FortiGateでpingが通らない原因と対処法！設定手順と注意点

本ページはプロモーションが含まれています

FortiGateでpingが通らない場合、ネットワークの疎通確認やトラブルシューティングが困難になります。pingが通らない原因には、さまざまな設定上の問題が潜んでいることが多く、FortiGateを使いこなすにはこれらを解消する方法を知っておくことが重要です。

本記事では、FortiGateでpingが通らない問題に焦点を当て、許可設定の見直しからコマンドの使い方、インターフェース指定でのpingテスト手順、IPsec接続やVDOM環境での対応策まで幅広く解説します。特にWANからLANへのping疎通確認や、ポート指定での通信確認方法、pingを打ち続ける際の効果的な手順、tracerouteで応答がない場合の対処法など、見落としがちなポイントも含めてお伝えします。

pingの設定は、正しく行うことで必要な通信のみを許可し、不必要なトラフィックを遮断できます。また、ファイアウォールポリシーの見直しやコマンドの適切な使用法によって、pingが通らない際のトラブル発生時にも迅速に対応することが可能です。

FortiGateのユーザーが抱える、「なぜpingが通らないのか？」という疑問を解決するための情報を網羅していますので、ぜひ参考にしてください。

記事のポイント

FortiGateでpingが通らない原因とその対策方法
FortiGateのファイアウォールポリシーやインターフェース設定でのping許可手順
IPsec接続時やVDOM環境でのping疎通確認のポイント
WANからLANへのpingやポート指定での通信確認方法とトラブルシューティング

FortiGateでpingが通らない原因と対策

FortiGateでpingを許可する設定方法
pingコマンドの基本的な使い方
インターフェース指定でのpingテストの手順
IPsec接続時にpingが通らない場合の確認ポイント
VDOM環境でのping設定と注意点

FortiGateでpingを許可する設定方法

FortiGateでpingを許可する設定は、ネットワークの疎通確認やトラブルシューティングにおいて重要な作業です。pingの設定を適切に行うことで、必要な通信だけを通過させるように制御できます。ここでは、FortiGateでpingを許可するための手順について詳しく解説します。

FortiGateでpingを許可するには、「ポリシーとオブジェクト」から適切なルールを設定し、必要なインターフェース間でICMP（Internet Control Message Protocol）を通過させる必要があります。ICMPはpingを行うために使用されるプロトコルで、FortiGateではこの通信を制御することが可能です。

FortiGateのデフォルト設定ではセキュリティ上の観点からpingが許可されていないケースがあるため、明示的に設定を行う必要があります。

具体的な設定手順は次のとおりです。

管理画面にアクセスする FortiGateの管理画面にログインします。通常、ブラウザでFortiGateのIPアドレスを指定し、管理者のIDとパスワードでアクセスします。
「ポリシーとオブジェクト」メニューから設定を行う 管理画面の「ポリシーとオブジェクト」タブを開き、「ファイアウォールポリシー」を選択します。この中でpingを許可したいインターフェース間の通信ルールを作成または編集します。
プロトコルの許可 「サービス」セクションで「ICMP」を選択します。ICMPの許可はpingの通信を通すために必要な設定です。その他の不要なプロトコルは許可しないように注意しましょう。
インターフェースの指定 pingを許可したいインターフェースを「送信元インターフェース」と「宛先インターフェース」で指定します。例えば、LANからWANへpingを許可したい場合、送信元インターフェースに「LAN」、宛先インターフェースに「WAN」を指定します。
設定の保存 すべての設定が完了したら、ポリシーを保存して有効化します。これで、指定したインターフェース間でpingが許可されるようになります。

