『ルーターとUTMの直列つなぎ』のクチコミ掲示板

[検討長すぎ太郎]

あまり詳しくないので、変な質問かもしれませんが、ご容赦ください。

VPNで他拠点のサーバーにアクセスした際にとてもスピードが遅く困っています。
ファイル移動の場合、最初は1〜2MBPSでその後355KBPSに落ち、タイムアウトすることもしばしばです。

うちの会社ではRTX1210で他拠点とVPN接続をしていますが、その内側にUTMをつないで使っています。
つまり、他拠点のサーバーを使う際は、
PC→UTM→RTX→光回線→（他拠点）RTX→UTM→ファイルサーバー
というルートになります。

このルーターとUTMを直列でつなぐことにより、遅くなっているということは考えられるでしょうか。
それぞれ以下のようなものを使っています。
UTM：FORTIGATE　40F
サーバー：Windows Server2019
クライアントPC：Windows10

書込番号：24677374

[Gee580]

＞検討長すぎ太郎さん
＞このルーターとUTMを直列でつなぐことにより、遅くなっているということは考えられるでしょうか。

UTMがボトルネックになっているのは十分考えられるかな。　
Fortigate-40Fはカタログベースのパフォーマンスはよいけど、測定条件が

”数値はすべて「最大」の性能値であり、システム構成に応じて異なります。アンチウイルス パフォーマンスは、HTTPトラフィック (32 Kバイト オブジェクト) を用いて測定されています。IPSパフォーマンスは、44 Kバイト HTMLファイルを用いて測定されています (NSSラボのテストメソドロジーと同等)。”

とあり、サイズが小さいデータを一つ一つ見るにはかなりよい。　だけど、サイズの大きなデータを一つにしてみるのは都合がよくないとおもうわね。
だから、会社の情シにファイアウォール、ＩＰＳ，ＩＤＳのルールを見直しで、サイズの大きなデータを除外してもらうとか頼んでみたら。　会社なんだろうから個人ではかってにできないでしょ。

書込番号：24677665

[テキトーが一番]

このルータを持っていませんし素人考えですのであしからず
UTMが直列に繋がないと、ワーム、ファイアウォール、アンチウィルス、アンチスパム、Webフィルタリング、総合的なセキュリティ対策にならないのではないかと思います。
UTMがあるからPCは安全というわけでもありません。
並列でもハブがレイヤー対応によっては出来るかもしれませんが。

>このルーターとUTMを直列でつなぐことにより、遅くなっているということは考えられるでしょうか。

噛ませば噛ますほど遅くなるでしょう。(程度は分かりませんが）
UTMが原因なら遅くなるし、ルーター原因でも遅くなります。もちろんPCも考えられます。
また、VPN接続方法もPPTPだと4回線となっていますが、他拠点が多いと遅くなるかもしれません。
何かしら攻撃されてても遅くなるし、どちらか一方が脅威になっていることも考えられます。
1つのネットワークずつ接続テストすると分かるかなと思います。

参考になれば幸いです

書込番号：24677672

[sorio-2215]

RTX1210　→　Fortigate40F　に接続しているプロセスですが、

Fortigateの場合ですが、SSLインスペクション機能にて、インターネット回線、他WEB、API、メールセキュリティを監視しているFortiCloud検疫をしていますが、内部的にプロクシモードとフローモードの接続にて、アクセススキャンしています。
プロクシモードの場合、全ての通信をスキャンして、FortiCloudサーバへ通信して、折り返し許可の通信を相手先へ通信していますので、通信回線の契約が高速なタイプでなければ、遅延は大きくなります。
既存のインターネット回線との組み合わせにて、RTX1210の直結してのスループットを計測して頂き、通信速度により、フローモードの設定に変更を確認ください。
念のため、Fortigate40F配下においても、計測してみて下さい。

