FortiGate Interface 2025年9月29日

FortiGateでLAGとVLANを組み合わせて構成する方法

なぜLAGとVLANを組み合わせるのか？

企業ネットワークでは、帯域拡張や冗長化のために LAG（リンクアグリゲーション）を利用しつつ、さらにネットワークを分割するために VLAN を併用するケースが一般的です。

LAGで物理的な冗長性と帯域拡張を確保
VLANで論理的なネットワーク分離を実現

これにより、拠点間やデータセンターとの接続において、効率的で柔軟なネットワーク設計が可能になります。

構成イメージ

[Switch側] ⇔ [FortiGate側]
LAG (port1, port2) LAG1 (port1 + port2)
├─ VLAN 100 (社内LAN) VLAN100 (LAG1.100)
└─ VLAN 200 (サーバLAN) VLAN200 (LAG1.200)

設定方法

1. LAGインターフェースを作成


config system interface
    edit "LAG1"
        set vdom "root"
        set type aggregate
        set member "port1" "port2"
        set lacp-mode active
    next
end

set type aggregate：LAGインターフェースを作成
set member：まとめる物理ポートを指定
set lacp-mode active：LACPを有効化（対向スイッチもLACP設定必須）

2. VLANサブインターフェースを作成


config system interface
    edit "VLAN100"
        set vdom "root"
        set ip 192.168.100.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "LAG1"     # 親はLAG
        set vlanid 100
    next
    edit "VLAN200"
        set vdom "root"
        set ip 192.168.200.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "LAG1"
        set vlanid 200
    next
end

VLAN100 → 社内LAN用
VLAN200 → サーバLAN用
親インターフェースは物理ポートではなく LAG1 を指定

GUIでの手順

[ネットワーク] → [インターフェース] を開く
新規作成 → インターフェース → VLAN を選択
親インターフェースに LAG1 を指定
VLAN ID と IPアドレスを設定して保存

注意点

対向スイッチ側でも同じ設定が必要
・LAGを作成（例：Ciscoなら channel-group、Arubaなら trunk）
・VLANをトランクポートとして許可する必要あり
Native VLAN（untagged通信）を使うかどうかは事前に設計する
SD-WANやFirewallポリシーはVLANサブIF単位で制御可能

Tips：VDOM分割とユースケース

LAGとそのVLANサブインターフェースは、別々のVDOMに所属させることも可能例：
LAG1（親）を root VDOM に置き、
LAG1.100 を VDOM_A、
LAG1.200 を VDOM_B に所属させる

ユースケース例

マルチテナント環境
　→ ISPやデータセンターで、1つのLAG物理リンクを複数顧客に分割して提供
社内ネットワークとDMZの分離
　→ VLAN100は社内LAN（VDOM_A）、VLAN200はDMZ（VDOM_B）として運
SD-WAN＋セキュリティ分離
　→ VLANごとに別VDOMに収容し、片方はVPN専用、もう片方はセキュリティ検査用として運用

まとめ

FortiGateでLAGとVLANを組み合わせることで、

帯域拡張
冗長化
ネットワーク分離

を同時に実現できます。さらにVDOMと組み合わせることで、マルチテナントやセキュリティドメインの分離といった高度な設計も可能です。