Настроить VLAN

Последнее изменение: 05 февраля 2026

Виртуальные локальные сети (VLAN) позволяют сегментировать сеть, увеличить производительность и обеспечить дополнительную безопасность сети.

Настройки в инструкции актуальны для версий FortiOS 6.x и 7.x. Если у вас другая версия FortiOS, вы можете найти документацию для нее в панели управления FortiGate в верхнем правом углу или на официальном сайте FortiGate.

Для создания двух виртуальных сетей с доступом друг к другу и в интернет:

1. Создайте сетевые интерфейсы.
2. Настройте политику безопасности.

Создать сетевые интерфейсы

Графический интерфейс

FortiOS 6.x

1. Подключитесь к межсетевому экрану.

2. Перейдите на вкладку Network → Interfaces.

3. Укажите имя интерфейса.

4. В поле Type выберите значение — VLAN.

5. В поле VLAN ID укажите идентификатор сети.

6. В поле Role выберите значение — LAN.

7. В поле IP/Netmask укажите IP-адрес и маску подсети для VLAN.

8. Нажмите ОК.

9. Повторите шаги 1—8, чтобы создать второй сетевой интерфейс.

10. Перейдите в раздел Policy & Objects → Addresses.

11. Нажмите Create new.

FortiOS 7.x

1. Подключитесь к межсетевому экрану.

2. Перейдите на вкладку Network → Interfaces.

3. Выберите Create New → Interface.

4. Укажите название интерфейса.

5. В поле Type выберите значение — VLAN.

6. Укажите идентификатор сети в поле VLAN ID.

7. В поле Role выберите значение — LAN.

8. В поле IP/Netmask укажите адрес и маску подсети.

9. Включите Create address object matching subnet. В разделе Policy & Objects → Addresses будет автоматически создан адрес для VLAN.

10. Повторите шаги 1–9, чтобы создать второй сетевой интерфейс.

CLI

1. Подключитесь к межсетевому экрану.

2. Создайте два интерфейса:

   config system interface
        edit "<vlan_name_1>"
            set vdom root
            set ip <ip_address_1> <mask_1>
            set allowaccess ping https ssh
            set role lan
            set interface lan
            set vlanid <vlan_id_1>
        next
        edit "<vlan_name_2>"
            set vdom root
            set ip <ip_address_2> <mask_2>
            set allowaccess ping https ssh
            set role lan
            set interface lan
            set vlanid <vlan_id_2>
   end

   Укажите:

   • <vlan_name_1> — имя первого сетевого интерфейса;
   • <ip_address_1> — IP-адрес, который будет назначен первому интерфейсу;
   • <mask_1> — маска подсети первого интерфейса вида 255.255.255.0;
   • <vlan_id_1> — идентификатор первого интерфейса;
   • <vlan_name_2> — имя второго интерфейса;
   • <ip_address_2> — IP-адрес, который будет назначен второму интерфейсу;
   • <mask_2> — маска подсети второго интерфейса вида 255.255.255.0;
   • <vlan_id_2> — идентификатор второго VLAN.

3. Добавьте два адреса для созданных VLAN:

   config firewall address
       edit <vlan_address_1>
           set type ipmask
           set subnet <ip_address_1> <mask_1>
       next
       edit <vlan_address_2>
           set type ipmask
           set subnet <ip_address_2> <mask_2>
    end

   Укажите:

   • <vlan_address_1> — имя IP-адреса, назначенного на первый VLAN;
   • <ip_address_1> — IP-адрес, назначенный на первый VLAN;
   • <mask_1> — маска подсети первого VLAN;
   • <vlan_address_2> — имя IP-адреса, назначенного на второй VLAN;
   • <ip_address_2> — IP-адрес. назначенный на второй VLAN;
   • <mask_2> — маска подсети второго VLAN.

Настроить политику безопасности

Графический интерфейс

1. Перейдите в раздел Policy & Objects → IPv4 Policy и создайте новую политику.

2. В поле Incoming Interface выберите первый VLAN.

3. В поле Outgoing Interface выберите второй VLAN.

4. В поле Source выберите адрес первого VLAN.

5. В поле Destination выберите адрес второго VLAN.

6. Убедитесь, что в политике выключен NAT.

7. Повторите шаги 1–6, чтобы создать вторую политику. В политике поменяйте первый и второй VLAN местами.

8. Перейдите в раздел Policy & Objects → IPv4 Policy и создайте новую политику.

9. В Incoming Interface выберите первый VLAN.

10. В Outgoing Interface выберите внешний интерфейс.

11. В Source выберите адрес первого VLAN.

12. В Destination выберите адрес внешнего интерфейса.

13. Повторите шаги 8–12, чтобы создать политику для второго VLAN.

CLI

1. Создайте новую политику:

   config firewall policy
       edit 3
           set name "<vlan_name_1> to <vlan_name_2>"
           set srcintf "<vlan_name_1>"
           set dstintf "<vlan_name_2>"
           set srcaddr "<vlan_address_1>"
           set dstaddr "<vlan_address_2>"
           set action accept
           set schedule "always"
           set service "ALL"
           set nat disable
       next
       edit 4
           set name "<vlan_name_2> to <vlan_name_1>"
           set srcintf "<vlan_name_2>"
           set dstintf "<vlan_name_1>"
           set srcaddr "<vlan_address_2>"
           set dstaddr "<vlan_address_1>"
           set action accept
           set schedule "always"
           set service "ALL"
           set nat disable
       next
   end

   Укажите:

   • <vlan_name_1> — имя первого сетевого интерфейса;
   • <vlan_name_2> — имя второго сетевого интерфейса;
   • <vlan_address_1> — имя IP-адреса, назначенного на первый VLAN;
   • <vlan_address_2> — имя IP-адреса, назначенного на второй VLAN.

2. Создайте две политики для каждой подсети VLAN для доступа в интернет:

   config firewall system
       edit 5
           set name "<vlan_name_1> to Internet"
           set srcintf "<vlan_name_1>"
           set dstintf "wan1"
           set srcaddr "<vlan_address_1>"
           set dstaddr "all"
           set action accept
           set schedule "always"
           set service "ALL"
       next
       edit 6
           set name "<vlan_name_2> to Internet"
           set srcintf "<vlan_name_2>"
           set dstintf "wan1"
           set srcaddr "<vlan_address_2>"
           set dstaddr "all"
           set action accept
           set schedule "always"
           set service "ALL"
       next
   end

Укажите:

• <vlan_name_1> — имя первого сетевого интерфейса;
• <vlan_name_2> — имя второго сетевого интерфейса;
• <vlan_address_1> — имя IP-адреса, назначенного на первый VLAN;
• <vlan_address_2> — имя IP-адреса, назначенного на второй VLAN.