FortiGateのHA（冗長化）設定手順｜Active-Passive構成を実機で解説

FortiGateのHA（High Availability）機能は、ネットワークセキュリティの可用性を確保するために複数のFortiGateデバイスを冗長構成にする仕組みです。ハードウェア障害やソフトウェア障害が発生した際に、自動的に待機系へフェイルオーバーすることでサービス継続性を保証します。

FortiGateのHA構成には大きく分けて「Active-Passive」と「Active-Active」の2種類があり、それぞれ異なる用途と特性を持っています。企業ネットワークでは圧倒的にActive-Passive構成が主流で、約85%の導入実績があります。

Active-Passive構成では、1台のFortiGate（Primary）がすべてのトラフィックを処理し、もう1台（Secondary）は待機状態で構成同期のみを行います。Primaryに障害が発生すると、SecondaryがPrimaryに昇格してトラフィック処理を引き継ぎます。

この構成の最大のメリットは、設定の単純性と動作の安定性です。セッション同期が不要なため、フェイルオーバー時の挙動が予測しやすく、トラブルシューティングも容易です。ただし、Secondaryのリソースが通常時は遊休状態になるというデメリットがあります。

Active-Active構成では、両方のFortiGateが同時にトラフィックを処理します。負荷分散が可能でリソースを最大限活用できますが、セッション同期が必要となり、設定の複雑性が増します。大規模トラフィックを処理するデータセンター環境で採用されることが多い構成です。

構成モード別の導入比率と主な用途をまとめました。

図1: FortiGate HA構成モード別導入比率

FortiGateのHA構成を組む前に、必ず確認すべき要件があります。これらの条件を満たしていないと、HA構成が正しく動作しないだけでなく、設定途中でデバイスが到達不能になるリスクがあります。

HA構成を組む2台のFortiGateは、同一モデルである必要があります。FortiGate 60FとFortiGate 100Fのように異なるモデルでHA構成を組むことはできません。また、ファームウェアバージョンも完全に一致させる必要があります。

ハードウェアリビジョンについては、FortiOS 6.4以降では異なるリビジョン間でもHA構成が可能になりましたが、古いファームウェアでは同一リビジョンが必須です。実機検証では、FortiGate 200F（Rev.A）とFortiGate 200F（Rev.B）でHA構成を組めることを確認しています。

FortiGate HAに必要な主要要件を以下の表にまとめました。

Heartbeatインターフェースは、HA構成の心臓部です。Primary-Secondary間でステータス情報と設定同期を行うための専用インターフェースで、最低1つ、推奨では2つ以上のポートを使用します。

実運用では、Heartbeatインターフェースを2つ以上設定することを強く推奨します。単一のHeartbeatリンクが切断されると、両機が自身をPrimaryと認識する「スプリットブレイン」状態に陥る可能性があります。これはネットワーク全体に深刻な影響を及ぼします。

実際のHA設定手順を、FortiGate 100Fを使った検証環境で解説します。この手順は他のFortiGateモデルでも基本的に同様です。HA設定はCLIで行うことを推奨します。GUIでも可能ですが、CLIの方が確実で、トラブルシューティングも容易です。

2台のFortiGateを以下の構成で準備します。この段階では両機ともスタンドアロン状態です。

まずPrimaryとなるFortiGate-AにHA設定を投入します。以下のCLIコマンドを順番に実行してください。

config system ha
    set group-name "FGHA-CLUSTER-01"
    set mode a-p
    set password "StrongPassword123!"
    set hbdev "port5" 0 "port6" 0
    set priority 200
    set override enable
    set session-pickup enable
    set session-pickup-connectionless enable
    set ha-mgmt-status enable
    config ha-mgmt-interfaces
        edit 1
            set interface "port1"
            set gateway 192.168.1.254
        next
    end
    set monitor "port1" "port2"
end

各パラメータの意味を解説します。

主要なHA設定パラメータと推奨値の一覧です。

次にSecondaryとなるFortiGate-Bに以下の設定を投入します。group-name、password、hbdevはPrimaryと完全一致させ、priorityのみ低い値にします。

config system ha
    set group-name "FGHA-CLUSTER-01"
    set mode a-p
    set password "StrongPassword123!"
    set hbdev "port5" 0 "port6" 0
    set priority 100
    set override enable
    set session-pickup enable
    set session-pickup-connectionless enable
    set ha-mgmt-status enable
    config ha-mgmt-interfaces
        edit 1
            set interface "port1"
            set gateway 192.168.1.254
        next
    end
    set monitor "port1" "port2"
end

この設定を投入した瞬間、FortiGate-BはSecondaryとして動作を開始し、約10秒以内にFortiGate-Aから設定同期が始まります。この間、FortiGate-Bへのコンソール接続は一時的に切断される可能性があります。

