FortiSASE

1.FortiSASEとは

1.1 概要

・FortiGateで実施してきたネットワーク／セキュリティ機能をクラウド側まで拡張し、社外PCや拠点も同じ考え方で保護するSASEサービスです。
・特に、すでにFortiGateを使っている企業では移行しやすいのが大きな特徴です。

1.2 FortiSASEが求められる背景

(1)従来の形態

・従来のリモートアクセスでは、次のような構成が一般的でした。
・リモートPC→会社のVPN装置 / FortiGate　→社内システム
　　　　　　　　　　　　　　　　　　　または、折り返してインターネット

(2)従来の問題点

これにはいくつか問題があります。

課題	内容
セキュリティ面の脆弱性	インターネットに公開されたVPN装置を狙った攻撃への対応やパッチ管理が必要 セキュリティ面の問題はこちらに記載
通信の折り返し	Microsoft 365などを見るだけでも会社までVPNで戻る
帯域不足	本社のVPN装置・Internet回線に通信が集中
管理負荷	VPN装置の性能・冗長化・バージョンアップを自社で管理

Fortinet自身も、従来型VPNではリモートユーザーのInternet通信をデータセンターのNGFWまで戻す構成になる点をSASE導入の背景として説明しています。

1.3 FortiSASEの機能概要

(1)SIA、SPA、SSA

・FortiGateの機能を、Fortinetのクラウド上からサービスとして提供する仕組みで、FWaaS、SWG、ZTNA、CASB、SD-WANなどを組み合わせたサービスです。
・同様のサービスであるZscalerやPrismaAccessなどと対比すると、主な機能として、以下があります。

分類	機能	用途
SIA(Secure Internet Access)	FWaaS / SWG / URL・DNS Filter / IPS / AV / SSL Inspection / Application Control / DLPなど	Internet通信を保護
SPA(Secure Private Access)	ZTNA / FortiGate連携 / SD-WAN連携	社内サーバへのアクセス
SSA(Secure SaaS Access)	Inline CASB / API型CASBなど	Microsoft 365等のSaaS利用を制御

(2)関連用語

用語	正式名・意味	簡単に言うと
SASE	Secure Access Service Edge	ネットワークとセキュリティをクラウドでまとめて提供する考え方。私は、ゼロトラスト（SSE）＋SD-WANくらいに考えています
SSE	Security Service Edge	SASEのうちセキュリティ部分。SWG、ZTNA、CASB、FWaaSなどを含む
SWG	Secure Web Gateway	WebアクセスをFortiSASE経由にして、URLフィルタリングやマルウェア対策などを行う
FortiClient	PCなどに入れるFortinetのエージェント	FortiSASEへの接続、ZTNA、EPP、ポスチャチェックなどを行う
PoP	Point of Presence	ユーザーがFortiSASEへ接続するクラウド上の接続拠点
SD-WAN	Software-Defined WAN	複数のWAN回線を制御し、拠点間通信などを最適化する仕組み
Thin Edge	小規模拠点向けのFortiSASE接続方式	FortiAPやFortiGateなどからFortiSASEへ接続する
BOR	Branch On-Ramp	拠点のFortiGateやルーターからIPsec＋BGPでFortiSASEへ接続する方式
LAN Extension	VXLAN over IPsecによる接続方式	小規模拠点のLANをFortiSASEまでL2的に延伸する方式
ADVPN	Auto Discovery VPN	FortiGate間で必要に応じて動的にVPN経路を作る仕組み。SPAでも利用される
DEM	Digital Experience Monitoring	通信品質やユーザー体験を監視する
Security Posture	端末のセキュリティ状態	OS、AV、脆弱性、証明書などを確認し、アクセス可否の条件に使う
Posture Tag	ポスチャータグ	「AV有効」「Windows更新済み」など端末状態に応じて付けるタグ

1.4 ライセンスと価格

(1)必要なライセンス

用途	ライセンス
PC → FortiSASE → Internet	ユーザーライセンス
PC → FortiSASE → 社内FortiGate	ユーザーライセンス ＋ FortiGateごとのSPAライセンス
拠点FortiGate/Router → FortiSASE → Internet	ユーザーライセンス＋ Branch On-Ramp Location

(2)ユーザー単位の年間ライセンス

・Zcalerなどとは考え方が違い、この1つのユーザーライセンスに、SIA（インターネットアクセス）、SPA（社内システムへのアクセス）、SSA（SaaSアクセス）がまとめて含まれている。
・エディションごとの機能と参考価格

Edition	参考価格 ※日本ではありません	主な位置付け
Standard	$90 /ユーザー/年	基本的なSASE機能。Web Filter、IPS、ZTNA、DLP、FortiGateへの社内アクセスなど
Advanced	$117 /ユーザー/年	Standard＋Secure Browser、Agentless ZTNA、DEM、SOC連携など
Comprehensive	$351 /ユーザー/年	Advanced相当＋グローバルPoP展開向け

※価格の出典：https://nexus.e78partners.com/en-US/apps/448472/fortinet-fortisase/editions
・日本国内だけで利用し、FortiClientをPCへ入れられる一般的な企業なら、まずStandardを検討して十分だと思います。
・Agentless ZTNAやDEMまで欲しければAdvanced、世界各国へ大規模展開してPoP選択を広げたいならComprehensiveも検討ください。

1.5 他社との比較

(1)概要

・SASEとしての基本的な機能は、FortiSASE、Zscaler、Palo Alto NetworksのPrisma Accessで大きくは変わりません。
・いずれも、インターネットアクセスの保護、ZTNAによる社内システムへのアクセス、CASB、DLPなどを提供しています。
・その中で、思想の違いを整理すると以下です。

製品	特徴
FortiSASE	既存のFortiGate、FortiClient、FortiManagerとの統合が強い。オンプレのFortiGateを残したままSASEへ段階的に拡張しやすい
Zscaler	クラウドファースト色が強い。Internet向けのZIAとPrivate Application向けのZPAを中心に、オンプレFWに依存しないゼロトラスト構成を作りやすい
Prisma Access	Palo Alto NetworksのFirewallやPrisma SD-WANを利用している企業との親和性が高い。FortiSASEと同様、既存ネットワークとの統合を重視した構成も可能