なお、必要に応じてセキュリティログを有効化することで、ping通信の状況をモニタリングすることが可能です。

pingコマンドの基本的な使い方

pingコマンドは、ネットワーク機器間の通信が正常に行われているかを確認するための基本的なコマンドです。使い方はシンプルで、トラブルシューティングやネットワーク接続の確認に幅広く用いられています。ここでは、pingコマンドの基本的な使用方法を解説します。

pingコマンドは、特定のIPアドレスまたはホスト名に対してICMPエコーリクエストを送信し、その応答を確認するためのものです。これにより、相手先デバイスが正常に応答するかどうか、通信経路に問題がないかを確認できます。

具体的な使い方は次のとおりです。

基本的なpingコマンドの実行 コマンドプロンプトやターミナルで「ping [対象のIPアドレスまたはホスト名]」と入力します。例えば、「ping 192.168.1.1」や「ping www.example.com」と入力することで、そのIPアドレスまたはホスト名への疎通確認を行います。
連続してpingを送る場合 Windows環境では、「ping -t [IPアドレス]」のように「-t」オプションを使用すると、指定した対象に対してpingを打ち続けることができます。これは、ネットワークの状態が安定しているか、長時間にわたって監視したいときに有用です。
pingの回数やサイズを指定する 特定の回数だけpingを送りたい場合は、「-n」オプションを使用します。例えば、「ping -n 5 192.168.1.1」とすると、5回だけpingを送ります。また、「-l」オプションでパケットサイズを指定することも可能です。「ping -l 1000 192.168.1.1」とすると、1000バイトのパケットを送ります。
結果の確認 pingコマンドを実行すると、対象への応答時間（ms）やパケットの損失率などの情報が表示されます。応答時間が極端に長かったり、パケットが失われる場合、ネットワークに何らかの問題がある可能性があります。

なお、FortiGateや他のファイアウォール機器を通してpingを行う際、適切に設定がされていないとpingが通らないことがありますので、その際はFortiGateの設定を確認することが大切です。

インターフェース指定でのpingテストの手順

インターフェースを指定してpingテストを行うことは、FortiGateで特定の通信経路を確認したいときに非常に有効です。通常のpingテストでは、送信元インターフェースが自動的に選択されますが、通信の経路やルーティングを確認する場合には、どのインターフェースからpingを送信するかを指定する必要があります。

FortiGateでインターフェースを指定してpingを行う場合、CLI（コマンドラインインターフェース）を使用することが基本的な手順となります。GUIからは送信元インターフェースを細かく指定できないため、CLIのコマンドを使って詳細なテストが可能です。

具体的な手順は以下の通りです。

CLIにアクセスする FortiGateのWeb管理画面からCLIコンソールを開くか、SSHなどのリモートアクセスツールを使ってCLIに接続します。
pingコマンドの入力 CLI上でpingを実行するには、「execute ping-options source [インターフェース名]」コマンドで送信元インターフェースを指定します。例えば、「execute ping-options source port1」とすると、「port1」インターフェースからpingを送信する設定になります。
対象ホストへのping実行 送信元インターフェースを指定した後、「execute ping [ターゲットのIPアドレスまたはホスト名]」でpingを実行します。例えば、「execute ping 192.168.1.1」と入力すると、指定したインターフェースからそのIPアドレスにpingが送信されます。
結果の確認とトラブルシューティング pingの結果を確認し、応答が返ってくるかどうか、パケットの損失や遅延がないかをチェックします。指定したインターフェースでpingが通らない場合、FortiGateのファイアウォールポリシー設定やルーティング設定を見直す必要があります。

IPsec接続時にpingが通らない場合の確認ポイント

FortiGateでIPsec接続を構築している場合、pingが通らないケースはよく見られます。これは、IPsecのトンネル内でICMPがブロックされている場合や、設定の不備が原因であることが多いため、複数のポイントを確認する必要があります。

IPsec接続時にpingが通らない場合の主な確認ポイントは「ファイアウォールポリシー設定」「ルーティング設定」「トンネルステータス」の3つです。これらの設定が適切でないと、pingが通らなくなります。