下記のサイトにて、計測してみて下さい。

※　https://minsoku.net/

↑のデータ値により、低遅延のインターネット機能（IPV4-Over-IPV6・固定IP、NURO-Biz等）にて、ご確認下さい。

あと、まさか、RTX1210配下にて、Fortigate40FをNATモードで動作はさせていませんよね？
NATモードにしていれば、トランスペアレント・ブリッジモードへ変更をご確認下さい。

書込番号：24678123

[sorio-2215]

あと、Fortigate40Fの内部OSのサポート提供元（Forticare）の会社により検証OSのバージョンが変る可能性が御座いますが、Fortigate40Fの場合ですが、内部のASIC-CPUのキャッシュ機能が最適化されていますOSのバージョンが、FortiOS6.2、6.4、7.0以降になります。
FortiOS6.0等のバージョンにて運用されている場合ですが、バージョンアップをご確認下さい。

拠点間VPN接続のプロセスですが、他拠点のインターネット回線のレスポンスも影響します。
PPPOEセッションなどの運用をされている場合には、IPV4-Over-IPV6・固定IP、NURO-Biz等の切替えもご検討されると良いかと思います。

Fortigate40F単体にて、IPV4-Over-IPV6・固定IP接続（NAT有り）にて他拠点を接続している場合には、Fortigate40Fの性能のIPキャッシュ機能は、あまり良くないです。
他拠点のVPN接続しているルーター等の状態が、Fortigate40F等にて接続している場合には、上位にVPNルーターを用意された方が良いかと思います。

書込番号：24678149

[検討長すぎ太郎]

皆様、回答ありがとうございます。
こんなに早くたくさん回答いただけると思っていなかったので、大変うれしく思います。

＞Gee580さん
＞UTMがボトルネックになっているのは十分考えられるかな。　
やはりUTMが怪しいかもですね。
確かにFORTIGATEを新しいタイプにした時期から遅くなったようなんです。

＞テキトーが一番さん
＞噛ませば噛ますほど遅くなるでしょう。(程度は分かりませんが）
そもそもFORTIGATEの機能をつかってVPNを組んでいないことが原因なのかなぁと思っていますが、直列式とどちらが良いのかもわからないので困っていたりします。

＞sorio-2215さん
＞通信速度により、フローモードの設定に変更を確認ください。
プロクシモードかフローモードかよくわかっていません。
導入してもらった会社にみてもらいますが、その方も専門ではないので詳しくはわからないかも。
とりあえず、自分がなんちゃってIT担当なのでわからないなりに調べてみます。

＞NATモードにしていれば、トランスペアレント・ブリッジモードへ変更をご確認下さい。
これも怪しそうですね。早速調べてみます。

＞内部のASIC-CPUのキャッシュ機能が最適化されていますOSのバージョンがFortiOS6.2、6.4、7.0以降になります。
なるほど！OSバージョンはすぐわかりそうなのでこれも調べてみます。

ちなみに、みん速で測った結果は
接続方式 PPPoE
Jitter 4.76ms
Ping 25.6ms
下り 65.56Mbps(速い)
上り 70.41Mbps(速い)
でした。
インターネットへの接続は、そこそこ早いです。

書込番号：24678177

[sorio-2215]

「　接続方式 PPPoE
　Jitter 4.76ms
　Ping 25.6ms
　下り 65.56Mbps(速い)
　上り 70.41Mbps(速い)　」

↑　Fortigateを経由しましたステータス状況としては、あまり良くない回線性能ですね。
ルーターへ直結しました際にプラスして、FortiCloudのクラウドセキュリティの問合せ通信も考慮しませんと、
その分遅延が生じます。（おおよそ、10〜20％程度は遅延が出るかと思われます）

PPPOE接続方式ではなく、NTTギガライン、ギガスマートタイプへ変更、
プロバイダの接続方式を、IPV4-Over-IPV6・固定IP網へ切替えをすると良いかと思います。