・また、FortiSASEは「SASEのためにFortiClientを入れる」のですが、実際にはそのFortiClientを使って、VPN/ZTNAだけでなく、端末保護・ポスチャ・脆弱性管理・ソフトウェアインベントリまでかなりまとめて実施できます。
・ZscalerやPrisma Accessでもデバイスポスチャなどは可能ですが、本格的なEndpoint Protectionについては、他のEndpoint Security製品との連携・併用になることでしょう。

(2)FortiSASEが向いている企業と導入メリット

・FortiSASEは、特にすでにFortiGateを多く導入している企業と相性がよいサービスです。
・従来の境界型ネットワークを全面的にゼロトラストへ移行しようとすると、ネットワーク構成や社内システムへのアクセス方法を大きく変更する必要があります。特に、社内に多数のサーバや既存システムを持つ企業では、大規模な変更は簡単ではありません。
・たとえば、完全なゼロトラストのネットワークにする場合、以下のような設定変更作業が想定されます。

変更対象	具体的な作業
ネットワーク構成	従来のVPN中心の構成から、SASE経由のInternet／社内アクセスへ通信経路を変更する
IPアドレス設計	既存セグメント、拠点間のアドレス重複、SASE・IPsec用のアドレス、NAT後の送信元IPなどを確認・再設計する
ネットワーク機器	既存FW／VPN／ルータの設定変更、場合によっては新規機器やConnectorを追加する
ルーティング	社内向け、Internet向けの経路を再設計し、Static Route、BGP、IPsecなどを設定する
Firewall／NAT	通信経路や送信元IPが変わるため、Firewall Policy、NAT、アクセス許可を見直す
認証基盤	Entra ID、Okta、ADなどと連携し、SSO、MFA、ユーザー／グループを設定する
PC／端末	Agentのインストール、証明書配布、DNSや通信設定などを変更する
社内システム	接続元IP制限、DNS、証明書、アクセス許可などを新構成に合わせる

・FortiSASEであれば、既存のFortiGateや社内ネットワークを活かしながら、まずはリモートアクセスやインターネットアクセスからSASE／ゼロトラスト化を進めることができます。

1.6 中身はFortiGateと同じ？

・FortiSASEとFortiGateは同じ製品ではありませんが、同じFortiOSをベースにしていて、共通する機能が多いと言えます。

項目	FortiGate	FortiSASE
提供形態	アプライアンス / VM	クラウドサービス
OS・技術基盤	FortiOS	FortiOSベース
設置場所	自社・クラウド等	FortinetのSecurity PoP
運用	自社で管理	基盤はFortinetが管理
バージョンアップ	自社で実施	サービス側で実施
Firewall / IPS等	○	○
Web Filter / DNS Filter	○	○
SSL Inspection	○	○
SD-WAN / IPsec	○	○
物理ポート等の設定	○	―
FortiGate固有の全機能	○	すべて使えるわけではない
SASE向け機能	一部	○
CASB / SaaS制御	一部・連携	○
リモートユーザーを最寄りPoPへ収容	―	○

Q.FortiSASEはユーザーごとにFortiGate-VMが作られる？

A.顧客ごとに隔離された「FortiSASE instance（環境）」が提供されます。ただし、これを「顧客ごとにFortiGate VMが1台ある」と考えるのも正確ではありません。

2.インターネットへのアクセス（SIA）

2.1 SIAについて

(1)概要

・SIA（Secure Internet Access）は、PCなどからインターネットへのアクセスを安全に行うFortiSASEの機能です。
・イメージとしては、ZscalerのZIA（Zscaler Internet Access）に相当します。
・PCからインターネットへ直接アクセスするのではなく、通信をFortiSASEのPoP（Point of Presence）に送り、そこでセキュリティチェックを行ってからインターネットへ接続します。

(2)従来からの変化

インターネット通信については、以下の変化があります。

従来	FortiSASE
PC→インターネット→VPN装置（会社）→インターネット→サーバ	PC→インターネット→POP（FortiSASE）→インターネット→サーバ

いわゆるローカルブレイクアウト（Internet直抜け）に近い考え方です。

(3)機能概要

主なセキュリティ機能は以下です。

機能	説明
Firewall as a Service（FWaaS）	インターネット向け通信をクラウド上のFirewallで制御
Web Filter	危険なサイトや業務上不要なWebサイトへのアクセスを制御
Application Control	アプリケーションを識別して通信を制御
IPS	脆弱性を狙った攻撃など不正な通信を検知・遮断
Antivirus	マルウェアを検知・遮断
Sandbox	未知のファイルなどを解析
DNS Filter	危険なドメインへの名前解決などを制御
SSL Inspection	HTTPS通信を復号して内部を検査
DLP	機密情報の外部送信を検知・制御
Inline CASB	Microsoft 365などのSaaS利用を識別・制御

FortiSASEでは、SWG、FWaaS、IPSなどが別々の製品ではなく、FortiSASE上で統合されています。

2.2 接続方法と構成

(1)接続方法

・FortiSASEのSIAでは、大きく以下の接続方法があります。

方式	接続方法	対象
Agent-based	FortiClientからFortiSASEへVPN接続	PCなど
Agentless	PACファイルを使ったProxy接続	エージェントを入れられないPC
Site-based	FortiGate、FortiExtenderなどからFortiSASEへ接続	企業・支店・小規模拠点

・基本となるのはFortiClientを利用するAgent-based方式です。

(2)FortiClientによる接続

・PCにFortiClientをインストールして、FortiSASEへ接続します。
・FortiClientはFortiSASEとの間にFull TunnelのSSL-VPNを構築し、インターネット向けの通信をFortiSASEへ転送します。
・そのため、HTTP/HTTPSだけではなく、基本的にすべてのインターネット向け通信をFortiSASEのFWaaSで検査できます。
・ここはZscalerでいう、ZCC→Z-Tunnel→ZIA→Internetという構成に近いです。

