「FortiGate（フォーティゲート）のファームウェアを最新にしておきました」
――保守業者からのこの一言で、翌朝から社員が社外から社内につなげなくなる。いま、そんなことが実際に起こりえます。
理由はひとつです。FortiGateの基本ソフト「FortiOS（フォーティオーエス）」は、バージョン7.6.3以降でSSL-VPN（エスエスエル・ブイピーエヌ）のトンネルモードを全機種で廃止しました。テレワーク用にこの方式を使っている会社は、アップデート前に別の方式「IPsec-VPN（アイピーセック・ブイピーエヌ）」へ移しておかないと、設定ごと消えてしまいます。
この記事では、何が起きるのか、いつまでに何をすべきか、見積もりでどこを見ればよいかを、社長・総務担当の方向けに順番に説明します。方式そのものの違いを知りたい方は、先にSSL-VPNとIPsec-VPNの違いと選び方をご覧ください。
※移行が不要な場合は、正直に「不要」とお伝えします。
結論：FortiOS 7.6.3にすると、SSL-VPNのトンネルモードは消える
Fortinet（フォーティネット）の公式リリースノートには、次のように書かれています。
- FortiOS 7.6.3から、SSL-VPNのトンネルモードはIPsec-VPNに置き換えられる（対象：全FortiGate機種）
- 管理画面からもコマンドからも、SSL-VPNトンネルモードは設定できなくなる
- それまでのSSL-VPNの設定は新しいバージョンに引き継がれない
- リモート接続を止めないために、7.6.3へ上げる前にIPsec-VPNへ移行するよう求めている
「トンネルモード」とは、社員のパソコンにFortiClient（フォーティクライアント：社員PCに入れる接続アプリ）を入れて、社内のネットワークに丸ごとつなぐ使い方です。テレワークで「FortiClientを起動してつないでいる」なら、ほぼこれに当たります。
| FortiOSのバージョン | SSL-VPN（トンネルモード） | 補足 |
|---|---|---|
| 7.4系 | 使える【要確認：7.4系の最新パッチで、機種ごとに引き続き使えるか】 | Fortinetの告知ではサポート終了は2028年11月11日 |
| 7.6.0〜7.6.2 | 使える（ただし40F・60F・61Fなどメモリ2GB以下の機種は不可） | 2GB以下の機種は7.6.0の時点でSSL-VPN（トンネル・Web両方）が廃止 |
| 7.6.3以降 | 全機種で使えない | 設定は引き継がれない。移行先はIPsec-VPN |
※出典：Fortinet FortiOS 7.6.0／7.6.3 Release Notes、Fortinet Community（CSB-260330-1）準拠
移行せずにアップデートすると起きること
怖いのは、アップデート作業そのものは「成功」に見えることです。FortiGate本体は普通に動き、社内のインターネットも使えます。止まるのは社外からの接続だけなので、気づくのは翌朝、テレワーク中の社員から連絡が来たときです。
ありがちな例（想定例）：金曜の夜、保守業者が脆弱性対策として最新のFortiOSに更新。月曜の朝、在宅勤務の社員が全員つながらず、会社に出社して対応。元の設定は消えているため、すぐに元に戻すこともできない――という流れです。
- テレワーク・出張先・自宅からの社内接続がすべて止まる
- SSL-VPN用の設定（接続ルールなど）が消えるため、元のバージョンに戻しても自動では復旧しない
- 社員のパソコンのFortiClient設定も作り直しが必要になり、復旧に時間がかかる
防ぐ方法はシンプルで、「IPsec-VPNで全員がつながることを確認してから、7.6.3以降に上げる」という順番を守ることです。
移行先の比較：IPsec-VPNで何が変わるか
Fortinetが移行先として案内しているのは、IPsec-VPNの中でも「IKEv2（アイクブイツー：接続の取り決め方式の新しい版）」＋「TCP443番」という組み合わせです。443番は、普段のWebサイト閲覧と同じ出入口のこと。ホテルや取引先のWi-Fiなど、特殊な通信を止めがちな環境でもつながりやすい、というのがSSL-VPNの長所でしたが、この設定ならIPsecでも同じ出入口が使えます。