※　https://21ip.jp/

V6プラス・固定IP（1個）　→　https://21-domain.com/html/hikari-ip.html
光ネクスト・Gigaスマート・隼 2,550円より

JPNE・固定IPを指定下さい。（接続先上位経路：JPNE）

IPV6回線網に切替えしますと、Fortigateのファイアーウォールポリシーの設定をIPV4以外にIPV6の許可設定と各セキュリティ設定が必要になります。

書込番号：24678285

[sorio-2215]

補足ですが、

V6プラス・固定IPの契約へ移行しますと、既存のRTX1210のPPPOE設定を、V6プラス・固定IPの設定に切替え、PPPOEの削除が必要になります。
その前に、RTX1210のファームウェアを最新版へ変更が必要になります。

書込番号：24678388

[sorio-2215]

IPV4-Over-IPV6・固定IP網の切替えの際ですが、社内のRTX1210ルーターの上位に、NTT光電話オフィスアダプタ（OG410、OG810系）が御座いましたら、光電話オフィスアダプタの設定変更（IPV6ブリッジ設定、IPV6-IPOE許可設定）が必要になります。

業者さまへご確認下さい。

書込番号：24678966

[検討長すぎ太郎]

sorio-2215さん色々アドバイスありがとうございます。

通信まわり依頼している業者の方と打ち合わせる予定なので、細かい話まではわからない状況です。
が、その後わからないなりに調べてみた結果としては、
FORTIGATE OS：v6.2.9 build1234
プロクシモードとフローモード：プロクシモード　※怖くてフローモードに変更していませんが・・・
モード：トランスペアレント
という感じでした。

回線の強化や固定IPへの切替は、これはこれで進めていこうかと思います。


現状としては、
1.ルーター切替え以降遅くなった
2.自拠点のサーバーのファイル転送は50MB/s以上
3.他拠点のWin serverもNASもどちらも遅い（500KB/s以下）
4.　　　　　〃　　　　へ100MBのファイル転送の途中でグラフが止まり、最後の1％で5分以上かかる。
5.DropboxのWebページへのファイル転送は1MB/s程度
という状況です。
問題の切り分けが必要ですが、拠点をまたぐ問題なので、調査は時間がかかりそうです。。。

書込番号：24679176

[Gee580]

＞検討長すぎ太郎さん
前にも言ったけど、機能よりもセキュリティ−ルールを見直さないとダメよ。

�@現在のセキュリティーポリシーや機器のセキュリティー設定がどうなっているのか書面で確認する。
業者とやっているのなら、業者から提出されているのは当たり前。
�A大きなファイルをインスペクションから除外するよう考える。でも、会社のセキュリティーポリシーに違反しないか十分に検討する。

技術的なことはわからないとは思うけれど、常識はわかるでしょ？

書込番号：24679226

[sorio-2215]

お世話になります。
そうですか、FortiOS6.2.9ですか。
トランスペアレント・ブリッジ（プロクシモード）ですと、フローモードとプロクシモードの排他運用OSだったかと思います。
プロクシモードにて利用フルに利用出来ないモードですが、
WAF（Webアプリケーション・ファイアーウォール）、スパムメール対策機能などになります。
全ての通信をFortigateがプロクシ中継にて、FortiCloudサーバへセキュリティ問合せするモードですので、回線の性能が遅いと、かなりの遅延が出るかと存じます。

WAF機能にて、何らかのクラウドサービス側の情報漏えい機能を効かせ、スパムメールの振り分けをFortigate
にてさせており、更に透過型プロクシ、若しくはExprolitプロクシを動作させている状況ですと、回線の性能からかなり厳しい組み合わせになります。

確認ですが、WAF機能にてクラウドサービス等のデータ共有や基幹業務ソフトウェアの運用をされていますでしょうか？
Dropboｘのクラウドサービスを運用中とのことですので、Dropbox領域へのアクセスのみ、WAF機能を効かせる。（それ以外のクラウドサービスを運用されていましたら、そちらも確認頂く方法になります）


