News
Fortigate ipsec vpnでスプリットトンネルを使いこなす！設定かは、現場のVPN運用を劇的に楽にします。ここでは実務で役立つ設定手順、ベストプラクティス、トラブルシューティング、セキュリティ観点までを網羅します。短い要点から詳しい手順、実際の運用例まで一気通貫で解説します。
- まず知っておくべき事実: スプリットトンネルは、VPNトンネルを通るトラフィックを「必須の企業資源のみ」そして「不要な外部トラフィックをローカルへ直接送る」ことで、帯域と遅延を最適化します。
- 本ガイドの狙い: Fortigateを用いたIPSec VPNのスプリットトンネル設定を、初心者にも分かりやすく、現場で即使える形で紹介します。設定例、コマンド、GUIの使い分け、検証方法までをカバー。
- おすすめリンクとリソース（非クリック形式）:
- Fortinet Documentation Library – fortinet.com/documentation
- FortiGate CLI Reference – docs.fortinet.com
- VPNセキュリティベストプラクティス – en.wikipedia.org/wiki/Virtual_private_network
- ネットワークセキュリティの最新動向 – en.wikipedia.org/wiki/Network_security
導入のポイント
- スプリットトンネルのメリット
- 帯域利用の最適化と遅延低減
- 中小規模環境でのVPN拡張性向上
- クライアント側のトラフィック制御の柔軟性
- デメリットと対策
- セキュリティリスクの増大を防ぐには、適切な分割ルールの設計が鍵
- アクセス制御リスト(ACL)の厳密化と監査ログの活用が必須
目次
- Fortigateの基本概念とスプリットトンネルの仕組み
- 設定前の設計ガイドライン
- Fortigateでのスプリットトンネル設定（実践編）
- GUIでの設定手順
- CLIでの設定手順
- 証明書とIKEフェーズの整合性
- ルーティングとポリシーの最適化
- セキュリティ対策と監査
- トラブルシューティングの実例
- 実運用ケースとパターン集
- 参考データとベンチマーク
- FAQ（以下に詳しく記載）
Fortigateの基本概念とスプリットトンネルの仕組み
スプリットトンネルは、VPNトンネルを経由するトラフィックを「必要な宛先だけ」に限定し、それ以外はクライアントの通常ネットワーク経路を使う設計です。Fortigateでは、ポリシーベースのルーティングとIKE/IPsecの組み合わせで実現します。以下のような要素が関係します。
- IPsecトンネルのセキュリティドメイン
- スプリットトンネルのトラフィックマッチ条件（トラフィック指向のACLまたはルーティングベース）
- デフォルトルートの扱いとゼロトラフィック転送の回避
- クライアント側のルーティング情報（Split Tunnel on Client）
この構造を理解することで、後述の設定手順が意味を持つようになります。
設定前の設計ガイドライン
- 目的の明確化
- 企業資源へのアクセス範囲を限定するか、全社トラフィックをVPN経由とするかを決めます。
- ネットワーク分離の設計
- VPNクライアント側のサブネットとリモート側サブネットの関係を diagram で描くと理解が深まります。
- セキュリティポリシーの整合性
- 監査ログ、侵入検知との連携、ゼロトラスト方針の適用を検討します。
- ローカルネットワーク側のルーティング
- 企業内のサブネット間ルーティングとVPN経由の経路優先度を整理します。
- クライアント体験の考慮
- アプリケーション遅延、更新サーバーへの到達性、DNS解決の影響を評価します。
Fortigateでのスプリットトンネル設定（実践編）
以下では、GUIとCLIの2通りの手法を紹介します。実務では運用チームの慣れに合わせて選択してください。
GUIでの設定手順
- VPN設定の作成
- FortiGateのUIにログイン
- VPN > IPsec Tunnels で新規作成
- 名前は分かりやすく「SplitTunnel_VPN」と命名
- Phase1の設定
- IKE Version: 2
- Authentication Method: Pre-Shared Key または cert
- Encryption/Integrity: 適切な組み合わせを選択
- DH Group、SAや再キー設定を適切に
- Phase2の設定
- Local Subnet: クライアント側のサブネットまたは0.0.0.0/0を避け、対象リソースのサブネットを指定
- Remote Subnet: VPN先の内部リソースサブネット
- スプリットトンネルのルーティング設定
- Policy-based routing (PBR) を有効化し、トラフィックマッチ条件として「企業資源のサブネット」を指定
- Split Tunnelの適用範囲を限定して、不要なトラフィックをVPN経由に含めない
- ファイアウォールポリシーの適用
- VPNトラフィルを許可するポリシーを作成
- 内部資源へのアクセスを明示的に許可するルールを追加
- DNSとNATの扱い
- VPN経由のDNS解決とNATの適用を適切に設定
- 設定の検証
- クライアントからリソースへ到達確認
- traceroute、ping、ブリッジ検証を実施
- ログと監査機能を有効化
CLIでの設定手順
以下は例としての簡略化されたコマンド群です。実際は環境に合わせてパラメータを置換してください。
- IKE設定
- config vpn ipsec phase1
- edit FortiGate_SplitTunnel
- set interface wan1
- set ike-version 2
- set peertype any
- set proposals aes128-sha256
- next
- Phase2設定
- config vpn ipsec phase2
- edit FortiGate_SplitTunnel_P2
- set src-subnet 10.0.0.0/8
- set dst-subnet 172.16.0.0/12
