FortiGateのVDOM（仮想ドメイン）とは？設定手順と使い分けを解説

2026年4月10日

ネットワーク

FortiGateを導入する際、1台の物理ファイアウォールで複数の組織やプロジェクトを管理したいケースがあります。VDOM（Virtual Domain：仮想ドメイン）は、まさにそんなニーズに応える強力な機能です。本記事では、VDOMの基本概念から実際の設定手順、運用での使い分けまでを詳しく解説します。

👷 現場での体験談

かつてマルチテナントのデータセンターでFortiGateを運用していた際、VDOM機能を使って各テナントのネットワークを完全分離しました。物理的に複数台のFWを用意するよりコストを大幅削減でき、管理も集約できて効率的でした。

ただし、VDOM間のルーティング設定を誤ると通信が通らなくなり、夜中に呼び出されたこともあります。設計段階での十分な計画が重要です。

VDOM（仮想ドメイン）とは何か

VDOM（Virtual Domain）は、1台の物理FortiGateを複数の独立した仮想ファイアウォールとして動作させる機能です。各VDOMは完全に分離された設定とポリシーを持ち、あたかも複数台のファイアウォールが稼働しているように動作します。

項目	説明
分離レベル	設定・ポリシー・ルーティング・ログがすべて独立
リソース共有	CPU・メモリなどの物理リソースは全VDOM間で共有
管理者権限	VDOM単位で管理者アカウントを割り当て可能
対応モデル	FortiGate 60F以上のミドルレンジ以上が対象

VDOMの主な利用シーン

VDOMは次のような場面で特に有効です。

図1: VDOMの利用シーン別割合

マルチテナント環境

78%

部署別ネットワーク分離

62%

開発/本番環境分離

48%

コンプライアンス対応

34%

VDOMの有効化とライセンス確認

VDOMを使用するには、まずライセンスとモデルの対応を確認する必要があります。FortiGate 60Fシリーズ以上であれば基本的に対応していますが、VDOM数には上限があります。

VDOM有効化の手順

グローバル設定でVDOM有効化

System > Settings から「Virtual Domains」をEnableにします。この設定変更には再起動が必要です。

CLI からの有効化確認

CLI経由で設定する場合は次のコマンドを使用します。

config system global
    set vdom-mode multi-vdom
end

# 再起動
execute reboot

新規VDOMの作成

再起動後、System > VDOM から新しいVDOMを作成できます。デフォルトで「root」VDOMが存在します。

config vdom
    edit "TENANT-A"
    next
    edit "TENANT-B"
    next
end

⚠ 注意

VDOM有効化後、既存の設定はすべて「root」VDOMに移動されます。VDOM有効化前に必ず設定のバックアップを取得してください。また、VDOM数の上限はライセンスとモデルにより異なります。

VDOM間通信の設定（Inter-VDOM Link）

異なるVDOM間で通信を行う場合、Inter-VDOM Link（仮想リンク）を設定する必要があります。これは物理インターフェースではなく、VDOM間を仮想的に接続する論理リンクです。

Inter-VDOM Linkの作成手順

# グローバル設定で仮想リンクを作成
config global
config system vdom-link
    edit "vlink-root-tenantA"
        set type ethernet
    next
end
end

# root VDOMでインターフェース設定
config vdom
edit root
config system interface
    edit "vlink-root-tenantA0"
        set ip 10.255.1.1 255.255.255.252
        set allowaccess ping
    next
end
next
end

# TENANT-A VDOMでインターフェース設定
config vdom
edit TENANT-A
config system interface
    edit "vlink-root-tenantA1"
        set ip 10.255.1.2 255.255.255.252
        set allowaccess ping
    next
end
next
end

Inter-VDOM Link作成後、各VDOM側でスタティックルートとファイアウォールポリシーを設定することで、VDOM間通信が可能になります。

図2: VDOM間通信のパフォーマンス比較

物理インターフェース

95%

Inter-VDOM Link

88%

NPU処理有効時

92%

CPU処理のみ

68%

実務でのVDOM利用パターン

実際の現場では、以下のようなパターンでVDOMを活用します。

利用シーン	VDOM構成	メリット
マルチテナント	テナント毎に独立VDOM作成	完全分離、セキュリティ向上
部署別分離	営業・開発・管理部門でVDOM分割	ポリシー管理の簡素化
開発/本番分離	VDOM-DEV、VDOM-PROD	障害影響の局所化
ISP冗長化	ISP-A用、ISP-B用でVDOM分割	ルーティング管理が容易

マルチテナント環境での実装例

例えば、3つのテナントを収容するデータセンターの場合、次のような構成が一般的です。

# VDOM構成
- root (管理用)
- TENANT-A (テナントA用)
- TENANT-B (テナントB用)
- TENANT-C (テナントC用)

# 各テナントVDOMに割り当てる物理ポート
config global
config system interface
    edit "port1"
        set vdom "TENANT-A"
    next
    edit "port2"
        set vdom "TENANT-B"
    next
    edit "port3"
        set vdom "TENANT-C"
    next
end
end

VDOM運用時の注意点とトラブルシューティング

VDOMを本番環境で運用する際は、以下の点に注意が必要です。

リソース管理の重要性

全VDOMでCPU・メモリを共有するため、特定VDOMで高負荷が発生すると他VDOMにも影響します。Resource Limitを設定することで、VDOM毎のリソース使用上限を制御できます。

# VDOM毎のセッション数制限
config vdom
edit TENANT-A
config system settings
    set gui-session-limit 10000
end
next
end

# CPU使用率の確認
diagnose sys vdom list
get system performance status

よくあるトラブルと対処法

トラブル	原因	対処法
VDOM間通信不可	Inter-VDOM Linkの設定漏れ	vdom-linkとルート設定確認
管理画面にログイン不可	VDOMコンテキストが誤り	VDOM名を明示指定
パフォーマンス低下	特定VDOMのリソース占有	リソース制限設定追加
ライセンス不足	VDOM数上限超過	ライセンスアップグレード