(3)企業・拠点からの接続

・企業や支店では、PC1台ずつにFortiClientを入れる以外にも、拠点単位で通信を保護できます。
・代表的な構成は以下です。

方式	構成	特徴	向いているケース
FortiGateでローカルブレイクアウト	PC → FortiGate → Internet	FortiSASEを経由せず、FortiGateのWeb Filter、IPS、AV、Application Controlなどで保護	既に各拠点にFortiGateがある場合
Branch On-ramp	PC → FortiGate → IPsec → FortiSASE → Internet	拠点全体の通信をFortiSASE PoPへ送り、クラウド側で検査	拠点とリモートユーザーのポリシーをFortiSASEへ統合したい場合
FortiExtender	PC → FortiExtender → FortiSASE	小規模拠点をFortiSASEへ収容	小規模拠点、5G/LTE回線を使う拠点
FortiAP	Wi-Fi端末 → FortiAP → FortiSASE	FortiGateを置かず、Wi-Fi端末をFortiSASEへ収容	Microbranch、小規模店舗など

Q.FortiExtenderって何？

A.FortiExtenderは5G/LTE回線をWAN回線として利用するためのゲートウェイ／ルータです。FortiExtenderには5G/LTEモデムやEthernetポートを備えたモデルがあり、屋内用、車載用、屋外用などがあります。
https://www.fortinet.com/jp/products/extender

(4)SSLインスペクション

インターネット通信の多くはHTTPSで暗号化されています。
そのままでは通信の中にあるマルウェアや機密情報を十分に確認できないため、FortiSASEではSSL Inspectionを利用します。
FortiSASEでは標準ではCertificate Inspectionが利用され、必要に応じてDeep Inspectionを有効にできます。
・FortiSASEで管理しているFortiClientの場合、Deep Inspectionに必要なCA証明書をFortiSASE Endpoint Management Serviceから端末へ配布できます。

(5)名前解決

・FortiClientを利用したAgent-based SIAでは、FortiSASE側にDNSのルールを設定できます。
・外部ドメインの名前解決には、標準ではFortiGuard DNSを利用できます。また、Google（8.8.8.8）やプロバイダなどを利用することもできます。
・社内ドメインなどについてはSplit DNSを設定し、社内DNSを利用する構成も可能です。

(6)インターネットアクセス時の送信元IPアドレス

・FortiSASEを経由してインターネットへアクセスすると、インターネット側からはFortiSASEのPoPのPublic IPアドレスから通信しているように見えます。
・これにより、以下が可能です。

・Microsoft 365などで送信元IPアドレスを制限する
・取引先のFirewallでFortiSASEからの通信だけ許可する
・SaaS側の許可IPアドレスとして登録する

・さらにSource IP Address Anchoringを利用し、特定の通信について決められたPublic IPアドレスから出す構成も可能です。こちらはDedicated Public IPとは別の機能・ライセンス条件があります。

3. 社内システムへのアクセス（SPA）

・Fortinetではこの社内アクセス機能を SPA（Secure Private Access） と呼び、PoPとFortiGateを接続する仕組みを Service Connection と呼びます。
・Service Connectionは基本的に IPsec + BGP で構成されます。FortiSASEのPoPがSpoke、社内FortiGateがHubになるイメージです。

3.1 基本構成

・インターネットへのアクセスはFortiSASEのPoPから直接出しますが、社内システムへの通信は、FortiSASEのPoPから社内のFortiGateへ転送します。
・代表的な構成は次のとおりです。

FortiSASEでは、この仕組みをSPA（Secure Private Access）と呼びます。
PoPとFortiGateの間はIPsec VPNによる暗号化トンネルで接続し、BGPによって社内ネットワークへの経路を交換します。
・FortiSASEのPoPはSpoke、社内のFortiGateはHubとして動作します。

Q.では、PoPと社内FortiGateのIPsec VPNはどうやって張る？

A.FortiSASE PoPそのものがFortiOSベースのセキュリティ処理とIPsec終端機能を持っており、PoPから社内FortiGateへ直接IPsecを張ります。
このとき、IPsecの外側（Outer IP）の送信元IPは、FortiSASE Security PoPのPublic IPアドレスです。

3.2 ライセンス

(1)必要なライセンス

必要なもの	課金単位	ポイント
FortiSASE Remote User Subscription	ユーザー単位	・Standard / Advanced / Comprehensive ・1ユーザーで最大3デバイスまで利用可能 ※4台目を登録すると、さらに1ユーザー分のライセンスを消費 ・SIAだけでなくSPAも含まれる
FortiGate SPA / SD-WAN Service Bundle	FortiGate単位	すべてのFortiGateではなく、SPAのHubになるFortiGateに必要 ・HA構成の場合は、各HAメンバーに必要

Q.SPAの帯域がボトルネックになることはない？

A.あります。FortiSASEでは、デフォルトで各PoPあたり合計300 MbpsのSPA throughputが設定されています。多数のユーザーが同じPoPから社内システムへ大量通信する場合は注意が必要です。300 Mbpsを超える通信が必要な場合は、接続先FortiGate側に十分な帯域があれば、FortiCare Supportへ依頼してSPA throughputを増やすことができます。実際の提供条件・費用についてはFortinetまたは販売代理店への確認が必要です。★要確認

(2)FortiGateモデルによる差異

FortiGate	Bundle 1 価格の目安	Bundle 2 価格の目安	付属するユーザライセンス
6xG以上	本体定価の50%/年	本体定価の35%/年	5～100ユーザー付属
30G～50G、6xF以下、対象Eシリーズ	本体定価の50%/年	本体定価の35%/年	付属なし
FortiGate VM	Bundle対象外	Bundle対象外	別途SPA SKU

・Bundle 1は、既存Security Bundleを持っていない顧客向けのフル版で、FortiCare Premiumも含みます。価格はFortiGateハードウェア定価の50%/年（目安）。Bundle 2は、すでにUTPやEnterprise ProtectionなどのSecurity Bundleを契約している顧客向けの追加版なので35%/年（目安）。
・FortiGateのクラスによってFortiSASE Standardユーザーライセンスが最初から付属します。

FortiGateクラス	付属するFortiSASE Standardユーザー
60G以上	5ユーザー
100F以上	10ユーザー
700G以上	50ユーザー
1800F以上	100ユーザー

なので、例えば100Fで100人で利用するなら、残り90ユーザー分のFortiSASE Remote User Subscriptionを追加します。

(3)FortiCloudアカウントにも注意

・FortiSASEの契約を登録しているFortiCloudアカウントと、SPA Hubとして利用するFortiGateのFortiCloudアカウントは同じにする必要があります。
・つまり、以下の3つを同じFortiCloudアカウントの配下で管理する必要があります。
　a)FortiSASE Remote User Subscription　
　b)FortiGate SPA / SD-WAN Service Bundle
　c)SPA Hubとして利用するFortiGate