- set dst-subnet 0.0.0.0/0 ← 必要に応じて
- next
- ルーティングとPBR
- config router policy
- edit SplitTunnel_Policy
- set src 10.0.0.0/8
- set dst 0.0.0.0/0
- set gateway 1.1.1.1
- next
- ファイアウォール
- config firewall policy
- edit 10
- set srcintf vlan.internal
- set dstintf “vpn FortiGate_SplitTunnel”
- set srcaddr all
- set dstaddr all
- set action accept
- next
- NAT/DNS設定
- config system global
- set dns-server1 8.8.8.8
- next
注意点 Forticlient vpn 旧バージョンをダウンロードする方法：完全ガイド 2026年版 かつ 快適に使いこなす
- 企業資源へ向けたトラフィックのみをVPN経由にする設計を徹底してください。デフォルトで全トラフィックをVPNに流す設定は避け、必要最小限のルールを適用します。
- クライアント側のOSとVPNクライアントのバージョン差で動作が変わることがあります。クライアント側の設定も合わせて検証してください。
- ログと監査を有効化して、異常なアクセスを早期に検知できるようにします。
ルーティングとポリシーの最適化
- トラフィックの優先順位
- 企業資源へのアクセスはVPN経由、外部宛はローカルルート
- VPNを通すべきトラフィックのリストを明確化
- ルーティングの階層
- 静的ルートと動的ルーティングの組み合わせを検討
- DNS設計
- VPN経由時とローカル時でDNS解決先を分けることで、名前解決の遅延を抑制
- ログと監査
- 認証失敗、アクセス元IP、リソースアクセスのログを長期間保存
セキュリティ対策と監査
- 最小権限の原則
- クライアントごとに最小限の権限を割り当てる
- 多要素認証の併用
- IKE認証やVPNログイン時のMFAを活用
- 監査ログの定期レビュー
- 毎週のログ監査と異常検知のルール作成
- パッチ管理
- FortiGateのファームウェアを最新の安定版へ定期更新
トラブルシューティングの実例
- VPN接続は確立するが資源にアクセスできない
- ルーティングテーブルとポリシーの一致を再確認
- Phase2のサブネット設定が誤っていないか確認
- DNS解決がVPN経由でのみ失敗
- DNS設定とNATの関係を見直す
- 速度が低下する、または不安定
- MTU/MSSの調整、再キーの設定、IKEセッションの再確立を検討
実運用ケースとパターン集
- ケースA: 全社資源をVPNで保護しつつ、一般ウェブはローカルから直接参照
- セキュリティとパフォーマンスのバランスが取りやすい
- ケースB: 一部のリソースのみをVPN経由とする柔軟な分割
- 大規模オフィスや分散拠点に適している
- ケースC: リモートワーク用にDNS分割とMFAを組み合わせた堅牢な設計
- セキュリティ強化と運用の安定性を両立
参考データとベンチマーク
- VPNパフォーマンスの影響要因
- 暗号化アルゴリズムの選択、SAの再キー頻度、パケットサイズ
- 実務でよくある失敗パターン
- ルーティングの複雑さ、ACLの誤設定、DNSの混乱
- 最新動向
- Zero Trust Network Architectureの適用、クラウド連携の最適化
Frequently Asked Questions
Fortigate ipsec vpnでスプリットトンネルを使いこなす！設定か の主な目的は何ですか？
スプリットトンネルはVPN経由にするトラフィックを限定し、帯域を節約しつつ遅延を抑えることを目的とします。全トラフィックをVPNに流すと負荷が増え、資源へのアクセスが遅くなる場合があります。
GUIとCLIのどちらを使うべきですか？
初心者は GUI から始めるのがおすすめです。慣れてきたら CLI での自動化や再現性を高めると良いです。
セキュリティの観点で最も重要なポイントは何ですか？
最小権限の原則を徹底し、監査ログを有効化して不正アクセスを早期検知することです。MFAの併用も強力です。
ルーティングで注意すべきことは？
Split Tunnel の適用範囲を誤ると、必要な資源へアクセスできなくなる可能性があります。企業資源のサブネットを正確に指定することが肝です。
DNSはどう扱うべきですか？
VPN経由時とローカル時でDNS解決先を分ける設計が望ましいです。DNS leaks を回避する設定を検討してください。 Cato vpn接続を徹底解説！初心者でもわかる設定方法からメリット・デメリットまで
NATはどう設定しますか？
VPNトラフィックに対して適切な NAT ルールを適用し、内部資源へのアクセスを確実に許可します。
監査ログはどれくらい保存すべきですか？
組織の規模とコンプライアンス要件によりますが、少なくとも数ヶ月から1年程度は保管するのが一般的です。
実運用でのトラブルシューティングの優先順位は？
- 接続自体の安定性 2) ルーティングとポリシー 3) DNSとNAT 4) ログと監査
クライアントの側での設定変更は必要ですか？
クライアント側のルーティング設定も影響します。組織の標準クライアント設定に合わせて、Split Tunnel の適用範囲を統一してください。
今後のアップデートで期待される機能はありますか？
Zero Trust 的アプローチの強化、クラウドとの連携の改善、パケット検査の高度化などが継続的に進んでいます。
Sources:
Operator edge review Ipsec vpn forticlient 接続設定をわかりやすく解説！リモートワークの安全性を高める方法
Vpn价钱比较：2025年各大VPN定价、性价比、折扣与套餐选择指南
免费试用vpn：入门指南、评测对比与常见问题一网打尽，含最新数据与实用技巧
国内好用的vpn：全面评测与选择指南，涵盖隐私、速度与稳定性
Fortigate vpn 確認コマンド：接続状況、設定、トラブルシューティングを徹底解説