FortiGate HA 2025年10月1日

FGCPとは？

• FortiGate専用の最も利用されるHAプロトコル
• Active-Passive / Active-Active をサポート
• 同一モデル・同一ファームウェアが必須となる
• 管理者が意識するのは「HAグループ」と「ハートビートインターフェイス」

基本構成の考え方

• 2台1組で冗長化するのが一般的
• ハートビートインターフェイスを2本以上冗長化することが推奨
• セッション同期を有効にすることでフェイルオーバー時にユーザ影響を最小化
• セッション同期を有効にする場合はセッションシンク用インターフェイスを別に設けることが推奨。デフォルトの場合、ハートビートインターフェイスでセッションシンクのトラフィックも転送されるため、トラフィックが多い場合ハートビートパケットへの影響が懸念される。

CLIでの基本設定例

config system ha
    set group-id 10
    set group-name "HA-Group"
    set mode a-p
    set password <任意のパスワード>
    set hbdev "port3" 100 "port4" 50
    set session-pickup enable
    set override disable
end

• group-id: クラスタを識別するID
• mode: Active-Passive (a-p) / Active-Active (a-a)
• hbdev: ハートビート用インターフェイスと優先度
• session-pickup: セッション同期を有効化
• override: 優先度の高い方を強制的にマスターにするか

GUIでの設定例

• System → HA を開く
• Modeを Active-Passive に選択
• Group name / Group ID を入力
• Heartbeatインターフェイスを追加
• Override / Session-pickup の有効化

動作確認コマンド

get system ha status
diagnose sys ha status

• 現在のマスター/スレーブの役割
• セッション同期の状態
• Heartbeatインターフェイスのリンク状態

Tips（実運用上の注意点）

• ハートビートは必ず2本以上（異なるスイッチ経由が望ましい）
• 同一モデル・同一ライセンス状態であること
• ファームウェアは完全に一致させる
• マネジメントIPを使う場合は ha-mgmt-interface を設定
• SyslogやSNMPは ha-direct を利用可能