FortiGateでSD-WANはできます。FortinetのSD-WANの設計文書（FortiOS 7.0）は、SD-WANの機能は別のライセンスや追加の製品なしで、どのFortiGateにも設定できると説明しています。
今日やることは4つです。インターネットの出口が何本あるか、FortiOSの版はいくつか、保守契約のFortiCareはいつまでか、ポリシーが回線のポートを直接指していないか。管理画面と契約書を見れば、保守会社に電話する前に大半が分かります。
この4つで、買い替えを検討する前に今の機器で試せるかどうかを判断できます。私たちはFortinet製品を検証した立場ではないので、ここでは公式文書に書かれていることを整理します。
FortiGateのSD-WANは何をする機能？
複数の回線を束ね、通信ごとに使う回線を自動で選ぶ機能です。FortiOS 7.6の管理者ガイドでは、ポートをメンバーとして登録し、メンバーをゾーンにまとめる作りになっています。
通信の振り分けはSD-WANルールが受け持ちます。対象の通信を決め、回線の状態と選び方に従って出口を決めます。選び方の代表は次の2つです。
回線の品質は、Performance SLAという設定で測ります。FortiOS 7.6では、FortiGuardが用意した測定先の一覧から選ぶこともできます。
Lowest Costの「費用」は、請求額を自動で読むものではありません。ポートごとに管理者が入れる値で、低いほど優先されます。
買い替えなしで始められる条件は？
条件は機種名より、今の環境で決まります。次の5点を順に見てください。
出口の回線が2本以上あるか
1本なら選ぶ先がありません。回線を使い分けて止まりにくくしたい、混雑を避けたいという目的なら、先に2本目の契約が要ります。同じ通信事業者の回線を2本にするのか、別の事業者にするのかは、回線の契約側で確かめる話です。
FortiOSの版はいくつか
版によって画面と用語が変わります。たとえば負荷分散の「maximize bandwidth」は、FortiOS 7.4.1からLowest Cost (SLA)の中で設定する形に変わりました。手順を調べるときは、自社の版に合う文書を開いてください。
保守契約のFortiCareは有効か
FortinetのSD-WANの製品ページは、帯域幅、データ転送、サービス階層に基づくライセンスは要らないとしています。ただし、これはSD-WANの課金の話です。
Fortinetのコミュニティでは、スタッフが基本機能は組み込みで、最低限FortiCareはあるべきと答えています（2022年の回答）。別の回答では、アプリケーション制御とISDBの定義の更新に基本のFortiCare契約が要るとされています。アプリ名やサービス名で回線を振り分けたいなら、契約の範囲を販売店に確かめてください。
ポリシーと経路の作り直しが許容できるか
管理者ガイドによると、ポリシーが指せるのはゾーンで、個別のメンバーは指せません。回線のポートを直接指すポリシーが多い機器では、移行の作業量がここで決まります。
保守会社に設定を任せている場合は、作業の範囲と費用を見積もってもらい、夜間や休日に作業できる日を決めます。止められない工場がある会社ほど、ここに時間がかかります。
機器の処理性能に余裕があるか
回線を足しても、機器が処理できる量を超える通信は流せません。増やす回線の速度と、使っている防御機能を並べ、機種の公式データシートと比べてください。数字の読み方は次世代ファイアウォールの機能の整理に書いています。
工場と本社で考えるとどうなる？
たとえば、工場に光回線とモバイル回線の2本を引く製造業の場合で考えます。あくまで説明のための例です。
受発注や図面のやり取りに使うクラウドサービスは、Best Qualityで品質のよいほうへ流します。Web閲覧やソフトの更新はLowest Costにして、ふだんは光回線、基準を満たさなくなったときだけモバイル回線へ。モバイル回線に高い費用の値を入れておけば、ふだんはそちらへ流れにくくなります。
このとき決めておきたいのは、モバイル回線の通信量が足りるかどうかです。動画や大きな更新ファイルまで流すと、契約の容量を超えることがあります。どの通信を控えの回線に流さないかを、先に紙に書いてください。
設備の制御に使う通信は、回線の品質で経路が変わってよいのかを設備の担当者に確かめます。ここは情シスだけでは決められません。
どの順番で始める？
FortiOS 7.6にはSD-WAN Setup Wizardがあります。回線をメンバーにする、既定のゾーンを作る、品質の測定と振り分けを案内する、という流れです。社内の作業としては、次の順にすると切り戻しやすくなります。
- 今の設定を保存し、元に戻す手順を決める
- 2本の回線をメンバーにして、ゾーンを作る
- Performance SLAで品質の測定を始め、数日は振り分けずに値を見る
- 影響の小さい通信だけ、ルールを1本作る
- 片方の回線を止める試験をして、業務の通信を確かめる
3で値を見るのは、基準を決める材料にするためです。Best Qualityでは、既定で先に設定した回線が10%有利に扱われます。2本の品質が近いと、片方に寄ることがある点を知っておいてください。
SD-WANを入れても残る課題は？
SD-WANは回線の使い分けの機能で、守りを強くする機能ではありません。切り分けて考えてほしい点が3つあります。
1つ目は、機器そのものの更新です。警察庁の令和8年上半期の資料では、ランサムウェア被害組織へのアンケートで、侵入経路はVPN機器が約5割を占めます。同じ資料で、被害企業は中小企業が約6割、業種別では製造業が約3割です。FortiGateでVPNも動かしているなら、SD-WANの設定より先にFortiOSの更新の担当者と手順を決めてください。
2つ目は、社外で使うパソコンです。拠点の機器を通らない通信は、拠点のFortiGateからは見えません。社外の端末まで同じ方針で守りたいときは、SASE製品の比べ方を読み、必要な範囲を確かめてください。
3つ目は、拠点が増えたときの管理です。Fortinetの設計文書は、1台ずつの機能と、管理を集約した全体の仕組みを分けて説明しています。上のコミュニティの回答でも、集中管理のオーケストレーターなど一部はサブスクリプションが要るとされています。2拠点と20拠点では、見積もりの中身が変わります。
買い替えや他社製品を考えるのはどんなとき？
次のどれかに当たるなら、今の機器にこだわらず比べる価値があります。
- 機器の保守期限が近く、延長できない
- 必要な回線の速度に対し、機種の処理性能が足りない
- 拠点が多く、1台ずつの設定では回らない
- 社外の端末まで、回線とセキュリティを1つの契約にしたい
機能の違いはSD-WANの製品比較、機器の買い替えならUTM・ファイアウォールの比較、社外の端末まで含めるならSASEの製品比較で確かめられます。社内ネットワークの守り全体の順番は、ネットワークセキュリティのカテゴリにまとめています。