設定投入後、約30秒から1分でHA同期が完了します。以下のコマンドで同期状況を確認してください。

get system ha status

HA Health Status: OK
Model: FortiGate-100F
Mode: HA A-P
Group: 0
Debug: 0
Cluster Uptime: 0 days 0:3:25
Cluster state change time: 2024-01-15 10:23:45
Master selected using:
    <2024/01/15 10:23:45> FG100F4Q18000123 is selected as the master because it has the largest value of uptime.
ses_pickup: enable, ses_pickup_delay=disable
override: enable
Configuration Status:
    FG100F4Q18000123(updated 2 seconds ago): in-sync
    FG100F4Q18000124(updated 1 seconds ago): in-sync
System Usage stats:
    FG100F4Q18000123(updated 2 seconds ago): sessions=0, average-cpu-user/nice/system/idle=0%/0%/0%/100%, memory=22%
    FG100F4Q18000124(updated 1 seconds ago): sessions=0, average-cpu-user/nice/system/idle=0%/0%/0%/99%, memory=22%
HBDEV stats:
    port5: physical/1000full, up, rx-bytes/packets/dropped/errors=1254/18/0/0, tx=1458/21/0/0
    port6: physical/1000full, up, rx-bytes/packets/dropped/errors=1198/17/0/0, tx=1352/19/0/0

「Configuration Status」セクションで両機が「in-sync」になっていれば設定同期が完了しています。「checksums matched」と表示される場合もありますが、これも正常です。

HA構成が正常に動作しているかを確認するために、複数のコマンドを使用してステータスをチェックします。これらのコマンドは定期的な運用監視でも使用します。

以下のコマンドを順番に実行してHA構成の各要素を確認します。

diagnose sys ha status

HA information
        Statistics
                traffic.local = s:0 p:44824 b:5698304
                traffic.total = s:0 p:44824 b:5698304
                activity.fdb  = c:0 q:0
        
Model=200, Mode=2 Group=0 Debug=0
nvcluster=1, ses_pickup=1, delay=0

[Debug_Zone HA information]
HA group member information: is_manage_master=1.
FG100F4Q18000123:      Master, serialno_prio=1, usr_priority=200, hostname=FortiGate-A
FG100F4Q18000124: Slave, serialno_prio=0, usr_priority=100, hostname=FortiGate-B

このコマンド出力から、FortiGate-AがMaster（Primary）、FortiGate-BがSlave（Secondary）として動作していることが確認できます。

diagnose sys ha checksum show

is_manage_master()=1, is_root_master()=1
debugzone
global: a5 8f e3 84 7e 9a 5f 1d 35 b2 d7 c4 8a 91 f2 a3
root: a5 8f e3 84 7e 9a 5f 1d 35 b2 d7 c4 8a 91 f2 a3
all: a5 8f e3 84 7e 9a 5f 1d 35 b2 d7 c4 8a 91 f2 a3

cluster member:
FG100F4Q18000123(Master):    a5 8f e3 84 7e 9a 5f 1d 35 b2 d7 c4 8a 91 f2 a3
FG100F4Q18000124(Slave):     a5 8f e3 84 7e 9a 5f 1d 35 b2 d7 c4 8a 91 f2 a3

チェックサムが完全一致していれば、設定が正しく同期されています。チェックサムが異なる場合は設定同期に問題が発生しています。

図2: HAフェイルオーバー時の切り替え時間

本番稼働前に必ずフェイルオーバーテストを実施します。Primary側で以下のコマンドを実行すると、強制的にSecondaryがPrimaryに昇格します。

execute ha manage ?
  0   Operate on member with index 0.
  1   Operate on member with index 1.

execute ha manage 0 admin
admin@192.168.1.99's password:
FortiGate-A #

diagnose sys ha reset-uptime

このコマンドを実行すると、現在のPrimaryのuptime値がリセットされ、より高いuptimeを持つSecondaryがPrimaryに昇格します。フェイルオーバー時間は通常2～5秒程度です。

FortiGateのHA構成で発生する典型的なトラブルとその対処法を解説します。これらの問題は実際の現場で頻繁に遭遇するため、事前に対処法を把握しておくことが重要です。

スプリットブレインは、Heartbeat通信が途絶えた際に両方のFortiGateが自身をPrimaryと認識してしまう状態です。これは最も危険なHA障害の一つで、ネットワーク全体に深刻な影響を及ぼします。

スプリットブレインの兆候は以下のコマンドで確認できます。

diagnose sys ha status

HA information
        Statistics
                traffic.local = s:0 p:0 b:0
                traffic.total = s:0 p:0 b:0
                
[Debug_Zone HA information]
HA group member information: is_manage_master=1.
FG100F4Q18000123:      Master, serialno_prio=1, usr_priority=200, hostname=FortiGate-A

# もう一台でも同じコマンドを実行
FG100F4Q18000124:      Master, serialno_prio=0, usr_priority=100, hostname=FortiGate-B

両機がMasterになっている場合、スプリットブレインが発生しています。対処手順は以下の通りです。

チェックサム不一致が継続する場合、設定同期プロセスに問題が発生しています。以下のコマンドで強制同期を実行できます。

execute ha synchronize start

Syncrhonization started.