以下に具体的な確認手順を示します。

ファイアウォールポリシーの確認 IPsecトンネルを通過するトラフィックに対するファイアウォールポリシーが正しく設定されているかを確認します。特に、ICMPトラフィックが許可されているかがポイントです。「ポリシーとオブジェクト」から該当するIPsecトンネルのポリシーを開き、サービスに「ICMP」が含まれていることを確認してください。
ルーティングの設定 トンネル経由で通信する場合、適切なルートが設定されている必要があります。「ネットワーク」→「静的ルート」などの設定で、IPsecトンネルの先にあるネットワークへの経路が正しく指定されているかを確認します。ルートがない場合、pingが通らない原因となります。
トンネルのステータス確認 IPsecトンネルが確立されているか、トンネルのステータスを確認します。「VPN」→「IPsecトンネル」からステータスを確認し、トンネルがアップしているかどうかを確認します。トンネルがダウンしている場合、pingは当然通らないので、まずはトンネルを確立させることが重要です。
NATトラバーサル（NAT-T）の設定 IPsec接続時にNATを越えた通信が必要な場合、NATトラバーサルの設定が正しく行われているか確認します。FortiGateではNAT-Tがデフォルトで有効になっているはずですが、必要に応じて設定を見直してください。

VDOM環境でのping設定と注意点

FortiGateのVDOM（Virtual Domain）環境では、各VDOMごとに独立した設定が可能であり、複数のネットワークセグメントを分離して管理する際に有用です。しかし、VDOM環境でpingを行う際には、通常のFortiGate環境とは異なる設定が必要で、注意点もいくつかあります。ここでは、VDOM環境でpingを設定する方法と、設定時の注意点について解説します。

まず、VDOM環境でpingを設定する際の基本的なポイントは、「どのVDOMからどのVDOMに向けてpingを行うか」を明確にすることです。VDOMはそれぞれが独立した仮想ファイアウォールのように機能するため、VDOM間の通信を許可する設定を行わないとpingは通りません。

対象のVDOMにログイン FortiGateのGUIまたはCLIから対象のVDOMにログインします。GUIの場合、ログイン後に画面右上の「VDOM」ドロップダウンメニューから対象のVDOMを選択します。CLIの場合、「config vdom」コマンドでVDOMを指定してから設定を行います。
VDOM間のファイアウォールポリシー設定 VDOM間での通信を許可するために、ファイアウォールポリシーを設定します。ポリシー設定は通常のファイアウォールと同様で、送信元と宛先のVDOMを指定し、サービスで「ICMP」を許可する設定を追加します。このポリシーがないと、VDOM間でのpingは通らないので注意が必要です。
pingを行うインターフェースの指定 VDOM内でpingを行う際には、対象のインターフェースを指定する必要があります。「Network」→「Interfaces」から、pingを許可したいインターフェースの「Edit」メニューを開き、「Administrative Access」の項目で「Ping」を有効化します。これにより、該当インターフェースに対するpingが許可されます。
ルーティングの確認 VDOM間で通信を行う場合、適切なルート設定がされているかを確認します。ルーティングが正しく設定されていないと、pingが通らない場合があります。「Network」→「Static Routes」からルート情報を確認し、必要に応じてルートを追加します。

注意点

VDOMの分離性を考慮した設定 VDOMはネットワークの分離を目的としているため、不要なVDOM間の通信はセキュリティ上許可しないように注意しましょう。pingを許可する際も、必要最小限のポリシー設定に留めることが重要です。
VDOMごとの管理者権限 各VDOMにはそれぞれ管理者権限が割り当てられるため、pingの設定を行うには対象のVDOMの管理者権限が必要です。権限がない場合、ファイアウォールポリシーの設定やインターフェースの変更ができません。
トラブルシューティングの複雑さ VDOM間の通信でpingが通らない場合、問題がポリシー設定によるものなのか、ルーティングによるものなのか、インターフェースの設定によるものなのかの特定が難しい場合があります。各要素を個別に確認し、問題の切り分けを行うことが重要です。

