【FortiGate 60F】IKEv2/IPsecリモートアクセスVPN接続設定方法 <Windows編>

近年では、カフェやホテル、空港だけでなく、居酒屋や薬局など、ありとあらゆる所で「フリーWi-Fi」を利用する事が可能になりました。

少し時間が空いたタイミングがあると、スマホのパケットを使用せず、高速通信が可能になるので、「フリーWi-Fi」は非常に便利です。

そんな時どうするかというと、私はこれまで、自宅に設置したFortiGate 60Fへ「L2TP/IPsec」で、自宅にVPN接続して、自宅の回線経由でインターネットを利用していました。

L2TP/IPsecの良い点は、Windows OSでは標準VPNクライアントとして動作する為、別途FortiClientをインストールする必要がなく、リモートVPN接続が可能になります。

Windowsは今までの環境で問題ないのですが、私の使用するスマホはそうもいかなくなりました。

Android 12以降では「L2TP/IPsec 」VPNがサポート対象外

スマホで利用されているAndroid OSは、OSバージョン12より、L2TP/IPsec VPNはサポート対象外となり、スマートフォンから自宅へのVPN接続ができなくなってしまいました。

Android OSのL2TP/IPsecに対応しなくなった件については、以下記事をご覧いただけると幸いです。

---

---

そこで今回は、Android 12以降でも利用可能な 、「IKEv2/IPsec」 を使用したFortiGateリモートアクセスVPNを構築していきたいと思います。

本記事では、FortiGate 60Fの実際の設定画面を使いながら、FortiGate側の設定からAndroid・Windowsクライアントの接続方法まで解説していきたいと思います。

なぜ「L2TP/IPsec」から「IKEv2/IPsec」へ移行するのか

Windows PCを使用している上では、最新のWindows 11 25H2でも「L2TP/IPsec」に対応しているので、問題無いのですが、スマホではそうはいきません。

◇ IKEv2/IPsec VPNへ移行する理由 ◇

• Android OSではL2TP/IPsecが利用できない
• KEv2/IPsecのメリット
• FortiClient 7.4.4以降はIKEv2のみサポート

1. Android OSではL2TP/IPsecが利用できない

Android 12以降、L2TP/IPsecは非推奨となっていましたが、現在私の使用するスマホは、「Android 16」の為、標準VPNクライアントから利用できなくなりました。

そのため、以前まで使用出来ていた「L2TP/IPsec」を利用から、現在のAndroidスマホでも利用可能な「IKEv2/IPsec」へ移行する必要が出てきてしまったのです。

2. IKEv2/IPsecのメリット

現在のAndroidスマホでVPN利用する為という理由もありますが、新規にリモートアクセスVPNを構築するなら、セキュリティ面からも、IKEv2/IPsecが最も現実的な選択肢と言えると考えます。

3. FortiClient 7.4.4以降はIKEv2のみサポート

以下、Fortinetのドキュメントライブラリー「SSL VPN to IPsec VPN Migration」内に、以下記述があります。

FortiClient 7.4.4以降は、IKEv1が選べずIKEv2のみになる内容が記載されている事から、今後はIPsec VPNを使用する場合は、IKEv2がスタンダードになっていくと思われます。

Fortinet Document Library

今回の構成

自宅のネットワーク構成図を以下に記載します。今回は、外部のフリーWi-Fiから、自宅のFortiGate 60Fへ「IKEv2/IPsec」で接続したいと思います。

ネットワーク構成

クライアント接続方法について

実は、このブログを書く前までは、Windows PC、Androidスマホのどちらも、OS標準クライアントを使用して、接続を行う事を想定していました。

ただ、実際にFortiGateによるIKEv2/IPsec接続を行ってみて分かったのですが、OS標準クライアントを使用して、IKEv2/IPsec VPNを行う事は、簡単ではないという事です。

私の知識不足は否めないところなのですが、OS標準クライアントでは、IKEv2＋PSK＋EAP（ユーザー名/パスワード）認証が繋がらず、証明書認証が必要になりそうです。
FortiGateが自己認証局として発行した証明書で接続を試してみましたが、私のやり方が良くないのか、どうしてもVPN接続出来ませんでした。

その為、今回は「FortiClient」を使用した接続を行っていきたいと思います。

NURO光レンタルルーター（F660A）設定

現在の「L2TP/IPsec」接続する為には、NURO光レンタルルーター設定を変更する必要がありました。その際に実施した設定内容については、以下記事をご覧いただけると幸いです。

今回の、「IKEv2/IPsec」接続する際も、「L2TP/IPsec」と同じポート（UDP500、UDP4500）を使用しますので、特に設定変更する事なく、流用できる予定です！

---

---

FortiGate側の事前準備

IKEv2/IPsecは、FortiOS7.Xからは対応済みです。まずは、現在使用しているFortiGate 60Fの、FortiOSバージョンを確認してみたいと思います。