3.3 既存FortiGateを使えるのが強み

すでにFortiGate SD-WANを構築している場合、FortiSASE PoPをそのSD-WANネットワークのSpokeとして参加させられます。IPsec OverlayとBGPを使って既存FortiGate Hubと接続します。

SD-WANを使っていない通常のFortiGateでも、FortiSASE SPA Hubとして構成して、PoPとのIPsec/BGP接続を作る方式があります。

PC → FortiSASE PoP → IPsec＋BGP → FortiGate → 社内システム

そのあとに「なお、TCPアプリケーションではZTNA Access Proxyを使う構成もある」と補足するのが正確です。FortinetもSPAとして、広範なTCP/UDP向けのIPsec/SD-WAN方式と、TCPアプリケーション向けのZTNA方式を分けて説明しています。

3.4 FortiGateとのIPsec接続

(1)概要

・FortiSASEでは、PoPとFortiGateの接続をService Connectionと呼びます。
・基本的にはFortiSASE PoPがSpoke、FortiGateがHubとなり、IPsecで通信を暗号化し、BGPで社内ネットワークへの経路を交換します。

(2)IPsecの接続先を設計する

まず、どのFortiGateをFortiSASEとの接続点にするかを決めます。
一般的には、本社やデータセンターなど、社内システムへの経路を持つFortiGateをHubとして利用します。

設計項目	内容
FortiGate	本社・データセンターなどのFortiGateをHubにする
FortiSASE PoP	SpokeとしてFortiGateへ接続
接続方式	IPsec VPN
経路交換	BGP
認証	PSKまたは証明書などを利用

既存のFortiGateを利用できるため、SPAを導入するためだけに社内ネットワーク全体を大きく変更する必要はありません。

(3)FortiSASE側を設計・設定する

FortiSASE側では、FortiGateとのIPsec接続やBGPによる経路交換に必要な情報を設定します。

大きく分けると、「BGPの共通設定」と「Service Connectionの作成」を行います。

設定項目	FortiSASE側で行うこと
BGP Routing Design	BGP per overlay、BGP on loopbackなどの方式を決める
ASN	FortiSASE側で利用するBGPのAS番号を設定
BGP用IPアドレス	BGP Router IDなどで利用するアドレスを設計
Service Connection	接続先となるFortiGateをHubとして登録
Remote Gateway	FortiGate側のPublic IPアドレスを指定
認証	FortiGate側と合わせてPSKまたは証明書を設定
BGP Peer	FortiGateとのBGPピア情報を設定

つまりFortiSASE側では、

「どのFortiGateへIPsecで接続するのか」
「どのように認証するのか」
「BGPでどのように経路交換するのか」

を設定します。

複数のFortiGate Hubを利用する場合は、どのHubを優先するかや、通信状態を確認するHealth Checkについても設計します。

(4)FortiGate側を設計・設定する

FortiGate側では、FortiSASE PoPからのIPsec接続を受け付けるHubとして設定します。

主に以下を設計・設定します。

設定項目	FortiGate側で行うこと
WAN側	FortiSASEからIPsecを受けるInternet側インターフェースを決める
IPsec	FortiSASE PoPからの接続を受け付けるIPsec VPNを設定
認証	FortiSASE側と同じPSKまたは証明書を設定
トンネル内IP	IPsecおよびBGPで利用するIPアドレスを設定
BGP	FortiSASEとBGPピアを確立し、社内ネットワークの経路を通知
Firewall Policy	FortiSASEから社内システムへの必要な通信を許可

つまりFortiGate側では、FortiSASE　→　IPsec　→　FortiGate　→社内LAN　という通信経路を作ります。

単にIPsec VPNを張るだけではなく、BGPによる経路交換とFirewall Policyまで含めて設定する必要があります。

(5)BGPとIPアドレスを設計する

FortiSASEとFortiGate間では、基本的にBGPを利用して経路を交換します。

たとえば社内ネットワークが10.1.0.0/16であれば、FortiGateからFortiSASEへその経路を通知します。

PC → FortiSASE → FortiGate → 10.1.0.0/16

これによって、FortiSASE側の利用者が社内ネットワークへアクセスできるようになります。

FortiSASEではBGP per overlayとBGP on loopbackという設計方式があります。通常はデフォルトであるBGP per overlayをベースに検討すると分かりやすいでしょう。

また、SPA導入前には既存ネットワークのIPアドレスとの重複にも注意します。

FortiSASEでは内部処理などで予約されているアドレス帯があります。代表的には10.252.0.0/16、10.253.0.0/16は顧客ネットワークでは利用できません。

また、100.65.0.0/16はデフォルトのIPAM Private IP Address Poolとして使用されるため、この設定を利用する場合は社内LANとの重複を避ける必要があります。

既存ネットワークですでにこれらのアドレスを利用している場合は、FortiSASE側のIPAM設定や既存ネットワーク側のIPアドレス設計を確認します。

(6)冗長化を設計する

本番環境では、FortiGateやInternet回線の障害によって社内システムへ接続できなくならないよう、冗長化も検討します。

冗長化する対象	設計例
FortiGate	HA構成にする
Internet回線	複数回線を利用する
接続先	複数のFortiGate Hubを用意する
拠点・データセンター	複数拠点へService Connectionを構成する

たとえば、本社側のFortiGateだけではなく、DRサイトや別データセンター側のFortiGateにもService Connectionを構成しておけば、一方に障害が発生した場合に別のHubを利用できます。

どこまで冗長化するかは、社内システムの重要度や求める可用性に応じて決めます。

4.FortiSASEの設定

4.1 設計の全体像

(1)シンプルなネットワーク構成図

以下の単純化したNW構成図で考えてみる

(2)設定パラメータ例

❶IPアドレス設計

対象	パラメータ	設定値
FortiGate	WAN(port1)	198.51.100.10
FortiGate	LAN(port2)	192.168.1.99/24
社内システム	IPアドレス	192.168.1.200/24