FortiGateでpingが通らない際の詳細なトラブルシューティング

WANからLANへのping疎通確認方法
ポート指定でのpingテストとその手順
pingを打ち続ける方法とその効果
tracerouteで応答しない場合の対応方法
トラブル発生時の対処法

WANからLANへのping疎通確認方法

WANからLANへのping疎通確認は、外部から内部ネットワークにアクセスする際の通信状態をチェックする上で重要な作業です。この確認によって、外部のユーザーやネットワークデバイスが正しく内部のネットワークと通信できるかどうかを把握できます。ただし、FortiGateなどのファイアウォールが導入されている場合、WANからLANへのpingはセキュリティ上、通常ブロックされていることが多いため、正しい設定が必要です。

まず、WANからLANへのping疎通を確認するには、「ファイアウォールポリシーの設定」「インターフェース設定の見直し」「ログの確認」の3つのステップが重要です。

ファイアウォールポリシーの設定 FortiGateの管理画面で、「ポリシーとオブジェクト」→「ファイアウォールポリシー」から、WANからLANへ通信する際のポリシー設定を確認します。pingを許可するには、「サービス」項目で「ICMP」を含めることが必要です。このポリシーが正しく設定されていないと、WANからLANへのpingは通りませんので注意してください。
インターフェース設定の見直し 次に、WANとLANインターフェースの設定を確認します。「ネットワーク」→「インターフェース」からそれぞれのインターフェース設定を開き、「Administrative Access」で「Ping」を有効化します。これにより、指定のインターフェースでpingの受信が可能になります。ただし、セキュリティ上不要なインターフェースでのping許可は避けるべきです。
ログの確認とトラブルシューティング WANからLANへのpingが通らない場合は、「ログ&レポート」から関連する通信ログを確認します。ここで、pingの要求や応答がブロックされていないか、正しいルートで通信が行われているかをチェックします。必要に応じて、ルーティング設定の見直しやファイアウォールポリシーの修正を行いましょう。

ポート指定でのpingテストとその手順

pingコマンドは一般的にICMPを使用して疎通確認を行いますが、特定のポートでの疎通確認が必要な場合には「telnet」や「nc」コマンドを使用することが有効です。これは、特定のサービスが動作しているか、特定のTCP/UDPポートが開いているかを確認する際に非常に役立ちます。

ポート指定でのテストはpingとは異なる手法を用い、サービスの稼働確認やポートフィルタリングの問題を特定するために行います。以下に、FortiGate環境でのポート指定テストの方法を紹介します。

telnetコマンドの利用 特定のTCPポートに対して疎通確認を行いたい場合、まずは「telnet」コマンドを使用します。コマンドプロンプトやターミナルで「telnet [IPアドレス] [ポート番号]」と入力します。例えば、HTTPポート80に対してテストする場合は「telnet 192.168.1.1 80」とします。このコマンドで接続が成功すれば、該当ポートで通信ができることを意味します。
nc（Netcat）コマンドの利用 telnetコマンドが使用できない場合や、UDPポートの疎通確認を行いたい場合は、「nc」コマンドが便利です。TCPポートの場合は「nc -zv [IPアドレス] [ポート番号]」で、UDPポートの場合は「nc -zu [IPアドレス] [ポート番号]」を実行します。例えば、DNSのUDPポート53の確認を行う場合は「nc -zu 192.168.1.1 53」と入力します。
結果の確認 これらのコマンドを実行すると、接続の成功または失敗が表示されます。接続が成功すれば、指定したポートでの通信が許可されていることが確認できます。一方、接続が失敗した場合は、ファイアウォールのポリシーやネットワーク設定に問題がある可能性があるため、FortiGateの設定を確認する必要があります。