また、Fortigateの迷惑メール対策の機能は、プロクシモード若しくはフローモードにて動作させている状況でしょか？
迷惑メールの対策をFortigateにてさせる場合ですが、添付ファイルのスキャン容量が、デフォルトで10MBの容量制限が有り、それ以上の容量の添付ファイルが付加されている状況ですと、うまく迷惑メール処理がされず、そのまま透過される設定になっているかと思われます。
その場合には、クライアントPCやモバイルなどにて、エンドポイントセキュリティソフト等のスパムメール対策機能にて対応する形になります。

FortiOS6.4、7.0系の場合にですが、プロクシモードとフローモードのハイブリッドモードにさせる事も可能ですが、.6.2系の場合には、両方の機能を運用して、セキュリティ運用させる場合ですと、Fortigate40Fの機能としては厳しいです。

※　運用のクラウドサービスやスパムメール対策のみ、プロクシモード経由にて検疫をさせて、それ以外のインターネット系の通信をフローモードにて動作させ、負荷と性能を分散させる等。

フローモードにすることが、Fortigate40Fで言いますと、軽快に動作するモードとなりますが、IPフローヘッダーのみにて、セキュリティスキャンし、FortiCloudサーバへの問合せをさせるモードになりますので、セキュリティスキャンデータの取りこぼしが起きる可能性が御座います。

よって、フローモードで動作させて、クライアントPCやサーバへはエンドポイントセキュリティソフトを導入、終端のセキュリティ確保をさせる方法が適切かと思います。

速度低下の件ですが、既存の運用環境下にて、一次対応をさせる方法ですと、プロクシモードのモードをExproitモードではなく、透過型プロクシへ変更する。
回線の性能をギガ回線以上、IPV4-Over-IPV6・固定IPプロバイダへ変更し、インターネット速度とセキュリティ検疫性能を向上させる。

Fortigate等・その他のセキュリティ検疫などの構築経験は御座いますが、現時点での情報ですと、上記の内容になります。
業者様へご確認下さい。

書込番号：24679236

[sorio-2215]

P.S　クライアントの端末台数やサーバ等の台数、モバイルの接続台数が不明ですので、
Fortigate40Fが適切かどうかは、ご指定の情報ですと、判断は出来かねます。

書込番号：24679250

[検討長すぎ太郎]

＞Gee580さん
＞技術的なことはわからないとは思うけれど、常識はわかるでしょ？
ＩＴリテラシーが低くてすいません。

＞sorio-2215さん
技術的な説明ありがとうございます。
クラウドサービスはＤｒｏｐｂｏｘぐらいですね。
そのほかの技術的な部分は業者の方に相談してみます。

書込番号：24679280

[sorio-2215]

業者へ見て頂きました時点ですが、Fortigate40Fにて性能不足と言うことも想定されますので、
Fortigate60F、80F等の構成も確認頂くよう、業者へお伝え下さい。

フルセキュリティ・Exploitプロクシモードでの適用条件ですと、精々、PCやサーバの構成台数ですが、15台〜20台がギリギリの製品です。

書込番号：24679312

[テキトーが一番]

直列の方が簡単でしょうねぇ

>2.自拠点のサーバーのファイル転送は50MB/s以上

同じプライベートネットワーク層ですかね？
自サーバーがどのネットワークに居るかわかりませんがUTM前の層(RTX直下）からの転送ならどうでしょう?
また、RTX直下から拠点サーバーにアクセスは出来ないでしょうが、確認してみてもいいかもしれませんね(ソフトVPNならいけるかも？）
VPN組んでるので、PCのソフトでVPN化してるのか、ハード的にしてるのか、サーバーがしてるのか、その他機器がしてるのか分かりませんが、そこが原因かもしれないので確認してもいいかもしれません。
皆さんほど詳しくないのであしからず。
ちなみに、私は固定IPにてVPNしています。
ADSL回線ですが、プライベートネットワークの転送速度は概ね160MB/s。ネットワーク回線12.53Mbps。家等からの接続は1Mbpsです（回線限界）
今月光に代わるので楽しみです。関係ないことをごめんなさい

