記事一覧に戻る
FortiGate HA 2025年10月1日

HA ManagementとHA-Directの設定と活用方法

はじめに

  • FortiGateをHA (High Availability) 構成で運用する際、管理アクセスの設計は重要です。
  • FGCPでクラスタを組むと「仮想IP」での管理は可能ですが、スタンバイ機へのアクセスやログ送信、外部連携などを考えると HA Management や HA-Direct の活用が有効です。
    本記事では、この2つの機能の違いと設定例、ユースケースを整理します。

HA Managementとは

  • 役割：HAメンバーごとに管理用IPを割り当て、個別アクセス可能にする。

  • 特徴：管理プレーン専用。データプレーンのユーザートラフィックには使えない。

設定手順

1. HA managementの有効化、管理インターフェイスの指定

config system ha
    set ha-mgmt-status enable
    config ha-mgmt-interfaces
        edit 1
            set interface "port1"
            set gateway 192.168.1.1
        next
    end
end

2. メンバーごとのIP割り当て

config system interface
    edit port1
        set ip 192.168.1.101/24   ← プライマリ
        set allowaccess ping https ssh
    next
end

# セカンダリでは
config system interface
    edit port1
        set ip 192.168.1.102/24   ← セカンダリ
        set allowaccess ping https ssh
    next
end

HA-Directとは

  • ha-direct enable とすることで、ha-mgmt-interface から直接 Syslog/SNMP/SFlow を送信可能となる。
  • ha-mgmt-interfacesの設定が前提。

設定手順

config system ha
    set ha-mgmt-status enable
    config ha-mgmt-interfaces
        edit 1
            set interface "port1"
            set gateway 192.168.1.1
        next
    set ha-direct enable
    end
end

ユースケース

HA Managementのみ

  • 管理者が各メンバーへ直接ログイン
  • 監視ツールで個別メンバーの死活確認

HA Management + HA-Direct

  • Syslogを各ユニットから直接外部Syslogサーバーへ送信
  • SNMP Trap/SFlowを専用管理プレーン経由で送信
  • 大規模環境で「管理アクセス」「ログ送信」を明確に分離

運用上の注意点

  • HA Mgmt用に指定したインターフェイスは、データプレーン通信には使えない。

  • ルーティングは専用テーブル（vsys-hamgmt-vdom）で扱われ、通常のroot VDOM(管理VDOM)とは分離されるため、ルーティングも異なる。

  • クラスタごとの仮想管理IP（通常の管理用IP）と、個別のHA Mgmt IPは用途が異なるため混同しない。

まとめ

  • HA Management：各メンバーに専用の管理IPを割り当てる機能

  • HA-Direct：その管理インターフェイスから外部へのSyslogやSNMP送信を可能にする機能

  • 実務では「管理アクセスはHA Mgmt」「監視・SyslogはHA-Directで外部へ」という組み合わせが多く採用されます。