❷FortiSASE
・基本設定

項目	設定値
リモートアクセスユーザー	user1@test.dom
Service Connection名	SC-HQ
Remote Gateway	198.51.100.10
IPsec事前共有鍵	forisase-psk
BGP ASN	65001
BGP Router ID Subnet（PoP用）	10.255.0.0/28
BGP Peer IP（FortiGate側）	10.254.0.253

・ポリシー

項目	設定値
送信元	Remote-Users
宛先	192.168.1.200
許可サービス	ICMP、TCP/443
ログ	有効

❸FortiGate
・基本設定
・IPsecトンネル
・BGP経路制御
・アクセス制御設定
など

4.2 実際の設定画面

(1)管理画面とダッシュボード

・管理画面右上の歯車アイコンから、表示言語を変更できます。日本語にも対応していますが、メニュー名を確認しながら設定する場合は英語表示の方が分かりやすいこともあります。

・「Monitoring」→「Dashboards」→「Status」は、FortiSASE全体の稼働状況を確認する画面です。サービスの状態、ユーザー数、接続中の端末などをウィジェットで確認できます。以下は接続前の画面です。

(2)ユーザー管理・認証（Access & authentication）

・「Access & authentication」→「Users and groups」は、認証に利用するユーザーとグループを管理する画面です。「Create」から新しいユーザーやグループを登録できます。

・ユーザーの追加時には、LDAP、グループ、SSO、ローカルユーザーなどの方式を選択できます。既存の認証基盤を利用するか、FortiSASE側でユーザーを管理するかに応じて選びます。

・ローカルユーザーを作成する場合は、メールアドレスなどを登録します。画面にはInvitation Code（招待コード）が表示され、ユーザーのFortiSASE登録に利用します。メールアドレスの登録だけで認証が完了するわけではありません。

・「Access & authentication」→「SSO」では、SAMLを利用したシングルサインオンを設定します。IdPと連携するため、Base URL、Entity ID、Assertion Consumer Service（ACS）URL、証明書などを確認・設定します。

・「Access & authentication」→「RADIUS」→「Create」は、RADIUSサーバーの登録画面です。Access Typeを「Public」にするとインターネット側から到達可能なサーバーを、「Private」にするとSPA経由で到達するサーバーを利用します。社内RADIUSサーバーを指定する場合は、先にSPAと経路の設定が必要です。

(3)端末管理（Endpoint management）

■セキュリティポスチャタグ

・「Endpoint management」→「Security posture tags」では、端末の状態を条件にして、セキュリティポスチャタグを付与するルールを作成できます。以下はWindows端末のアンチウイルス状態を判定するルールの例です。

・ポスチャの判定条件（Rule type）には、アンチウイルス、証明書、脆弱性、ドメイン、FortiClientのバージョン、OSのバージョンなど、さまざまな項目があります。

・ルールセットの作成画面では、名前や通知メッセージ、Windows／macOS／Linux／iOS／Androidなど対象OS別の適用条件を設定できます。条件に合致した端末にタグを付与し、そのタグを後述の通信ポリシーで利用します。

■端末プロファイル（FortiClientの動作設定）

・「Endpoint management」→「Configuration」→「Endpoint profiles」で、FortiClientに配布する端末プロファイルを作成します。「Connection」タブでは、FortiSASEへの自動接続、接続先ゲートウェイ、切断操作の可否などを指定できます。

・「On/off-net」タブは、端末が社内ネットワーク（On-net）にいるか、社外ネットワーク（Off-net）にいるかに応じた動作を設定する画面です。図ではOff-net時の接続動作や、ローカルLANアクセス、DNSの優先設定などが表示されています。

・「FortiClient GUI settings」タブでは、端末側FortiClientの表示・操作項目を制御します。たとえば、ポスチャタグの表示、通知、デバッグログの生成、設定のバックアップに関する項目があります。

・「Protection」タブでは、マルウェア保護の動作を設定します。次世代アンチウイルス（NGAV）、定期スキャン、アンチランサムウェア機能、保護対象フォルダーなどを指定できます。利用できる機能はライセンスや端末側の構成によります。

・同じ「Protection」タブの下部では、脆弱性スキャンやリムーバブルメディア制御なども設定できます。スキャン実施条件やメディアのアクセス制御を端末プロファイルで管理します。

・「Groups & AD Users」タブでは、端末プロファイルを適用するユーザーやグループを指定します。なお、これはFortiClientの動作を配布する設定であり、先ほどのポスチャタグによる通信許可・拒否とは役割が異なります。

・ポスチャタグを作成しただけでは、端末の通信が自動的にすべてブロックされるわけではありません。通信制御を行うには、「Security」→「Traffic」→「Policies」で、そのタグを条件にした許可・拒否ポリシーを設定します。

(4)通信ポリシー（Security → Traffic → Policies）

・「Security」→「Traffic」→「Policies」では、FortiGateのファイアウォールポリシーに相当するアクセス制御を設定します。画面には既定のインターネットアクセス用ポリシーなどが表示されています。利用構成に応じて、SIA／SPA向けのポリシーを管理します。

・「Create」で新しいポリシーを作成します。送信元スコープ、セキュリティポスチャタグ、ユーザー、宛先、サービス、スケジュール、アクション（Accept／Deny）などを指定します。社内システムへのアクセス制御では、SPA向けのポリシーを設定します。

・アクションを「Accept」にすると、適用する「Profile Group」を選択できます。WebフィルターやIPSなどを個別に並べるのではなく、複数のセキュリティ機能をまとめたプロファイルグループをポリシーに割り当てます。許可通信を記録する場合は、「Log Allowed Traffic」の「All Sessions」なども設定します。

(5)セキュリティプロファイル（Security → Traffic → Security profiles）

・「Security」→「Traffic」→「Security profiles」は、FortiGateでいうUTM・セキュリティプロファイルに相当する機能の設定画面です。アンチウイルス、Webフィルター、IPS、DLP、DNSフィルター、アプリケーション制御などをまとめて確認できます。

■プロファイルグループ

・画面右上の「Profile Group」から、既存のプロファイルグループを切り替えたり、新規作成したりできます。用途に応じてグループを分け、通信ポリシーから選択する仕組みです。

