネルに使う IPv6 アドレスが MAP ルールによって生成され、VNE 事業者から付与された固定 IPv4 アドレスが vne.wan1 に設定されます。インターフェース名 vne.wan1 は任意で、経路とポリシーには edit で指定した名前を使います。IP8 / IP16 を利用する場合は、IP プール、DMZ 側への経路、ポリシーの追加設定が同ガイドに記載されています。

BR と固定 IPv4 アドレスを指定する固定 IP モードのサービスでは、通知された値を次のパラメーターに設定します。値の形式や必要な項目はサービスごとに異なるため、該当サービスの公式ガイドを確認してください。

ipv4-address

固定 IP モードでは、契約で割り当てられた固定 IPv4 アドレスを指定します。DS-Lite の ipv4-address とは意味が異なります。

br

トンネルの対向となる BR の IPv6 アドレスまたは FQDN を指定します。

update-url

FortiGate の IPv6 アドレスが変わった際に、新しいアドレスをプロビジョニングサーバーへ通知するための URL です。Administration Guide では、通知によって BR が新しいアドレスを把握し、トンネルが再確立されると説明されています。認証情報を含む場合があるため、設定のエクスポートや出力の共有時に扱いへ注意してください。

共有 IPv4（動的 IP）の MAP-E について

FortiOS の MAP-E モードでは、FortiGate が MAP ルールの配信サーバーへ要求を送り、応答として IPv4 アドレス、ポートセット、BR の IPv6 アドレスなどを取得します。Administration Guide の例では、ssl-certificate と bmr-hostname を指定して mode map-e を設定しています。

参考: Fortinet「MAP-E support 6.4.1」
“the FortiGate will get the IPv4 address, port set, BR IPv6 address”
（BMR の応答から、FortiGate が IPv4 アドレス、ポートセット、BR の IPv6 アドレスなどを取得すると説明されています）
https://docs.fortinet.com/document/fortigate/6.4.0/new-features/322815/map-e-support-6-4-1

ただし、この仕組みの説明は、国内の共有 IPv4 サービスで使う bmr-hostname などの値や、各サービスのルール取得方式への対応を示すものではありません。前述のとおり、本記事ではサービスと契約種別を明示した Fortinet の公式設定例を確認できなかったため、共有 IPv4 の MAP-E サービス向けの設定例は掲載していません。公式に対応が確認できないサービスへ、Administration Guide の例の値を推測で補って投入しないでください。

MSS の設定

上記の公式例では、トンネル向けのポリシーで tcp-mss-sender と tcp-mss-receiver に 1420 を指定しています。OCN 光 IPoE 向けガイドでは、IPv6 ヘッダー分のセグメントサイズ調整のために必要な設定とされています。1420 は、外側 IPv6 の MTU を 1500 バイト、拡張ヘッダーなし、通常の IPv4 / TCP ヘッダーとした場合の計算例に一致する値です。計算の前提はハブ記事で解説しています。

CLI リファレンスでは、tcp-mss-sender は送信側、tcp-mss-receiver は受信側の TCP MSS と説明されています。Fortinet の Technical Tip によると、FortiGate は TCP ハンドシェイク中の SYN / SYN-ACK の MSS を書き換えますが、届いた値が設定値より小さい場合は変更しません。この設定は、そのポリシーに一致する TCP 通信だけに適用されます。値はサービス別の公式設定を優先してください。

ASIC オフロードの設定

オフロードの設定には、VNE 側の auto-asic-offload と、ファイアウォールポリシー側の auto-asic-offload があり、別の設定です。OCN 光 IPoE 向けガイドには、NP7 と NP6XLite（SOC4）以上は VNE インターフェースでの ASIC オフロードをサポートする一方、NP6 と NP6Lite（SOC3）はサポートしないと記載されています。NP6 / NP6Lite 搭載機で VNE インターフェースを使う場合は、ポリシー側で set auto-asic-offload disable を設定するよう案内されています。

この記載は、同ガイドが対象とするサービスと FortiOS 7.6.1 の構成に基づくものです。auto-asic-offload enable をすべての機種の共通推奨とはせず、機種の NP 世代と対象バージョンのハードウェアアクセラレーション資料で確認してください。

設定後の動作確認と切り分け

確認は、契約・開通 → WAN 側 IPv6 と経路 → ルール取得 / AFTR → VNE の状態 → IPv4 経路・ポリシー・NAT → DNS・実通信 → MTU / MSS の順で進めます。前の段階で問題があれば、先の段階を確認しても原因は特定できません。

動作確認表

diagnose test application vned 1 の出力には、更新用 URL、HTTP ユーザー名、IPv6 / IPv4 アドレスなどが含まれる場合があります。サポートへの問い合わせや社内共有の際は、認証情報やアドレスをマスクしてください。原因を絞るためにデバッグを使う場合は、diagnose debug application vned -1 と diagnose debug enable で開始し、確認後は diagnose debug disable と diagnose debug reset で停止します。

