FortiGate SSL-VPN廃止に伴うIPsec VPN移行手順｜設定例・脆弱性の背景・FortiClient対応【実務ガイド】

あわせて読みたい関連記事

FortiGateのVPN設定や関連するトラブルシューティング記事もご覧ください。

• FortiGate SSL-VPN廃止で何が変わる？FortiOS 7.6対応・IPsec移行の注意点
• FortiGate IPsec VPN設定手順｜拠点間接続のCLI設定例
• FortiGate IPsec VPNが繋がらない時の対処法
• Cisco IPsec VPNが繋がらない原因と対処法
• GREトンネルとは？仕組みと設定方法｜IPsec over GRE
• FortiGate CLIコマンド一覧

FortiGate SSL-VPN廃止とIPsec移行が必要な理由

現場では、VPNの方式そのものを変える話になると単純な設定変更では終わりません。認証方式・アドレス払い出し・ポリシー・DNS・分割トンネル・ユーザーへの案内・切り戻しまで含めて考えないと、移行当日に「接続はできるのに社内へ行けない」「一部ユーザーだけ名前解決できない」「認証情報は通るのにトンネルが上がらない」といった事故が起きやすくなります。

この記事では、移行の理由・事前確認・実際の手順・CLI設定例・よくある失敗・切り戻しの考え方まで、実務目線でまとめます。

なぜSSL-VPNからIPsec VPNへの移行が必要なのか

FortiOS SSL-VPN廃止の背景と脆弱性問題 style=”color:#334155;margin:0 0 1.5rem;font-size:18px;line-height:1.8;”>今回の話は「新しい方式もありますよ」という任意の検討ではなく、FortiOSのバージョンによっては事実上の必須対応になるという点を最初に押さえてください。

これまでFortiGateではSSL-VPNが広く使われてきました。TCP 443を使えるため社外ネットワークでも通しやすく、設定もしやすいという理由から選ばれ続けてきた方式です。しかし今後はSSL-VPNトンネルモードを前提に運用を続ける設計が難しくなります。

SSL-VPNからIPsec VPNへの移行手順 style=”color:#334155;margin:0 0 1.5rem;font-size:18px;line-height:1.8;”>実務で重要なのは、単に「名称が変わる」わけではないことです。VPN方式が変わるため、認証・暗号化・クライアント定義・ポリシー確認のやり直しが必要になります。アップグレード計画だけ先に進んでVPN移行を後回しにした結果、夜間メンテナンス後に在宅ユーザーが翌朝つながらない、という形で発覚するケースが現場では最も多いパターンです。

SSL-VPNとIPsec VPNの違い

移行時に必要な観点を中心に整理します。

感覚的には、SSL-VPNは「クライアントアクセスの仕組み」として見ていたものを、IPsec VPNでは「トンネルと経路設計を伴う仕組み」として捉えると理解しやすいです。その分、どこで失敗しているかをIKEネゴシエーションのログで追いやすい面もあります。

移行前に確認しておくべきポイント

SSL-VPNからIPsec VPNへの移行で失敗しやすいのは、機器設定よりも設計情報の棚卸し不足です。先に設定画面を触り始めるより、現在のSSL-VPN環境で何を実現しているかを先に洗い出したほうが結果的に早く終わります。

① 現在のSSL-VPNで使っている要素を整理する

最低限、次の情報は整理しておいてください。この整理が甘いと、移行後に「VPN自体は張れたのに社内の名前解決だけできない」「特定部署のユーザーだけ入れない」という切り分けしづらいトラブルになります。

② FortiClientバージョンを確認する

サーバー側だけ整えても、クライアント側が要件を満たしていなければ移行は成功しません。社内PCは配布ポリシーでそろえられていても、持ち出し端末や例外PCだけ古いバージョンが残っているケースは珍しくありません。これまでSSL-VPNで問題なく使えていた利用者ほど「昨日まで使えたのに今日はつながらない」と感じやすいため、事前にバージョンを確認し配布手順を先に案内しておくことが重要です。

③ TCP 443を使い続ける必要があるか判断する

SSL-VPNを使っていた環境では、TCP 443で通せることをメリットとしていたケースが多いはずです。IPsec VPNへ移行する際も、同じように通過性を重視するのか、標準的なUDPベースで問題ないのかを先に決めておきましょう。

この判断を曖昧にしたまま移行すると、テスト環境では成功したのに出張先ホテルやテザリング経由では接続できないという事態が起きます。リモートアクセスVPNは「本社回線から見て正しい」だけでは足りず、利用者が実際に使う回線条件で考える必要があります。

④ 切り戻し条件を先に定義する

移行作業の前に、どの状態なら成功とみなすか、どの状態なら切り戻すかを定義しておくと当日の判断がぶれません。「接続成功」だけでなく、「社内DNS名前解決」「主要3セグメント疎通」「RDPやWeb業務システム利用」のように、利用者目線の確認項目で判定基準を作ることをおすすめします。

おすすめの移行手順（8ステップ）

実務では、SSL-VPNを残したままIPsec VPNを先に並行検証し、少人数で試してから全体展開する流れが安全です。

show vpn ssl settings
show user group
show firewall policy
show firewall address
show firewall addrgrp
show system interface

config vpn ipsec phase1-interface
    edit "ipsec_ra_01"
        set type dynamic
        set interface "wan1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes256-sha256
        set dpd on-idle
        set nattraversal enable
        set ipv4-start-ip 10.255.10.10
        set ipv4-end-ip 10.255.10.200
        set ipv4-dns-server1 192.0.2.10
        set ipv4-dns-server2 192.0.2.11
        set psksecret ENC SAMPLE-KEY
        set authusrgrp "vpn_users"
    next
end

config vpn ipsec phase2-interface
    edit "ipsec_ra_01_p2"
        set phase1name "ipsec_ra_01"
        set proposal aes256-sha256
        set src-subnet 0.0.0.0 0.0.0.0
        set dst-subnet 192.0.2.0 255.255.255.0
    next
end

config firewall policy
    edit 0
        set name "IPSEC_RA_to_LAN"
        set srcintf "ipsec_ra_01"
        set dstintf "lan"
        set srcaddr "all"
        set dstaddr "srv_app01" "srv_dns01" "lan_users"
        set action accept
        set schedule "always"
        set service "ALL"
        set groups "vpn_users"
        set nat disable
    next
end

よくあるトラブルと確認コマンド

接続は成功するのに社内へ通信できない

このパターンは非常に多いです。原因としては、ポリシー不足・到達先アドレス設定漏れ・split tunnelの経路不足・戻りルート不足・DNS配布漏れが代表的です。疎通確認はpingだけでなく、名前解決と業務アプリの接続まで確認することが重要です。

! トンネル状態確認
get vpn ipsec tunnel summary

! IKEゲートウェイ確認
diagnose vpn ike gateway list

! IKEデバッグ（対象時間帯を区切って実施すること）
diagnose vpn ike log-filter clear
diagnose debug reset
diagnose debug application ike -1
diagnose debug enable

移行時の注意点

切り戻しの考え方

移行計画には、成功手順と同じくらい切り戻し条件が重要です。移行後30〜60分程度で確認すべき項目を事前に決めておき、未達なら戻す判断をする運用をおすすめします。