【FortiGate】IPsec VPN 設定手順 | 基本の拠点間接続から NAT 構成まで

config vpn ipsec phase1-interface
    edit "VPN-to-Spoke"
        set interface "wan1"          <-- WAN側インターフェース
        set mode aggressive           <-- 動的IPの場合、Aggressiveモードが一般的
        set type dynamic              <-- 【重要】相手のIPを指定せず待ち受ける設定
        set psksecret "パスワード"      <-- 事前共有鍵（Pre-Shared Key）
    next
end

config vpn ipsec phase1-interface
    edit "VPN-to-Hub"
        set interface "wan1"
        set mode aggressive
        set remote-gw 1.1.1.1         <-- Hub側の固定IPを指定
        set psksecret "パスワード"
    next
end

config vpn ipsec phase2-interface
    edit "VPN-to-Spoke"
        set phase1name "VPN-to-Spoke"
        set src-subnet 192.168.100.0 255.255.255.0  <-- 自分のLAN
        set dst-subnet 192.168.200.0 255.255.255.0  <-- 相手のLAN
    next
end

config vpn ipsec phase2-interface
    edit "VPN-to-Hub"
        set phase1name "VPN-to-Hub"
        set src-subnet 192.168.200.0 255.255.255.0
        set dst-subnet 192.168.100.0 255.255.255.0
    next
end

config firewall policy
    edit 1
        set name "VPN-Inbound"
        set srcintf "VPN-to-Spoke"    <-- VPNから入ってくる
        set dstintf "lan"             <-- LANへ抜ける
        set srcaddr "all"             <-- フェーズ2で制限しているためallでOK
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
    next
    edit 2
        set name "VPN-Outbound"
        set srcintf "lan"             <-- LANから入ってくる
        set dstintf "VPN-to-Spoke"    <-- VPNへ抜ける
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
    next
end

config router static
    edit 1
        set dst 192.168.200.0 255.255.255.0  <-- 相手のLAN
        set device "VPN-to-Spoke"            <-- 出口はVPNインターフェース
    next
end

# FG01（Hub側）の設定例
config firewall ippool
    edit "NAT-Source-Pool"
        set startip 10.1.1.1      <-- 相手に見せる自分の仮IP（開始）
        set endip 10.1.1.1        <-- 相手に見せる自分の仮IP（終了）
    next
end

# FG01（Hub側）の設定例
config firewall vip
    edit "NAT-Dest-VIP"
        set extip 10.1.1.1        <-- 相手が宛先として指定してくるIP（外側）
        set extintf "any"         <-- VPNインターフェースを指定してもOK
        set mappedip "172.16.1.100" <-- 実際にパケットを届けたい内部の実IP
    next
end

config router static
    edit 1
        set dst 10.1.1.2 255.255.255.255  <-- 相手の実IPではなく「仮IP」を指定！
        set device "VPN-to-Spoke"
    next
end

config firewall policy
    edit 1
        set name "VPN-Outbound-NAT"
        set srcintf "port3"           <-- LAN側
        set dstintf "VPN-to-Spoke"    <-- VPN側
        set srcaddr "all"
        set dstaddr "all"             <-- 実際には相手のVIPオブジェクトを指定するのがベスト
        set action accept
        set schedule "always"
        set service "ALL"
        
        # ▼ ここからがNAT設定のハイライト
        set nat enable                <-- NATを有効化
        set ippool enable             <-- デフォルトのインターフェースIPではなくPoolを使う
        set poolname "NAT-Source-Pool" <-- Step1で作ったPoolを指定
    next
end