FortiGateでSNAT・DNATのIPアドレスが重複していた場合の対処法

FortiGateを設置したネットワーク環境で、SNAT（ソースNAT）およびDNAT（デスティネーションNAT）が正常に動作しない事象が発生しました。設定には問題なく、FortiGateのログにも拒否や許可の形跡がない。つまりそもそも通信がFortiGateに届いていないという状況でした。

原因はIPアドレスの重複でした。しかし単純な重複ではなく、FortiGateのVIP（DNAT）やIPプール（SNAT）で使用する仮想IPの特性が絡んだ、少し厄介なトラブルです。本記事では、このトラブルの原因と対処法を現場での実体験をもとに解説します。

事象の概要

今回の事象は以下の状況で発生しました。

ARPテーブルで原因を特定する

通信がFortiGateに届いていない場合、まず上位L3スイッチのARPテーブルを確認します。ARPテーブルは「このIPアドレスはこのMACアドレスの機器が持っている」という対応表です。ここに間違ったMACアドレスが登録されていると、パケットが正しい宛先（FortiGate）に届きません。

Switch# show arp

Protocol  Address       Age (min)  Hardware Addr       Type   Interface
Internet  192.168.1.254  2         00:11:22:33:44:55   ARPA   Vlan10
Internet  192.168.1.100  -         aa:bb:cc:dd:ee:ff   ARPA   Vlan10  ← ❌ 別機器のMAC

192.168.1.100はFortiGateのVIPまたはIPプールで使用する予定のアドレスですが、ARPテーブルにはaa:bb:cc:dd:ee:ffという別の機器のMACアドレスが登録されています。この状態では上位スイッチが192.168.1.100宛のパケットをFortiGateではなく別の機器（または存在しない機器）に転送してしまいます。

なぜARPが更新されなかったのか

重複していた機器を取り外した後も、上位スイッチのARPテーブルは古いMACアドレスを保持し続けていました。これにはFortiGateのNAT設定特有の動作が関係しています。

FortiGateのVIP（DNAT）とIPプール（SNAT）のARP動作

ARPには2種類の動作があります。

上位スイッチに古いARPキャッシュが残っている場合、スイッチは「すでにMACアドレスを知っている」ため新たにARP要求を送りません。FortiGateがARP応答を返せる状態でも、そもそもARP要求が来ないため更新されないというのが今回の根本原因です。

対処法：インターフェースに一時的にIPを割り当ててARP更新を狙う

今回は以下の手順で対処しました。

検討した選択肢と却下した理由

実際の対処手順

FGT# config system interface
FGT(interface) # edit wan1
FGT(wan1) # set ip 192.168.1.100 255.255.255.0
FGT(wan1) # end

Switch# show arp

Protocol  Address       Age (min)  Hardware Addr       Type   Interface
Internet  192.168.1.100  0         xx:xx:xx:xx:xx:xx   ARPA   Vlan10
                                   ↑ FortiGateのMACに更新されていればOK

FGT# config system interface
FGT(interface) # edit wan1
FGT(wan1) # unset ip
FGT(wan1) # end

! 元のインターフェースIP（例：192.168.1.1）を再設定する場合
FGT(wan1) # set ip 192.168.1.1 255.255.255.0
FGT(wan1) # end

VIPのARP動作をCLIで確認する

FortiGateのVIPにはarp-replyという設定があります。デフォルトで有効（enable）になっており、ARP要求が来た際にFortiGateが応答を返す動作をします。念のためこの設定が有効になっているか確認しておきましょう。

! VIPの設定確認
FGT# show firewall vip

config firewall vip
    edit "VIP_192.168.1.100"
        set extip 192.168.1.100
        set mappedip 10.0.0.10
        set extintf "wan1"
        set arp-reply enable    ← ここがenableになっているか確認
    next
end

同様のトラブルを防ぐための確認チェックリスト

FortiGateのNAT設定後に通信が通らない場合、以下の順番で確認すると原因を早期に特定できます。