・プロファイルグループの新規作成画面です。名前を付け、アンチウイルス、Webフィルター、IPS、DLP、アプリケーション制御、SSL Inspectionなど、各機能の有効・無効を組み合わせます。

■SSL Inspection

・「SSL Inspection」はHTTPS通信の検査方法を設定する画面です。「Certificate Inspection」は主に証明書情報を確認する方式、「Deep Inspection」は暗号化された通信を復号して検査する方式です。Deep Inspectionでは端末が信頼するCA証明書の配布なども必要になります。

■Webフィルター

・「Web filter with inline-CASB」では、FortiGuardのカテゴリに基づいてWebサイトへのアクセスを許可・監視・ブロックする設定ができます。独自カテゴリを利用した制御も可能です。

・Webフィルターのカテゴリ別アクション設定の例です。たとえば、フィッシングや不正サイトに該当するカテゴリをBlockにするなど、カテゴリごとに動作を指定します。

■IPS（侵入防止）

・「Intrusion prevention」では、推奨設定（Recommended）、Critical、Moderate、Customなどから検査レベルを選択できます。既知の攻撃パターンを検出し、通信を制御する機能です。

・「IPS signatures and filters」には、適用するシグネチャやフィルターが表示されます。検査対象やアクションを必要に応じて確認・調整します。

・カスタムフィルターの詳細画面です。シグネチャの種類、深刻度、対象OS、アクション、パケットログなどの条件で、適用するIPSシグネチャを絞り込めます。

■アプリケーション制御・Inline CASB

・「Application control with inline-CASB」では、通信をアプリケーションやカテゴリ単位で識別し、許可・監視・ブロックを設定できます。画面にはCloud IT、Remote Access、Social Mediaなどのカテゴリが並んでいます。

■DLP（情報漏えい防止）

・「Data loss prevention（DLP）」のルール作成画面です。検査対象となるセンサー、ファイル種別、通信プロトコル、検知時のアクション（Allow／Monitor／Block）などを指定し、機密データの不適切な送信を制御します。

(6)ネットワーク（Network）

■DNS

・「Network」→「DNS」では、FortiSASEを利用する端末の名前解決先を設定します。初期状態では暗黙のDNSルール（Implicit DNS Rule）にFortiGuard DNSが指定されています。

・「Create」からDNSルールを追加できます。たとえば、社内ドメインの問い合わせ先として社内DNSサーバーを指定する場合に使用します。社内DNSサーバーを利用するには、SPA経由などで到達できることが前提です。

■BGP

・「Network」→「BGP」は、SPAで接続するFortiGateなどとの経路交換に関する設定画面です。BGPのルーティング方式、FortiSASE ASN、ハブの選択方法、ヘルスチェックなどを設定できます。

■IP management

・「Network」→「IP management」→「Public IP」では、FortiSASEのSecurity PoPやAnalytics PoPのパブリックIPアドレスを確認できます。社外のサービス側で接続元IPアドレスを許可リストに登録する場合などに利用します。

■Geofencing

・「Network」→「Geofencing」では、国・地域に基づく接続制御を設定できます。図の「Regional access to FortiSASE」タブでは、すべて許可（Allow all）、指定地域のみ許可（Allow specified）、指定地域を拒否（Deny specified）から選択します。

・同画面の「Regional compliance」タブでは、接続元の国・地域に応じて、利用するSecurity PoPやオンプレミスゲートウェイへの接続先・優先順位を制御できます。上のキャプチャはRegional access側の画面です。

(7)接続状況・ログ（Operations）

■接続端末

・「Operations」→「Connectivity」→「Endpoints」は、管理対象端末の一覧画面です。端末のユーザー名、管理状態などを確認できます。以下はまだ端末を接続していないため、一覧が空の状態です。

■セキュリティログ

・「Operations」→「Logs」→「Security」は、セキュリティ関連ログの確認画面です。アンチウイルス、IPS、Webフィルター、DLP、アプリケーション制御、SSL Inspectionなど、機能別にログを選択できます。

■通信ログ（Traffic）

・「Operations」→「Logs」→「Traffic」では、通信ログを確認できます。画面では「All internet & private access traffic」「Internet access traffic」「Agentless ZTNA」など、ログの種類を選択します。実際の通信ログは、端末から通信を発生させた後に確認します。

■ログ保存・転送設定

・「Operations」→「Logs」→「Settings」は、ログの保存期間や外部へのログ転送などを設定する画面です。画面例にはログの保存日数や転送先に関する項目が表示されています。設定できる期間や機能は契約条件によって異なります。

(8)システム設定（System）

■HTMLテンプレート

・「System」→「HTML templates」では、通信をブロックした際などにユーザーへ表示するメッセージ画面を管理します。Webフィルター、アプリケーション制御、IPSなど、用途別のテンプレートがあります。

・「Application Control Block Page」の編集画面です。左側でユーザーに表示されるブロックページを確認し、右側でHTMLテンプレートを編集できます。自社向けの案内文などに変更する場合に利用します。

4.2 端末

(1)全体像

・FortiSASEを利用してPCからInternetへアクセスする場合、大きく「FortiClientを利用する方式」と「エージェントレスSWG」の2つがあります。

項目	FortiClient	エージェントレスSWG
ソフトウェア	FortiClientをインストール	原則不要
FortiSASEへの通信	FortiClientがFortiSASEへのトンネルを作成	Web通信をProxyとしてFortiSASEへ転送
PC側のProxy設定	原則不要	必要
CA証明書	FortiSASEから自動配布可能	端末へ配布・インストールが必要
認証	FortiClientで認証	SWGで認証。SAML SSOを推奨
対象通信	Web以外も含めたInternet通信	主にHTTP/HTTPSなどProxyを利用するWeb通信

・通常の会社支給PCなど、FortiClientをインストールできる端末ではFortiClient方式が基本になります。
・一方、FortiClientをインストールできない端末や、WebアクセスだけをFortiSASEで保護したい場合は、エージェントレスSWGを利用できます。

(2)FortiClientを利用する場合

・通常は、PCにFortiClientをインストールしてFortiSASEを利用します。
・FortiClientにInvitation Codeを設定してFortiSASEへ接続すると、FortiClientがFortiSASEに登録されます。すると、FortiSASE側で設定したEndpoint Profileなどが端末へ適用されます。
・そのため、基本的にはPCごとにProxyサーバのアドレスなどを手動設定する必要はありません。
・また、HTTPS通信をDeep Inspectionする場合はCA証明書が必要ですが、FortiClientを利用している端末にはFortiSASEからCA証明書を自動配布できます。そのため、通常は利用者がCA証明書を手動でインストールする必要もありません。

