FortiGateのCLIコンフィグ取得方法｜show系コマンドと出力の見方

FortiGateの運用において、現在の設定状態を確認することは最も基本的かつ重要な作業です。Cisco機器とは異なる独自のコマンド体系を持つため、初めて触れる方は戸惑うことも多いでしょう。本記事では、実務で必須となるshow系コマンドの使い方を体系的に解説します。

FortiGateには「show」と「get」という2種類のコマンドが存在します。Ciscoに慣れている方にとって、この違いは最初に理解すべき重要なポイントです。

例えば、インターフェース設定を確認したい場合、「show system interface」で設定内容を、「get system interface physical」で現在のステータスを確認します。この使い分けが実務では非常に重要です。

最も基本的なのが、全体設定を確認するコマンドです。作業前後の確認や、バックアップ取得時に使用します。

# 全設定の表示（running-config相当）
show

# 完全な設定表示（デフォルト値含む）
show full-configuration

# 現在のコンフィグツリー位置の設定のみ
show | grep -f "interface"

実務では「show」コマンドの出力をテキストファイルに保存し、作業前後の差分を確認する作業が頻繁に発生します。SSHクライアントのログ機能を活用しましょう。

インターフェース設定やルーティング設定は、ネットワークトラブル時に最も確認頻度の高い項目です。

# インターフェース設定の確認
show system interface

# 特定インターフェースの設定確認
show system interface port1

# スタティックルートの確認
show router static

# ポリシールーティングの確認
show router policy

トラブルシューティングやステータス確認では、getコマンドとdiagnoseコマンドが主役になります。現場で使用頻度の高いものを紹介します。

インターフェースステータスの確認例を見てみましょう。リンクの状態やIPアドレスの付与状況が一目で確認できます。

FG-100F # get system interface physical
== [ port1 ]
name: port1   mode: static    ip: 192.168.1.1 255.255.255.0   status: up    
speed: 1000Mbps (Duplex: full)
== [ port2 ]
name: port2   mode: static    ip: 10.0.0.1 255.255.255.0   status: down    
speed: n/a

この出力から、port1はリンクアップして1Gbpsで稼働中、port2はリンクダウン状態であることが即座に判断できます。speedが「n/a」の場合はケーブル未接続を意味します。

通信ができない場合、まずセッションテーブルを確認します。diagnoseコマンドを使用します。

# セッション数の確認
diagnose sys session stat

# 特定IPアドレスのセッション確認
diagnose sys session filter src 192.168.1.100
diagnose sys session list

# セッションフィルタのクリア
diagnose sys session clear

ルーティングの問題を切り分ける際は、以下のコマンドを順番に実行していきます。

実務で活用するコマンド使用頻度

図1: 現場でのコマンド使用頻度（私の経験値）

設定変更作業では、作業前後のコンフィグを保存して差分を確認することが重要です。TeraTermやPuTTYのログ機能を使って自動保存する設定をしておきましょう。

# 作業前のコンフィグ保存コマンド
execute backup config tftp before_config.conf 192.168.1.10

# または手動でコピー（TeraTerm等でログ開始）
show
show full-configuration

主要確認項目とコマンドの対応表

図2: トラブル発生時の確認手順フロー