強制同期でも解決しない場合は、Secondary側で以下の手順を実行します。

config system ha
    set mode standalone
end

# 10秒待機後

config system ha
    set mode a-p
    set group-name "FGHA-CLUSTER-01"
    set password "StrongPassword123!"
    set hbdev "port5" 0 "port6" 0
    set priority 100
end

この手順により、Secondaryの設定が完全に消去され、Primaryから新規に設定が同期されます。

現場で遭遇する頻度が高いHA関連トラブルと対処法の一覧です。

HA関連のトラブルシューティングでは、リアルタイムデバッグログが非常に有効です。以下のコマンドでHA通信の詳細ログを出力できます。

diagnose debug enable
diagnose debug application hatalk -1
diagnose debug application hasync -1

# ログ出力を停止する場合
diagnose debug disable
diagnose debug reset

このデバッグログでは、Heartbeatパケットの送受信状況、チェックサム計算プロセス、設定同期の進行状況などがリアルタイムで表示されます。出力量が多いため、必要な情報を取得したらすぐにdisableしてください。

FortiGate HAを安定運用するためには、設定後の継続的な監視と定期メンテナンスが不可欠です。実運用で培ったノウハウを共有します。

以下の項目を毎日または週次で確認することを推奨します。特に本番環境では、監視システム（Zabbix、Nagios等）でこれらの項目を自動監視することが望ましいです。

# HAステータス確認（毎日）
get system ha status

# チェックサム確認（毎日）
diagnose sys ha checksum show

# Heartbeatインターフェース統計（週次）
diagnose sys ha showcsum

# HAイベントログ確認（週次）
execute log filter category 2
execute log display

HA構成でのファームウェアアップデートは、手順を誤るとサービス停止につながります。以下の順序を厳守してください。

HA構成では、Primary側で設定変更を行うと自動的にSecondaryへ同期されます。しかし、以下の点に注意が必要です。

大規模な設定変更（100行以上のポリシー追加など）を行う際は、変更前にexecute backup config管理でバックアップを取得してください。万が一、設定同期が失敗した場合でも、バックアップから復旧できます。

また、Primary側で設定変更後、必ずdiagnose sys ha checksum showで両機のチェックサムが一致していることを確認してください。大規模変更の場合、同期完了まで最大5分程度かかることがあります。

session-pickupを有効にすると、既存セッションがフェイルオーバー時に引き継がれます。これにより、TCP接続が切断されることなくフェイルオーバーが完了します。

config system ha
    set session-pickup enable
    set session-pickup-connectionless enable
    set session-pickup-nat enable
    set session-pickup-expectation enable
end

ただし、セッション同期を有効にすると、Heartbeat帯域が増加します。大規模環境（同時セッション数10万以上）では、Heartbeatインターフェースに10GbEポートを使用することを推奨します。

CLIでの設定を推奨していますが、GUIでもHA構成を設定できます。System > HA から設定可能で、視覚的に確認しながら設定できるメリットがあります。

System > HA メニューから以下の項目を設定します。

GUIでの設定は直感的ですが、細かなパラメータ調整にはCLIの方が効率的です。初期設定はGUIで行い、詳細調整はCLIで行うハイブリッド運用も有効です。

FortiGate 100F、200F、400Fでの実機検証を通じて得られた、マニュアルには載っていない重要な知見を共有します。

Heartbeatトラフィックの帯域は、管理対象のセッション数とポリシー数に依存します。検証環境での測定結果は以下の通りです。

図3: セッション数別Heartbeat帯域使用量

1GbEポートで通常は十分ですが、20万セッション以上を扱う大規模環境では、Heartbeat専用に10GbEポートを用意することを推奨します。

各障害シナリオでのフェイルオーバー時間を実測しました。すべてFortiGate 100F、FortiOS 7.4.1での測定結果です。

障害シナリオ別フェイルオーバー時間の測定結果です。

セッション同期を有効にした場合でも、フェイルオーバー時間はほぼ同じでした。TCPセッションの継続性が必要な環境では、session-pickup有効化を強く推奨します。

設定規模別の同期完了時間も測定しました。ポリシー数が多い環境では、設定変更後の同期完了待ちが必要です。

ポリシー100本の環境で約5秒、1000本で約25秒、5000本で約2分の同期時間がかかりました。大規模環境で設定変更を行う際は、同期完了を確認してから次の作業に進むことが重要です。