(3)FortiClientを利用しない場合（エージェントレスSWG）

・FortiClientをインストールせず、FortiSASEをSWG（Secure Web Gateway）として利用する方法もあります。
・この場合は、PCにエージェントをインストールする代わりに、主に以下の設定が必要です。
　a)Proxy設定：FortiSASEからPAC（Proxy Auto-Configuration）ファイルのURLが提供される
　b)FortiSASEのCA証明書のインストール：FortiSASEのCA証明書をPCの信頼されたルート証明書ストアへインストール
　c)ユーザー認証：ID/パスワードをProxy認証で都度入力する方式よりも、SAMLによるSSOを利用する構成を基本として考えるとよいでしょう。

4.2 FortiClientの展開

(1)全体像

・FortiClientを利用する場合、まず管理者がFortiSASEを利用するユーザーを登録します。
・ユーザーはFortiSASEに直接登録するほか、Active DirectoryやMicrosoft Entra IDなどの既存の認証基盤と連携することもできます。
・その後、利用者のPCへFortiClientをインストールし、そのFortiClientを自社のFortiSASE環境へ接続します。
・具体的には、FortiClientにInvitation Codeを設定してFortiSASEへ接続します。これにより、そのPCがFortiSASEの管理対象端末として登録されます。
・登録されると、FortiSASEからEndpoint ProfileやSIAで利用するVPN設定などがFortiClientへ配布されます。

(2)少数のPCへ展開する場合

・少数のPCや検証環境であれば、FortiSASEからFortiClientを案内して、利用者自身にインストールしてもらうことができます。
・大まかな流れは以下です。
　a)管理者がFortiSASEにユーザーを登録する
　b)管理者が利用者へFortiClientのダウンロード方法を案内する
　c)利用者がFortiClientをインストールする
　d)FortiClientをFortiSASEへ登録する
　e)FortiSASE側のEndpoint Profileなどが端末へ適用される
・FortiSASEでは、利用者へFortiClientのダウンロードリンクをメールで送信できます。
・また、FortiClientをFortiSASEへ登録する際にはInvitation Codeを利用します。

方法	概要
Pre-configured Installer	Invitation Codeなどをあらかじめ組み込んだFortiClientを利用する。利用者がInvitation Codeを手入力する作業を減らせる
Manual Installer	FortiClientをインストールした後、利用者がInvitation Codeを入力する

(3)大量のPCへ展開する場合

・企業内の大量のPCへFortiClientを展開する場合、1台ずつ手動でインストールする必要はありません。
・既存の端末管理環境を利用して、一括配布できます。

方法	用途
手動インストール	少数PC・検証
GPO	Active Directory環境
SCCM / Configuration Manager	Windows PCの大量配布
Microsoft Intune	Entra ID / MDM環境
FortiClient EMS	FortiClientを集中管理している環境

・たとえば、FortiClientのインストーラーをIntuneからPCへ配布する際に、Pre-configured Installerと組み合わせれば、利用者は基本的にFortiClientのインストールやInvitation Codeの入力を行う必要はありません。必要に応じて、初回利用時のユーザー認証を行う程度です。

5.共通機能

5.1 FortiClient

(1)概要

FortiClientは単なる「FortiSASEへ接続するVPNクライアント」ではなく、かなり多機能です。特にFortiSASE契約では、端末管理・EPP・脆弱性管理まで含まれる点が大きいです。

(2)FortiClientの主な機能

FortiClientには、大きく以下の役割があります。

分類	主な機能	内容
FortiSASE接続	SASEトンネル	最寄りのFortiSASE PoPへ通信を転送
リモートアクセス	ZTNA / VPN	社内システムへの安全なアクセス
デバイスポスチャ	端末状態確認	OS、AV、Firewall、脆弱性などを確認
アンチウイルス	NGAV / Malware Protection	マルウェアやランサムウェアを端末側で検知・防御
Sandbox	未知ファイル検査	FortiSandboxと連携して未知マルウェアを検査
脆弱性管理	Vulnerability Scan	OSやアプリケーションの脆弱性を検出
パッチ管理	Auto Patching	対応する脆弱性を自動修正
アプリ制御	Application Firewall	端末上のアプリケーション通信を制御
USB制御	USB Device Control	USBデバイスの利用を制御
資産把握	Software Inventory	インストール済みソフト、バージョン等を収集
端末管理	Endpoint Inventory	ユーザー、OS、IP/MAC、FortiClientバージョン等を把握

(3)デバイスポスチャ

・FortiSASEを利用する際に、FortiClientがPCを調査して、Windows FirewallはONか？アンチウイルスは動作中か？AV定義ファイルは最新か？などをチェックできます。
・そして、条件を満たす→「Compliant」タグ→社内システムへのアクセス許可という設定ができます。
・設定できる条件

分類	確認できる条件の例
OS	Windows / macOSなどのOS種類、OSバージョン
アンチウイルス	AVがインストールされているか、動作しているか
AV定義ファイル	ウイルス定義ファイルが最新か
Firewall	Windows Firewallなどが有効になっているか
プロセス	指定したプロセスが実行されているか
アプリケーション	指定したソフトウェアがインストールされているか
脆弱性	Critical / Highなど一定以上の脆弱性が存在しないか
Sandbox	FortiSandboxでマルウェアが検出されていないか
ドメイン	指定したWindowsドメインに参加しているか
ファイル	指定したファイルが端末上に存在するか
レジストリ	指定したWindowsレジストリ値が存在するか
証明書	指定した証明書が端末に存在するか

(4)脆弱性管理

・FortiClientが端末をスキャンして、 Windows、Chrome、Zoom、その他アプリの脆弱性をチェックができます。

確認できる内容	例
インストール済みソフト	Chrome、Zoom、Firefoxなど
ベンダー	Microsoft、Google、Adobeなど
バージョン	Chrome 130.xなど
導入端末数	そのソフトが何台に入っているか
導入端末	具体的にどのPCに入っているか