◇ 事前準備 ◇

• FortiOSバージョンを確認
• VPNユーザーを作成しグループメンバーに

1. FortiOSバージョンを確認

GUIから以下を確認します。

・ダッシュボード → ステータス

FortiOS 7.6.6ですので、IKEv2/IPsecは問題なく使用できます。

2. VPNユーザーを作成しグループメンバーに

IKEv2/IPsec VPN接続用のユーザーを作成します。

設定手順

① ユーザ＆認証 → ユーザ定義を開き、「新規作成」をクリックします

② ユーザ作成ウィザードで、ユーザタイプ → ローカルユーザを選択します。

③ ユーザー名、パスワードを入力し、設定を進め、作成を完了させます。

④ VPN接続用グループを作成し、ユーザをメンバーにします。

以上で事前準備は完了です。

FortiGateでIKEv2/IPsec VPNを設定する

FortiGate 60Fで、IKEv2/IPsec VPN設定は、「VPNウィザード」を使用して設定していきます。

• VPNウィザード設定
• Proxy Arp設定

1. VPNウィザード設定

① VPN → ウィザードを選択。トンネル名（IKEv2-VPN）、リモートアクセスを選択します。

② VPNトンネル設定を行います。

③ リモートエンドポイント設定を行います。

④ ローカルFortiGate設定を行います。

私の環境はちょっと特殊で、FortiGateは、WAN1⇔WAN2間のVirtual Wire Pairでセキュリティ検査を行い、外部とのアクセスは、internalインターフェースからのみ行います。ワンアーム構成となっている為、着信・ローカルインターフェースが同じになっているという事情があります。

⑤ VPNトンネル（IKEv2-VPN）が作成されました。

⑥ ファイアウォールポリシーを確認して修正します。

VPNウィザードでVPNトンネルを作成すると、併せて「アドレスオブジェクト」や「ファイアウォールポリシー」が作成されますが、ファイアウォールポリシーを確認すると、何故か、NATが有効化されて作成されますので、ここでNATは無効に変更します。

2. Proxy Arp設定

自宅環境のインターネットGWルーターは、「F660A」です。

これは、NURO光を契約すると送られてくる、レンタルルーターなのですが、機能が少なく、スタティックルートの設定が行えません！！

その為、VPN接続してくる端末にも、自宅LAN内のアドレス（192.168.1.130-192.168.1.140）を割り当てることで、ルート追加をしなくても良いように設計しています。

NURO光レンタルルーターの機能については、以下記事で紹介してますので、宜しければご連絡ください。

---

---

その代わり、Proxy Arp設定を行う事で、同一ネットワークアドレスによるVPNアクセスでも、ARP不一致が発生しないようにする必要があります。

① Proxy Arp設定を追加します

以下コマンドを入力します

config system proxy-arp
edit 1
set interface "internal"
set ip 192.168.1.130
set end-ip 192.168.1.140
next
end

以上で、VPN設定は完了です。

Windows FortiClientでIKEv2 VPNを設定する

FortiClientは公式サイト よりダウンロードし、インストールしてください。現在は、ダウンロードに情報入力が必要となっておりますので、ご注意ください。

VPN追加設定

FortiClientのインストールが終了したら、VPN設定を追加していきます。

設定手順

① タスクバーより、FortiClientアイコンを右クリックし、「Open FortiClient Console」をクリック。

バージョンを確認すると、7.4.3でした（2026/8/13現在）ので、まだ、IKEv1は使えるバージョンのようです。

② 新しいVPN接続を作成します。

③ VPN詳細設定を行います。

IKEバージョン2に設定する以外は、そのままで問題なさそうです。フェーズ1・フェーズ2どちらのプロポーサルやDHグループもFortiGate設定と一致している事を確認します。

④ 設定を保存します。

以上で設定は完了です。

VPN接続の確認

早速、VPN接続を行います。

VPN接続を確認

「接続」ボタンをクリックすると、すんなりVPN接続が完了しました。

IPアドレスもFortiGateで設定した、アドレスレンジから払い出されている事が確認出来ます。

グローバルIPを確認

VPN接続前後、以下のようなサイトをグローバルIPアドレスを確認します。

• https://www.cman.jp/network/support/go_access.cgi
• https://www.whatismyip.com/

接続後に 自宅回線のグローバルIPアドレス が表示されており、NURO光回線からアクセスしている事も確認できました。

Android接続設定について

この後、同じようにAndroidスマホに、FortiClientをインストールし、設定しようとしましたが出来ず！

理由としては、IKEv2でPSK（共有キー）を選択した際、ユーザー名/パスワード設定が出来ない為

ダメもとで接続を試みましたが、「接続は失敗！！」

AndroidでIKEv2/IPsec VPN接続できない

その後、FortiGateで、証明書を作成し、FortiGateの自己CA証明書およびサーバー証明書を、Androidスマホにインストールして、接続をこころみましたが、こちらも接続は失敗となってしまいました。

FortiGateのログを確認

VPNログを確認しましたが、ログが全くでておらず、調査できませんでした。

まとめ（今後）

今回は、Windows OS版FortiClientを利用して、 IKEv2/IPsecリモートアクセスVPN を構築する方法を解説しました。

Windowsであれば、VPNウィザードを使用して、簡単にIKEv2/IPsec VPN接続が行える事が確認できました。

但し、Android OSでは、「IKEv2＋PSK＋EAP（ユーザー名/パスワード）認証」設定が行えず、簡単には接続出来ない事が確認出来ました。

次回になりますが、再度、Android OSによる、IKEv2/IPsec VPN接続設定方法をご紹介していきたいと思いますので、お待ちいただけると幸いです！