FortiGateのポリシールーティング設定手順｜特定通信の経路制御を実現

FortiGateのポリシールーティング（PBR：Policy Based Routing）は、通常のルーティングテーブルとは異なる経路制御を実現する重要な機能です。特定の送信元や宛先に応じて柔軟にトラフィックの経路を変更できるため、複数回線の使い分けやVPN通信の優先制御など、実務では欠かせない設定となっています。

ポリシールーティングは、宛先IPアドレスだけでなく、送信元IPアドレス、ポート番号、プロトコルなど、複数の条件に基づいて経路を決定する仕組みです。通常のルーティングテーブルよりも優先的に評価されるため、柔軟な経路制御が可能になります。

以下の表でスタティックルートとポリシールーティングの違いを比較します。

図1: ポリシールーティングの適用率（実務での利用シーン別）

最も典型的な利用例は、送信元IPアドレスに基づいた回線の振り分けです。例えば、経理部門（192.168.10.0/24）のインターネット通信だけを専用回線経由にし、他部署は通常回線を使用するといった設定が可能です。

IPsec VPNやSSL VPN宛のトラフィックを特定のゲートウェイ経由にすることで、通信の安定性を確保します。特に複数拠点間のVPN環境では、ポリシールーティングによる明示的な経路指定が有効です。

HTTPSトラフィックとその他のプロトコルで異なる経路を使用したり、特定の宛先ポート（例：TCP 3389のRDP通信）だけを管理用回線経由にするといった制御も実現できます。

ここでは、経理部門（192.168.10.0/24）のトラフィックを専用回線（wan2）経由にする設定例を紹介します。

CLIでの設定は以下のように行います。よりきめ細かな制御が可能です。

config router policy
    edit 1
        set input-device "internal"
        set src "192.168.10.0/255.255.255.0"
        set dst "0.0.0.0/0.0.0.0"
        set gateway 203.0.113.1
        set output-device "wan2"
    next
end

設定したポリシールーティングが正しく動作しているか確認するには、以下のdiagnoseコマンドを使用します。

# ポリシールートの一覧表示
get router info routing-table policy

# 特定IPアドレスの経路確認
get router info routing-table details 8.8.8.8

# ポリシールートのマッチング確認
diagnose firewall proute list

パケットがポリシールートにマッチしているかリアルタイムで確認するには、以下のコマンドを実行します。

diagnose debug flow filter saddr 192.168.10.10
diagnose debug flow show function-name enable
diagnose debug flow trace start 10
diagnose debug enable

出力結果に「matched policy route」と表示されれば、ポリシールーティングが正常に適用されています。

よくあるトラブルと解決方法をまとめます。

FortiGateにおける経路決定は以下の優先順位で行われます。理解しておくことでトラブルシューティングが容易になります。

図2: FortiGateの経路決定優先順位

複数のポリシールートを設定する場合、Sequence Number（優先度番号）が小さいものから順に評価されます。例えば、Sequence 5のルールがマッチすれば、Sequence 10以降は評価されません。

より具体的な条件（特定の送信元＋宛先）には小さい番号を、広範な条件（全送信元）には大きい番号を割り当てることで、意図した経路制御を実現できます。

# 優先度の確認
config router policy
    show
end

# 優先度の変更（edit番号を変更）
config router policy
    move 5 before 3
end