こんにちは。
SB C&SでFortinet製品のプリセールスを担当している草野です。

今回は、新たに登場した FortiClient Standalone をご紹介します。

FortiGateのリモートアクセスVPNではFortiClientが広く利用されていますが、

「VPNを利用したいだけなのでFortiClient EMSまでは必要ない」
「最新版のFortiClientを利用したい」
「メーカーサポートのあるFortiClientを利用したい」

といったケースもあるのではないでしょうか。

FortiClient Standaloneは、このようなニーズに対応した有償のFortiClientです。

今回はFortiClient Standaloneの特徴や、どのような環境に適しているのかをご紹介するとともに、実際にFortiGateへのIPsec VPN接続まで試してみたいと思います。

免責

FortiClient Standaloneとは

FortiClient VPN（無償版）はVPN用途で広く利用されていますが、無償版の提供状況が変化しており、最新版と同じサイクルでは提供されていません。

一方、VPNを利用するお客様からは、

・最新版のFortiClientを利用したい
・最新のパッチを適用したい
・EMSを構築せずVPNを利用したい
・メーカーサポートを受けたい

といったニーズがあります。

そこで選択肢となるのが FortiClient Standalone です。

FortiClient Standaloneは、VPN利用を中心とした機能構成となっており、FortiClient EMSを構築することなく、FortiIdentity Cloudを利用してライセンスを管理します。
また、最新パッチやセキュリティ修正の提供、メーカーサポートに加え、FortiToken Mobileライセンスも標準で付属します。

他のFortiClientとの違い

FortiClient VPN（無償版）、FortiClient Standalone、FortiClient EMSの主な違いを比較すると以下のとおりです。

FortiClient StandaloneはVPN利用を中心とした製品です。
一方、ZTNAタグを利用した端末状態に応じたアクセス制御やEndpoint Protectionなど、端末管理・セキュリティ機能が必要な場合には、FortiClient EMSを選択します。

また、FortiClient Standaloneのライセンスはユーザー単位となっており、1ユーザーにつきFortiToken Mobileライセンスが1つ標準で付属します。
最小購入数量は50ユーザーで、1ユーザーにつき最大3台まで利用できます。

FortiClient Standaloneはこんな場合におすすめ

ここまでの内容を整理すると、FortiClient Standaloneは以下のような環境に適しています。

・FortiGateのリモートアクセスVPNを利用したい
・VPN利用が中心で、FortiClient EMSによる端末管理は必要ない
・最新版のFortiClientを継続して利用したい
・メーカーサポートを利用したい
・VPN接続にMFAを導入したい

これまでFortiClient VPN（無償版）を利用していた環境や、VPN用途を中心にFortiClientを検討している場合には、新たな選択肢となります。

FortiClient Standaloneを使ってみる

それでは、実際にFortiClient Standaloneを使ってみます。
まず、FortiClient Standaloneの基本的なシステム構成は以下のとおりです。

FortiClient Standaloneでは、FortiIdentity Cloudがユーザー管理、ライセンス認証、MFAなどを提供します。
また、Microsoft Entra IDやGoogle、LDAPなどの外部認証基盤と連携することも可能です。

今回の検証では、FortiIdentity Cloudに登録したローカルユーザーを使用し、FortiClient Standaloneをインストールした端末からFortiGateへIPsec VPNで接続します。

導入の流れ

FortiClient Standaloneを利用するまでの大まかな流れは以下のとおりです。

管理者側でFortiIdentity Cloudの設定とユーザー登録を行った後、利用者側でアカウントの有効化、FortiClientの導入、VPN接続を行います。
ここからは、導入の流れに沿って主なポイントを確認していきます。

※今回はFortiClient Standaloneの利用イメージをご紹介するため、FortiIdentity Cloudの初期設定手順については割愛します。

FortiIdentity Cloudにユーザーを登録

まず、管理者がFortiIdentity Cloudにユーザーを登録します。
ユーザー登録時には、招待状によるアクティベーションと招待メールの自動送信を有効にします。また、複数ユーザーを一度に登録することも可能です。

登録したユーザーにはアクティベーション用のメールが送信されます。
利用者は受信したメールからアカウントを有効化し、パスワードを設定します。

今回はMFAを利用するため、FortiToken Mobileもアクティベートします。

これでユーザー側の準備は完了です。

FortiClient Standaloneを導入

続いて、端末にFortiClient Standaloneをインストールします。
インストール後にFortiClient Standaloneを起動すると、招待コードの入力が求められます。

ユーザー登録時に受信したメールに記載されている招待コードを入力してログインします。その後、ブラウザが起動するため、ユーザー名とパスワードを入力してFortiIdentity Cloudで認証を行います。
認証が正常に完了すると、FortiClient Standaloneのライセンス認証も完了します。

このように、FortiClient StandaloneではFortiIdentity Cloudを利用してライセンス認証を行います。

FortiGateにVPNを設定

FortiClient Standaloneの準備ができましたので、FortiGate側にVPNを設定します。今回の検証ではFortiOS v8.0を使用しました。
FortiOS v8.0では、FortiClient Standalone用のVPNウィザードが用意されています。

このウィザードを利用することで、VPNトンネルや認証方式など、VPN接続に必要な設定を行うことができます。
また、FortiIdentity Cloudから取得した情報を選択することでSAML連携を容易に設定でき、FortiGate側で設定を行うと、FortiIdentity Cloud側にもSAML設定が自動的に作成されます。

FortiClient StandaloneからVPN接続

FortiGate側の設定が完了したら、FortiClient StandaloneにVPN接続先を設定し、実際に接続してみます。
VPN接続を開始するとFortiIdentity Cloudの認証画面が表示されるため、登録したユーザー名とパスワードを入力します。
続いて、FortiToken Mobileへのプッシュ通知、もしくはOTPを利用して認証を行います。

認証が完了すると、FortiClient StandaloneからFortiGateへのIPsec VPN接続が確立します。

今回の検証では、FortiIdentity Cloudによるライセンス認証から、FortiToken Mobileを利用したMFA、FortiGateへのIPsec VPN接続まで、一連の流れを確認できました。

まとめ

今回は、FortiClient Standaloneの特徴と、実際の導入からVPN接続までをご紹介しました。

FortiClient Standaloneでは、FortiClient EMSを構築することなく、最新版のFortiClientやメーカーサポートを利用できます。また、FortiToken Mobileライセンスが標準で付属しており、FortiIdentity Cloudと組み合わせることで、MFAを利用したVPN接続も構成できます。

特に、「VPN利用が中心で、最新版のFortiClientやメーカーサポートも利用したい」といったお客様に適した製品です。

今回の検証でも、FortiIdentity Cloudによるライセンス認証からMFAを利用したVPN接続まで、一連の動作を確認することができました。

これまでFortiClient VPN（無償版）を利用していた環境や、VPN用途を中心にFortiClientを検討されている場合には、FortiClient Standaloneもぜひ選択肢の一つとしてご検討ください。

以上、FortiClient Standaloneのご紹介でした。

---

※本ブログの内容は投稿時点での情報となります。今後アップデートが重なるにつれ
　正確性、最新性、完全性は保証できませんのでご了承ください。