なお、特定のポートへのアクセスが許可されていない場合、ポリシーの修正や設定の見直しが必要です。ポート指定でのテストはセキュリティと密接に関係するため、テスト目的以外でのポート開放には十分注意しましょう。

pingを打ち続ける方法とその効果

pingを打ち続けることは、ネットワークの状態をリアルタイムで監視し、継続的に通信状況を確認するために有効な手段です。例えば、ネットワークの安定性の確認や、通信が一時的に途切れる瞬間を特定する際に使用されます。pingを一定時間継続的に送信することで、瞬間的なパケットロスや通信の遅延の発生を観察できます。

結論として、pingを打ち続ける方法は環境により異なりますが、WindowsやLinuxといったOSによってコマンドが異なります。また、効果的にpingを打ち続けることで、ネットワークの不具合の特定やパフォーマンスのモニタリングが可能となります。

Windowsでpingを打ち続ける方法

Windows環境では、「ping -t [IPアドレスまたはホスト名]」のコマンドでpingを打ち続けることができます。例えば、「ping -t 192.168.1.1」と入力すると、対象のIPアドレスに対して無限にpingが送られ続けます。打ち続けるpingを停止したい場合は、「Ctrl + C」を押すことで中止できます。

Linux/Unixでpingを打ち続ける方法

LinuxやUnix系のOSでは、「ping [IPアドレスまたはホスト名]」と入力するだけで、pingが打ち続けられます。停止したい場合も同様に、「Ctrl + C」で中止できます。Linuxの場合は、デフォルトで無限にpingが送られるため、特定の回数だけpingを打ちたい場合は、「ping -c [回数] [IPアドレス]」のように「-c」オプションで指定できます。

pingを打ち続ける効果

pingを打ち続けることで得られる効果は次のようなものがあります。

通信の安定性の確認：一定時間連続してpingを送ることで、ネットワークの安定性を確認できます。パケットロスや遅延の変動があれば、その瞬間にネットワーク障害が発生している可能性があります。
トラブルシューティングの支援：ネットワーク機器の障害やケーブルの断線、ファイアウォールの設定ミスなど、トラブルが発生している箇所を特定するために効果的です。pingの結果に応答がなくなる瞬間や遅延が増加する箇所を見つけることで、問題の原因を絞り込めます。
通信経路のパフォーマンス監視：pingの応答時間を監視することで、ネットワーク経路のパフォーマンスを把握できます。応答時間が安定しているか、あるいは特定のタイミングで遅延が発生するかを確認することで、ネットワークの品質を評価できます。

ただし、pingを打ち続けることがネットワークに負荷をかける場合もあるため、重要なネットワーク環境で実施する際は注意が必要です。

tracerouteで応答しない場合の対応方法

tracerouteは、ネットワーク経路の診断に使用されるツールで、対象のホストに到達するまでの経路を表示します。しかし、場合によっては、特定のホストで応答がない、あるいは経路が途中で途切れるといった状況が発生することがあります。これにはいくつかの原因があり、それぞれに応じた対応が必要です。

結論として、tracerouteで応答しない場合の主な原因は「ファイアウォールやルーターの設定」「ネットワーク障害」「対象ホストの設定」などが考えられます。以下に、それぞれの原因ごとに対応方法を説明します。

ファイアウォールやルーターの設定

多くのネットワークでは、セキュリティのためにICMPやUDPをブロックしている場合があります。tracerouteは、ICMPやUDPパケットを使用して経路をたどるため、途中のルーターやファイアウォールでこれらのパケットがブロックされていると応答が途絶えることがあります。この場合、ファイアウォールやルーターの設定を確認し、必要に応じて一時的にICMPやUDPの許可設定を行うと良いでしょう。

ネットワーク障害

tracerouteで特定の経路で応答がない場合、その経路上でネットワーク障害が発生している可能性があります。この場合、該当する経路を含むネットワーク機器（ルーター、スイッチなど）の状態を確認し、障害が発生していないか確認します。ネットワーク管理者と連携して問題箇所を特定し、復旧対応を行います。