書込番号：24684062

[sorio-2215]

テキトーが一番さま

当初の回線接続イメージですが、

双方の接続が、ONU　→　RTX　→　UTM　
となっておりますので、RTXルーターでの拠点間IPSEC-VPN構築かと存じます。

双方、RTXルーターでのPPPOE接続、UTMはトランスペアレント・ブリッジ接続という構成ですので、
ボトルネックは、PPPOE接続と、UTMのExploitプロクシ接続周りかと存じます。
Fortigate40Fは、Fortinet社の中でも、最下級モデルですので、あまりセキュリティレベルを上げると、性能無視する形になってしまいます。

書込番号：24684225

[テキトーが一番]

sorio-2215さん

素人な私のコメントに反応して頂き恐縮です。
私も同感ですが、びっくりする接続とかあるもので・・・

書込番号：24684547

[検討長すぎ太郎]

＞sorio-2215さん
＞テキトーが一番さん
アドバイスありがとうございます。
sorio-2215さんの推測のとおり、RTXルーターで拠点間IPSEC-VPN構築をしております。

さて、今日一日の調査ですが、まずプロクシモード→フローモードに変更。
数MB/s上がりましたが、大した効果はなし。

その後、いろいろ比較してみました。
みん速は数値が表示されないときがあったので、USENのスピードテストで計測してみたところ、
1 WEB→RTX1210→FORTIGATE→PC　※現状
下り22MB/s、上り45MB/s
2 WEB→RTX1210→PC ※ルーターにPC直接接続した。
下り37MB/s、上り52MB/s
3 WEB→RTX1210→PC ※FORTIGATEを抜いてみた
下り51MB/ｓ、上り57MB/s
4 WEB→RTX1210→PC ※上記3のまま、全ての機器を再起動をしてみた
下り50MB/s、上り77MB/ｓ
5 WEB→RTX1210→FORTIGATE→PC ※FORTIGATEもつけてみた
下り22MB/ｓ、上り45MB/ｓ　→ふりだしに戻った！

旧機種RTX1200があったので、VPN1拠点という設定で計測
6 WEB→RTX1200→PC
下り89MB/ｓ、上り158MB/s

という結果になり、RTX1200、RTX1210の速度差を考えて、次は1210を疑ってみたいと思います。
ちなみに、計測は1回のみなので精度はかなり粗いかと。

書込番号：24684815

[sorio-2215]

PPPoE接続の性能は、プロバイダーの選択により、その様な程度しか得られませんよ。

当初のお話しのv6プラス固定IPプロバイダーに変更をご確認下さい。
どんなにやっても、50M bps前後しか得られませんよ。

RTX1210は、最新ファームウェアへ更新する事で、対応は可能です。
NTTギガライン、ギガスマートタイプ、光電話の契約の有無もご確認下さい。

時間的にロスなだけかと思います。

IPV6回線でしたら、IPV6-IPOEの閉域網の低遅延IPsec接続が可能です。

netvolante-dnsドメインですが、IPV6に対応しています。

書込番号：24685017　スマートフォンサイトからの書き込み

[sorio-2215]

v6プラス固定IP接続に切り替える場合には、双方の拠点とも対応ルーターが必要です。

RTX1210は、最新ファームウェアにて対応していますので、他の拠点の方も、対応ルーター、RTX1220、RTX830 、RTX1210に変更ください。

書込番号：24685025　スマートフォンサイトからの書き込み

[テキトーが一番]

>sorio-2215さん

検討長すぎ太郎さんはそこまでスピードにこだわっているわけではないと思います。
回線が数十MB/s(bpsじゃなくて?）出ているのに、自サーバー、もしくは拠点サーバーのアクセスが遅い(タイムアウト）のを問題にしてると思います。
なので、測定はサーバーの通信で無いと意味がないんですよね。
たぶん

