1.検証ネットワーク構成

通常は上図のような検証構成をとる形かと思いますが、簡略版として下図のネットワーク構成をとります。

・通常の検証構成

・今回の検証構成

なお物理環境的にはvmware Workstation + ESXi のNested構成となっているため、このような特殊構成となっています。

2.FortigateVMからInternetへの通信

以下の設定を行います。
・FortigateVM port1へのインターフェース設定
・FortigateVM へのスタティックルート設定

2-1.インターフェース設定

左ペインから[ネットワーク] - [インターフェース]を開きます。

port1をダブルクリックで編集し、以下を設定します。
ロール：WAN
推定帯域幅：1024000 kbps ※100Mbps
アドレス - アドレッシングモード：マニュアル
アドレス - IP/ネットマスク：192.168.142.101/255.255.255.0
管理者アクセス - IPv4：HTTPS,HTTP,PING,SSH
※MNGと用途共有のため。用途共有しなければPINGのみ or 設定なし
その他 - ステータス：有効化済み

2-2.スタティックルート設定

左ペインから[ネットワーク] - [スタティックルート]を開きます。

[新規作成] を押下し、以下を設定します。
宛先：サブネット 0.0.0.0/0.0.0.0
ゲートウェイ：192.168.142.2
インターフェース：port1
ステータス：有効化済み

2-3.接続性確認

FortigeteVMのCUIからwww.google.comへの接続性確認を行います。
※DNSについてはデフォルトでFortiGuardサーバ向けの設定が入っているため、特に設定していません。

3.DMZからFortigateVMへの通信

以下の設定を行います。
・FortigateVM port2へのインターフェース設定
・DMZ Clientのスタティックルート設定

3-1.インターフェース設定

左ペインから[ネットワーク] - [インターフェース]を開きます。

port1をダブルクリックで編集し、以下を設定します。
ロール：DMZ
アドレス - アドレッシングモード：マニュアル
アドレス - IP/ネットマスク：10.0.1.101/255.255.255.0
管理者アクセス - IPv4：PING
その他 - ステータス：有効化済み

3-2.DMZ Clientのスタティックルート設定

こちらは使うものによって異なりますが、今回はWindowsなので以下を行っています。

route

route -p add 0.0.0.0 mask 255.255.255.0 10.0.1.101
route -p add 192.168.142.51 mask 255.255.255.0 192.168.142.2
route print

※事前にデフォルトルートが入っている場合は、route delete 0.0.0.0なども適宜必要

3-3.接続性確認

DMZ-ClientのWebブラウザ(IE)からwww.google.comへの接続性確認を行います。
この時点ではファイアウォールポリシー等の設定がされていないため、通信できません。
（暗黙のdenyにてブロックされている状態）

4.ファイアウォールポリシーの設定

FortigateVMにて、DMZ(port2)→WAN(port1)についてのファイアウォールポリシーを設定します。

4-1.デフォルトポリシー設定(暗黙の拒否)

左ペインから[ポリシー&オブジェクト] - [ファイアウォールポリシー]を開きます。

デフォルトでは [暗黙の拒否] がログに出力されない設定となっているため、変更します。

ダブルクリックで編集に入り、以下設定を変更します。
IPv4違反トラフィックをログ：On

ログに出力される設定となりました。

4-2.DMZ→WANポリシー設定

検証用設定のため、全く検査されないポリシーを作成しています。
商用本番機にはこのような設定をしないでください。

左ペインから[ポリシー&オブジェクト] - [ファイアウォールポリシー]を開きます。
[新規作成] から新規のポリシーを作成し、以下の設定を投入します。

名前：all_allow
着信インターフェース：port2　※DMZ
発信インターフェース：port1　※WAN
送信元：all
宛先：all
サービス：ALL
アクション：許可
インスペクションモード：プロキシベース
許可トラフィックをログ：On すべてのセッション
セッション開始時にログを生成：On
このポリシーを有効化：On
※上記以外はデフォルト

4-3.接続性確認

この設定後、DMZ-Client側からのInternet向け通信が出来るようになります。
DMZ-ClientのWebブラウザ(IE)からwww.google.comへ通信が確認できました。
（Ping,DNS,HTTP/s）

また、ログからも設定したポリシーを利用して通信が発生していることが確認できました。
（[ログ&レポート] - [転送トラフィック]）

参考