対象ホストの設定

tracerouteの最終的な到達先で応答がない場合、対象ホストがICMPやUDPの応答を拒否している可能性があります。多くのサーバーでは、セキュリティのためにpingやtracerouteへの応答を拒否する設定がされています。この場合、対象ホストの管理者に問い合わせて、必要に応じて設定を変更するか、応答がない状態でも通信に問題がないか確認します。

使用するプロトコルの変更

tracerouteでは通常、ICMPまたはUDPを使用しますが、特定のネットワーク環境ではTCPを使用した方が効果的な場合があります。tracerouteの実行時にオプションを指定して、TCPプロトコルを使用するように変更してみるのも一つの方法です。「traceroute -T [IPアドレス]」のようにオプションを付与することで、TCPでの経路確認を試みることができます。

以上のように、tracerouteで応答がない場合は、その原因に応じた確認や設定変更が必要です。問題が特定できたら、適切な手順で対処し、ネットワークの経路が正常であることを確認してください。

トラブル発生時の対処法

ネットワークトラブルは突然発生することが多く、迅速な対応が求められます。特に、FortiGateなどのネットワーク機器に関連するトラブルでは、複数の原因が絡み合うことがあり、的確な対処法を知っておくことで問題の早期解決が可能となります。ここでは、一般的なネットワークトラブルが発生した際の対処法について解説します。

まず、トラブル発生時には「問題の特定」「適切な設定の確認」「再起動や再設定の実施」という3つのステップで対応することが基本的な流れです。

問題の特定

トラブルが発生した際、最初に行うべきことは問題の特定です。pingやtracerouteコマンドを使用して、どの経路で通信が途絶えているか確認します。例えば、特定のIPアドレスやホスト名へのpingが通らない場合、ネットワーク経路上の障害や、ファイアウォールの設定に問題がある可能性があります。

pingを使った疎通確認：対象デバイスやサーバーに対してpingを送り、応答があるかを確認します。これによって、物理的な接続やIPアドレスの設定の問題を簡単に確認できます。
tracerouteによる経路確認：pingで問題が確認できない場合、tracerouteを使って通信経路を調査します。どの経路で通信が止まっているかを特定することで、障害箇所の特定が容易になります。

適切な設定の確認

問題の原因がファイアウォールやルーターの設定にある場合、FortiGateの「ポリシーとオブジェクト」や「ルーティング設定」を確認します。トラフィックの許可設定、ポートの開放、NAT（ネットワークアドレス変換）の設定などが正しく行われているかチェックしましょう。

ファイアウォールポリシーの見直し：通信が遮断されている場合、ファイアウォールのポリシーが原因の可能性があります。必要なプロトコルやポートが正しく許可されているか確認し、適切なアクセスルールを追加・修正します。
ルーティングとNAT設定：特定の経路で通信ができない場合、ルーティングの設定が正しくない可能性があります。静的ルートの設定やNATの動作が期待通りであるか確認し、必要に応じて設定を見直します。

再起動や再設定の実施

設定に問題がない場合、デバイスの再起動や設定のリロードを行うことで問題が解決する場合があります。特に、設定変更を行った後は、その設定が有効化されているか、FortiGateの動作が正常にリフレッシュされているかを確認するために再起動が有効です。

デバイスの再起動：ハードウェアの不具合や一時的な設定の不整合が原因である場合、デバイスの再起動によって問題が解消することがあります。FortiGateのGUIから「再起動」機能を利用したり、CLIで「execute reboot」コマンドを実行することができます。
設定のバックアップとリストア：設定に問題があると考えられる場合は、設定をバックアップし、問題が発生する前の状態にリストアすることでトラブルを解消できます。設定の変更を行う際は、事前にバックアップを取得しておくことが重要です。