FortiOS 7.4 系から 7.6 系へアップグレードした場合、既存の VNE 設定はテーブルへ変換されます。アップグレード後は show system vne-interface と diagnose ipv6 ipv6-tunnel list の devname で名前を確認し、経路とポリシーの出力先と一致していることを確かめてください。

誤判定を避けるための注意点

• IPv6 の ping が成功しても、IPv4 over IPv6 の成功とは判断できません。Technical Tip の確認例は IPv6 の ping のため、IPv4 の通信は別に確認します。
• トンネルが一覧に表示されるだけでは、通信の成功とは判断できません。
• RX / TX は累積値のため、非ゼロであることだけでは今回の試験の成功を示しません。試験の前後で値が増えたかを比較します。
• FortiGate 自身からの ping の成功は、LAN 端末の通信が正常であることを意味しません。FortiGate 自身の通信にはトンネル向けポリシーの NAT や MSS は適用されないため、LAN 端末からも確認します。
• IPv4 が通らない原因は、トンネルの構築失敗に限りません。経路、ポリシー、NAT、DNS、MTU も確認対象です。

IPv6 は通るが IPv4 が通らない場合

IPv6 の通信ができている場合は、動作確認表の「ルール取得 / AFTR」から順に確認します。vned の出力でモードと BR / AFTR が想定どおりか、ルール取得の状態が成功しているかを確認し、問題がなければ diagnose ipv6 ipv6-tunnel list で試験中に TX と RX が増えるかを見ます。トンネルで送受信できている場合は、IPv4 のデフォルト経路とポリシーの出力先インターフェース名、NAT の設定、DNS の順に確認します。

ポート開放・VPN・HA の制約

ポート開放や VPN の可否は、IPv4 over IPv6 の方式による制約と、FortiGate の実装による制約を分けて確認します。方式による一般的な制約はハブ記事で扱っているため、ここでは判断の要点と FortiGate 固有の条件に絞ります。

方式と契約による制約

外側に IPv6 を使う VPN は、共有 / 固定の別に関係なく、両端の IPv6 到達性、IPv6 ポリシー、プレフィックス変更時の追従方法を確認します。固定 IPv4 サービスでも、任意の用途や全ポートが必ず利用できるとは限りません。サービス仕様で利用条件を確認し、公開する通信は宛先とサービスを絞ったポリシーで許可してください。

FortiGate の IPsec と VNE トンネルの条件

VNE トンネル上の IPsec は、IPsec を構成できるかと、NP による IPsec のオフロードが効くかを分けて確認します。Administration Guide の「IPsec over VNE and offloading」には、NP7 / NP7Lite で VNE 上の IPsec をオフロードする条件として、次の項目が挙げられています。

• phase1-interface の interface は、物理インターフェース、trunk、npu-vlink、またはそれらの VLAN とする。
• phase1-interface の interface に VNE トンネルインターフェースを指定しない。
• npu-vlink を使う場合は、VNE トンネルと IPsec トンネルを別の VDOM に配置する。

これはオフロードのための条件で、VNE 上の IPsec 接続全般を禁止する記載ではありません。OCN 光 IPoE 向けガイド（FortiOS 7.6.1、固定 IP）の第 6 章では、センター側 FortiGate への IPsec の phase1-interface に set interface "vne.wan1" を指定する構成例が示されています。この構成では IPsec を構成できる一方、上記の条件に当てはまらないため、NP7 / NP7Lite による IPsec のオフロードの対象外になると読み取れます。

ただし、OCN 向けガイドの例は、特定のサービス・固定 IP・FortiOS 7.6.1 の構成例です。この記載だけで、すべての機種・サービス・構成で VNE 上の IPsec が利用できるとは判断しないでください。スループットの要件がある場合は、オフロードの条件も含めて対象資料で確認します。

HA 構成での注意点

OCN 光 IPoE 向けガイドには、FGCP による HA 構成でフェイルオーバーが発生すると IPoE トンネルの再セットアップが行われ、通信断を伴うことが仕様として記載されています。通信断の時間は同ガイドに記載されていません。企業の拠点で HA を前提とする場合は、この挙動を業務要件と照らし合わせ、対象サービスと FortiOS の条件で確認してください。

まとめ

FortiGate の IPoE 対応は、FortiOS の機能、国内サービスへの対応、契約種別、接続構成を分けて判断する必要があります。公式資料で対象を確認できる設定例を選び、インターフェース名と確認手順まで対象バージョンに合わせることが、確実な導入につながります。

• FortiOS の機能とサービスへの対応は、分けて確認する。
• 7.2.0 以降の公式例では、DS-Lite に mode ds-lite を使う。
• 7.6 系では vne-interface を使い、作成された名前を確認する。
• 固定 IPv4 でも、設定方式はサービス別の公式設定に従う。
• ASIC オフロードの設定は、NP 世代と対象資料で判断する。
• 動作確認は、試験前後のカウンターと LAN 端末の通信で判断する。
• VNE 上の IPsec と HA は、対象構成の資料で条件を確認する。

以上、最後までお読みいただきありがとうございました。