【Fortigate】導入後に何故か端末IPアドレスが重複となり通信できない事象の解決法

備忘録がてらにつらつらと。

FortigateでNATさせる事があったので、「VIP」と「IPプール」を使ってNATさせる。

何故か、端末のIPアドレスが重複すると出てその端末だけ通信が上手くいかない。

事前にPingで被っていない事も確認したんだけど、最初はよくわからなかった。

そして、少しはまった。

※細かい表現とかは端折ってます

構成

仮に上記のような構成で、PC端末①→端末への通信がうまくいっていない。

FW配下のPC端末②からの通信は問題ないので、端末等は関係ないとする。

となると、FW辺りで何かあると。

PC端末①のネットワーク設定を見てみると、IPアドレスが重複しているとの表示。

事前にPingで重複がない事は確認済。

はて？通信がうまくいかないのは、あきらかにIP重複のせい。

※DHCPは関係なし

※固定IP

端末でIPアドレスが重複と表示されるロジック

まず、なぜIPアドレスが重複となるまでの過程をおさらい。

レイヤ2世界のお話しなので、IPアドレスとMACアドレスで送信先を判断する。

次にどうやって、端末はIPアドレスが重複しているか？していないか？判断して

いるか。ここに関してはすごくわかりやすくまとめてくれているサイトがあるので

まずここを参考にしてほしい。

www.infraexpert.com

要は、GARPという機能を利用して同セグメント内でIPアドレスが重複していないか

端末は確認している。

ということは、他機器が同じARPキャッシュをもっているため、そのARPリプレイ

を受けとった端末では、同じARPを持っていると判断して重複となる。

そして、重複となった機器は、通信できなくなったり不安定となる。

原因

上記で、重複するロジックがわかったのでデフォルトゲートウェイのARPテーブルを

調べてみた。

そうすると、接続していないのにARPキャッシュを持っている。

ちなみに、そのMACアドレスを調べてみるとFortigateになっていた。

ということは、やはりFortigateが原因っぽい。

再度Fortigateの設定を見ていくと、「VIP」で該当アドレスを作成していました。

不要アドレスだったんで完全にゴミ設定です。

該当の「VIP」オブジェクトを消すと、デフォルトゲートウェイのARPキャッシュから

該当IPアドレスが消えていました。

そして、再度テストIPアドレスが重複することなく問題なく通信できていました。

解決方法

不要な「VIP」を消すが正解！

Fortigateで「VIP」を作成する際には注意が必要ですわ。

他機器にも同じことが言えると思ってて、バーチャルIPを使う際は考慮が必要ですね。

以上！！