・さらに、対応しているソフトウェアについては、 脆弱性を検出 → 自動パッチ適用まで可能です。
・例えば、Google Chrome、Microsoft Edge、Firefox、Adobe Acrobat Readerなどでは、自動パッチに対応した脆弱性があります。ただし、「Chromeなら常に自動更新できる」という意味ではなく、脆弱性やバージョンによっては手動更新が必要になる場合もあります。

(5)資産管理

ある程度できます。

確認できる情報	例
ユーザー	ログインユーザー
端末	PC名など
OS	Windows / macOS等
IP / MAC	端末のネットワーク情報
FortiClient	バージョン、接続状態
脆弱性	検出された脆弱性
Posture Tag	Compliant / Non-Compliant等
インストールソフト	Chrome、Zoom、Adobe Reader等
ソフトバージョン	ベンダー、Version等

(6)ライセンスによる違い

機能	Standard	Advanced	Comprehensive
Endpoint Protection Platform	○	○	○
Sandbox	○	○	○
Vulnerability Management	○	○	○
デバイスポスチャ / ZTNA	○	○	○
最大デバイス数	3台/ユーザー	3台/ユーザー	3台/ユーザー
Agentless ZTNA	－	○	○
Digital Experience Monitoring	－	○	○

つまり、Standardでも、かなりのセキュリティ機能が使えます。
Advancedにする主な理由は、FortiClientのアンチウイルス強化というより、Agentless ZTNA、Secure Browser、DEMなどFortiSASEサービス側の追加機能です。

5.2 既存FortiGateとの「同期」

・FortiGateとFortiSASEが直接、全設定を自動で双方向同期するわけではありません。
・FortiManagerを使うことで、複数のFortiGateの集中管理が行えます。FortiSASEも、クラウド上に仮想のFortiVMがあるようなものですから、管理対象の一つとして、ForiManagerで管理ができます
★ということは、ForiSASEは、ユーザごとに専用のVMを構築している？→違うなら、どうやってる？
・例えば、Firewall Policy、Web Filter、IPS、Application Controlなどの対応設定をFortiManagerからFortiSASEへ同期できます。設定としては、FortiManagerで設定変更し、Installを実行すると反映されます。
・ただし現時点では、FortiManager → FortiSASEの一方向同期であり、すべてのFortiGate設定をそのまま同期できるわけではありません。

Q.FortiGate側で直接設定を変更したら？

A.FortiManager管理下のFortiGateでも、FortiGateへ直接ログインして設定変更すること自体はできます。FortiManagerのAuto-updateはデフォルトで有効で、FortiGateで直接変更された設定をFortiManager側へ通知・取得できます。★ということは、他のFortiGateやFortiSASEにもその設定が反映される？

原則としてFortiManagerから変更することが推奨。

5.3 ユーザー認証

(1) 認証の全体像

・FortiSASEでは、FortiClientから接続してきたユーザーが誰なのかを認証してから、インターネットや社内システムへのアクセスを許可します。
・代表的には、Microsoft Entra IDやOktaなどの既存の認証基盤を利用します。

(2)利用可能な認証基盤

認証方法	認証情報を持つ場所	主な用途
Microsoft Entra ID	Microsoftクラウド	Microsoft 365利用企業など。最も一般的
Okta	Oktaクラウド	既にOktaをIdPとして利用している企業
OktaなどSAML対応IdP	各IdP	Google Workspaceなど
FortiAuthenticator	FortiAuthenticator	Fortinet製品で認証基盤を統合
FortiSASEローカルユーザー	FortiSASE	小規模・検証用途など

(3)FortiSASE自身にユーザーを持たせる

・FortiSASEにはローカルユーザーを作成する機能があります。
・設定は、FortiSASEのAccess & authentication > Access >Users and groups からローカルユーザーを作成できます。
・FortinetのZTNA構成ガイドでは、FortiSASEやFortiGate上のローカルユーザーを本格運用に利用することは推奨していません。

5.4 ログ管理

(1)ログの保存期間

・FortiSASEでは、Traffic Log、Security Log、Event LogなどをFortiSASE上で確認できます。
・25.3.a以降にProvisioningされたFortiSASE環境では、ログ保存期間は2～7日の範囲で設定します。以前から利用している環境では最大30日まで設定できる場合があります。
・監査やインシデント調査などで、それ以上の期間ログを保存する必要がある場合は、FortiAnalyzerやSyslogサーバなどの外部サーバへログを転送します。

6.ADVPN

6.1 ADVPNとは

(1)概要

ADVPN（Auto Discovery VPN）は、「Auto Discovery」とあるように、各拠点が通信先となる拠点のFortiGateを動的に発見し、必要に応じて拠点間の直接VPN（Shortcut Tunnel）を自動生成する仕組みです。

(2)メリット

・「Hub＆Spokeの管理しやすさ」と「フルメッシュVPNの通信効率」を両立できること

通常の拠点間VPN	あらかじめ両拠点間のVPN設定を作成します。拠点が増えるほど、接続先ごとにVPN設定が必要になり、フルメッシュ構成では設定数が急増します。
ADVPN	各拠点（Spoke）は基本的にHubとのVPNを持っておけばよく、拠点間動的なVPNトンネルを「Shortcut Tunnel」が自動で作成

・メリット整理すると、以下になります。

特徴	内容
Hub経由を削減	拠点間を直接通信できる
遅延を削減	本社やDCを迂回しなくてよい
Hubの負荷を削減	拠点間通信がHubに集中しにくい
拠点追加が容易	全拠点とのVPNを個別設定する必要がない

(3)Shortcut Tunnel作成の流れ

・最初は、「拠点A → Hub → 拠点B」の通信をする
・この通信をきっかけに、拠点AのFortiGateが、「拠点Bへ直接到達できるFortiGateはどこにいるのか」を動的に発見（Discovery）
・拠点A ←Shortcut Tunnel→ 拠点B　という直接のIPsec VPNを自動的に作成

6.3 SD-WANとの関係

・ADVPNとSD-WANは別の機能ですが、組み合わせて利用するケースが多くあります。
・役割を簡単に分けると、
SD-WAN：「どの回線を使うか」を決める
ADVPN：「どの拠点へ直接VPNを作るか」を決める