UTM/次世代FWの定番、FortiGate。拠点間IPsec VPNを設定する基本の流れを、初めての人向けに整理します（具体値は環境に合わせてください）。
前提を整理する
設定の前に、両拠点で以下を決めておきます。
- 各拠点のWAN側IP（対向の相手アドレス）
- 各拠点のLAN側セグメント（例: 本社 192.168.1.0/24、支社 192.168.2.0/24）
- 事前共有鍵（Pre-Shared Key）
- 暗号化・ハッシュのパラメータ（両拠点で一致させる）
設定の大まかな流れ
FortiGateでは、おおむね次の順で設定します。
- VPN → IPsec トンネルを作成（対向のWAN IP、事前共有鍵、フェーズ1/2のパラメータ）
- トンネルインターフェースに合わせて、ルーティングを設定（相手LAN宛ての経路をトンネルへ）
- ファイアウォールポリシーを作成（LAN↔トンネルの通信を許可、双方向分）
- 対向のFortiGate（または他社機器）でも、対応する設定を入れる
「トンネル作成 → ルーティング → ポリシー許可」の3点セットが基本です。ポリシーで許可を入れ忘れると、トンネルは上がっても通信が通りません。
フェーズ1/2のパラメータ一致
両拠点で、暗号化(AES)、認証(SHA)、DHグループ、鍵の有効期間などを揃えます。片方でも違うと、トンネルが確立しません。事前にパラメータ表を作って、両拠点で照合するのがおすすめです。
確認と切り分け
- トンネルの状態（UP/DOWN）を管理画面で確認
- ログでフェーズ1/2のどこで失敗しているかを見る
- フェーズ1で失敗 → 対向IP、事前共有鍵、IKE設定
- フェーズ2で失敗 → 対象セグメント（暗号化対象）の定義不一致
- 通信できない時は、ファイアウォールポリシーの許可漏れも疑う
よくあるハマり
- ポリシーの双方向許可を片方だけ入れて、片方向しか通らない
- 対象セグメントの定義が両拠点でズレていて、フェーズ2が上がらない
- NAT環境で対向IPがずれる（NAT Traversalの考慮）
まとめ
FortiGateのIPsec VPNは「トンネル作成 → ルーティング → ポリシー許可」の3ステップが骨格です。両拠点のパラメータ一致とポリシー許可がポイント。上がらない時は、ログでフェーズ1/2のどちらで止まっているかを見れば、原因を絞り込めます。まずは検証環境で1本張ってみるのが理解への近道です。