FortigateでMicrosoft 365のFQDNポリシー通信不可事例
こんにちは。ネットワークソリューション特集 編集部です。
今回は、お客様ご相談事例のFortigateでMicrosoft 365のFQDNポリシー通信不可についてご紹介します。
事象
Microsoft 365のメールサービスにPCから通信できない。
お客様側で下記の対応を実施した。
- 「outlook.office.com」をPCのnslookup名前解決したIPアドレスをオブジェクト登録
- 上記のオブジェクトをFirewall Policyの宛先に追加
Microsoft 365のFQDNとIPアドレス
Microsoft 365のIPアドレスは複数のセグメントとFQDNで構成されています。
手動で登録する場合は定期的に更新が必要です。
解決策
Fortigateで用意されている、Internet Service（ISDB）のMicrosoft 365関連のサービスを宛先に変更したところ通信可能となった。
また、PCでの名前解決とFortigateの名前解決したIPアドレスが異なっていた。
Internet Service（ISDB）
Internet Service（ISDB）とはインターネット上のサービスのIPアドレスをメーカ側でオブジェクト化したサービスです。
- DBは自動更新
- IPアドレスベースのため最初の1パケット目から適用可能（レイヤー7ベースだと宛先FQDNが判明したパケットから）
- レイヤー7ベース製品より低負荷
- SD-WAN機能でも利用可能（ブレイクアウト、WAN負荷分散等）
対応サービスは下記から検索可能です。
FortiOS ver7.2からはダッシュボードからIPアドレスからサービスを見ることも可能となりました。
まとめ
- インターネットサービスは複数のIPアドレス、FQDNで構成されている
- PCでの名前解決、Fortigateでの名前解決は異なる場合はがある
- ISDBを利用すればIPアドレスのリストは自動更新される
今回はFortigateでMicrosoft 365のFQDNポリシー通信不可事例についてご紹介しました。