書込番号：24685399

[検討長すぎ太郎]

＞sorio-2215さん
＞NTTギガライン、ギガスマートタイプ、光電話の契約の有無もご確認下さい。
一部でマンションタイプの光電話付きが入っていますが、他は全てNTTフレッツ光　ファミリー ギガラインで電話関係は別回線です。

＞テキトーが一番さん
＞検討長すぎ太郎さんはそこまでスピードにこだわっているわけではないと思います。
スピードが出るに越したことはないのですが・・・ギガラインでありながら拠点間ファイル転送が355kb/sしか出ず、タイムアウトをくらうこともあるということなんです。
ちなみにファイル転送速度はクライアントPC、サーバーどちらも同じような値です。

アドバイスをいただいてる回線のV6+固定IPは検討していこうかと思いますが、、、

書込番号：24685509

[検討長すぎ太郎]

＞テキトーが一番さん
＞数十MB/s(bpsじゃなくて?）
Mbpsでした。失礼しました。

書込番号：24685531

[テキトーが一番]

＞検討長すぎ太郎さん
PPPoE、プロキシの性質上、処理が重く性能からボトルネックになるという事なので、固定IPでプロキシ回避でもいいだろうし、もちろんV6の方が良いかと思います。
または、UTMを80Fに変更してもいいかと思います。
詳しくは、sorio-2215さんが丁寧に説明くれてます
私ならまず80Fに変えて、それでもだめなら固定IP、V6のIPoEと変更していくかなぁ

書込番号：24685648

[sorio-2215]

Fortigate80Fの選択ですが、端末の構成台数の関係が御座いますが、
既存のRTXルーターへ接続しましたスループットがかなり悪いので、まずIPV6・固定IPに切替えをして、
既存のFortigate40Fのファイアーウォールスループットが最大5Gbpsのタイプですので、
回線系から切替えて判断された方が良いかと思います。

Fortigate80F、Fortigate60Fのセキュリティライセンスを付帯させて再契約ですと、かなり高いですよ。

書込番号：24686859

[テキトーが一番]

>Fortigate80F、Fortigate60Fのセキュリティライセンスを付帯させて再契約ですと、かなり高いですよ。

そうなんですね！
ライセンス形態がどうなってるのか知りませんが、毎月要る残らないものより、高いけど一回だけで残る物の方が好みなんで・・・
もちろん金額によりますよ?ｗ
それをしたことで、現在使えないSUNサーバーが何個か・・・・レンタルサーバーで良かったかな・・・・
また関係ない話をごめんなさい

書込番号：24686975

[sorio-2215]

Fortigate80Fや90F等の構成にされる場合には、

それぞれの拠点にFortigateを導入するのではなくて、
IPV6-IPSEC接続の構成イメージにして、本拠点にFortigate80F、90Fを導入して、
本拠点のFortigateへ、Exproitプロクシ設定の設定をして、支店側の端末側のブラウザ、メールクライアントの接続設定に、プロクシ経由の設定を導入、プロクシ接続の条件をPAC情報配信という形になりましたら、
支店のセキュリティと本拠点のセキュリティを統合化は可能かと思われます。

本拠点に集約をさせるため、本拠点に支店の端末分のスペックが必要になりますが。

書込番号：24687318

[sorio-2215]

上記の点となりますと、

　本拠点側は、RTXルーター、Fortigate90F等
　支店側は、RTXルーターのみ（本拠点側のFortigateのプロクシ接続の疎通がとれない場合に、動的にデフォルトゲートウェイを、支店側へ切替えます構成）
　支店側の自局回線へ切替えになった場合には、支店側のセキュリティは、それぞれの端末のエンドポイントセキュリティソフトウェアの確保、と言う形でしょうか。

書込番号：24687320