FortiGateのSDWAN設定手順｜複数回線の冗長化と負荷分散を実現

FortiGateのSD-WAN機能を使えば、複数のインターネット回線を効率的に活用できます。本記事では、実際の設定手順とトラブルシューティング方法を実務レベルで解説します。

SD-WAN（Software-Defined Wide Area Network）は、複数のWAN回線をソフトウェアで統合管理し、トラフィックを最適化する技術です。従来のスタティックルーティングでは、優先度の低い回線は待機状態になりますが、SD-WANでは全回線を有効活用できます。

表1: 従来のルーティングとSD-WANの比較

FortiGateのSD-WANには、実運用で役立つ機能が多数搭載されています。特にヘルスチェックと自動フェイルオーバーは、ネットワークの可用性を劇的に向上させます。

図1: SD-WAN導入による回線活用率の変化

• リアルタイムヘルスチェック：遅延・ジッター・パケットロスを常時監視
• 自動フェイルオーバー：障害検知から3秒以内で回線切り替え
• アプリケーション制御：重要な通信を優先回線へ自動振り分け
• コスト削減：複数の安価な回線を組み合わせて高可用性を実現

SD-WANの設定は、まず物理インターフェースをSD-WANメンバーとして登録することから始まります。今回は光回線（wan1）とLTE回線（wan2）の2系統を設定します。

config system interface
    edit "wan1"
        set vdom "root"
        set ip 203.0.113.10 255.255.255.248
        set allowaccess ping
        set type physical
        set role wan
    next
    edit "wan2"
        set vdom "root"
        set ip 198.51.100.50 255.255.255.252
        set allowaccess ping
        set type physical
        set role wan
    next
end

config system sdwan
    set status enable
    config zone
        edit "virtual-wan-link"
        next
    end
    config members
        edit 1
            set interface "wan1"
            set gateway 203.0.113.9
            set priority 1
        next
        edit 2
            set interface "wan2"
            set gateway 198.51.100.49
            set priority 10
        next
    end
end

パフォーマンスSLA（Service Level Agreement）は、回線品質の基準を定義する重要な設定です。ここで設定した閾値を超えると、その回線は「品質低下」と判断され、トラフィックが別の回線へ自動的に振り分けられます。

config system sdwan
    config health-check
        edit "google-dns"
            set server "8.8.8.8"
            set protocol ping
            set interval 1000
            set failtime 5
            set recoverytime 5
            set update-cascade-interface enable
            set update-static-route enable
            set sla-fail-log-period 10
            config sla
                edit 1
                    set latency-threshold 200
                    set jitter-threshold 50
                    set packetloss-threshold 2
                next
            end
        next
    end
end

表2: ヘルスチェック主要パラメータの推奨値

SD-WANルールでは、トラフィックの振り分け方法を定義します。優先度ベース、負荷分散、最小遅延など、複数の戦略から選択できます。

config system sdwan
    config service
        edit 1
            set name "Critical-Apps"
            set mode priority
            set dst "all"
            set src "internal-network"
            config sla
                edit "google-dns"
                    set id 1
                next
            end
            set priority-members 1
        next
        edit 2
            set name "Load-Balance"
            set mode load-balance
            set dst "all"
            set src "internal-network"
            set load-balance-mode source-ip-based
            set priority-members 1 2
        next
    end
end

図2: SD-WANルール戦略別の適用シーン

config firewall policy
    edit 1
        set name "Internal-to-Internet"
        set srcintf "internal"
        set dstintf "virtual-wan-link"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
    next
end

SD-WANの動作状況は、いくつかのコマンドで確認できます。問題発生時は、これらのコマンドで原因を特定します。

# SD-WANメンバーのステータス確認
diagnose sys sdwan member

# ヘルスチェックのステータス確認
diagnose sys sdwan health-check status

# SD-WANサービスルールの確認
diagnose sys sdwan service

# リアルタイムトラフィック監視
diagnose sys sdwan service 1

# 詳細なデバッグログ
diagnose debug application sdwan -1
diagnose debug enable

問題1: ヘルスチェックが常にダウン状態

原因として、ファイアウォールポリシーでICMPがブロックされている、または対象サーバーがpingに応答しない設定になっている可能性があります。対処法は、HTTPSベースのヘルスチェックに変更するか、確実に応答するサーバーを指定します。

問題2: 負荷分散が機能しない

セッションが既存の経路に固定されている場合があります。source-ip-basedモードでは、同じ送信元IPからのトラフィックは同じ回線を使用します。volume-basedモードへの変更を検討してください。

問題3: フェイルオーバーに時間がかかる

failtimeの値が大きすぎる可能性があります。ただし、小さすぎると誤検知が増えるため、ネットワーク環境に応じて3〜10の範囲で調整してください。