| 項目 | SSL-VPN（トンネルモード） | IPsec-VPN（IKEv2＋TCP443） | 7.6.2以前に据え置き |
|---|---|---|---|
| 7.6.3以降で使えるか | 使えない | 使える | ―（上げない前提） |
| 使う出入口（ポート） | TCP443番など | TCP443番を設定可能 | 今のまま |
| 社員PCのアプリ | FortiClient | FortiClient（TCP443番を使う場合は7.4.1以降） | 今のまま |
| 社内ID・クラウドのログインとの連携 | 今の設定 | SAML連携はIKEv2のみ対応。LDAP連携はFortiClient 7.4.3以降が必要 | 今のまま |
| 追加の機器 | ― | 原則不要（FortiGateの標準機能） | 不要 |
| 今後のセキュリティ修正 | ― | 新しいバージョンで受けられる | 新しい修正を受けられない |
※出典：Fortinet「SSL VPN to IPsec VPN Migration FortiOS 7.6.0」、FortiOS 7.6.3 Release Notes準拠
「アップデートしなければいい」という考え方もありますが、おすすめしません。FortiGateはネットワークの門番です。門番のソフトを古いまま止めると、新しく見つかった弱点をふさげなくなります。据え置きは「移行の準備が整うまでの時間稼ぎ」と考えてください。
SSL-VPNとIPsec-VPNの安全性や設定の手間の違いは、SSL-VPNとIPsec-VPNの比較記事で詳しく解説しています。
逆算スケジュール：アップデート予定日から4週間前に動く
期限は「カレンダーの日付」ではなく、あなたの会社のFortiGateが7.6.3以降に上がる日です。保守業者が定期的に更新している場合は、まず次の更新予定日を聞いてください。そこから逆算します。
| 時期 | やること | 担当 |
|---|---|---|
| 4週間前 | 今のFortiOSバージョン、SSL-VPNを使っている人数・パソコン台数、ログイン方法（FortiGate内のID／社内サーバー／クラウドのID）を洗い出す | 会社＋業者 |
| 3週間前 | 今のバージョンのまま、IPsec-VPNの設定を追加する（SSL-VPNは残したまま） | 業者 |
| 2週間前 | 一部の社員（2〜3名）のFortiClientをIPsec用に設定し、自宅などから試験接続 | 業者＋社員 |
| 1週間前 | 全員のパソコンをIPsec用に切り替え。全員がつながることを確認 | 業者＋社員 |
| 当日 | FortiOSを7.6.3以降にアップデート | 業者 |
| 翌営業日 | 社外からの接続を再確認。問題があれば業者へ連絡 | 会社 |
※出典：Fortinet FortiOS 7.6.3 Release Notes（アップデート前の移行を推奨）準拠。各時期の配分は当サイトの目安
移行の注意点：業者任せにしない4つのポイント
1. 「ログインの仕組み」によって必要な作業が変わる
社員がVPNにログインするときのID・パスワードを、どこで管理しているかで作業量が変わります。
- FortiGateの中にIDを登録している：そのまま使える
- 社内のサーバー（Active Directoryなど）と連携：FortiClient 7.4.3以降が必要になる場合がある
- Microsoft 365などクラウドのログインと連携（SAML）：IKEv2でしか使えない
2. 「社内宛てだけVPNを通す」設定が初期状態と違う
SSL-VPNは、社内宛ての通信だけVPNを通し、ほかのインターネット通信はそのまま出す設定（スプリットトンネル）が標準でした。IPsecは作り方によって初期状態が異なり、手動で作ると「すべての通信がVPN経由」になります。気づかないと「VPNにつなぐとネットが遅い」という新しい不満が出ます。
3. 社員のパソコンも1台ずつ設定が要る
FortiGate側だけでなく、社員のFortiClientもIPsec用に設定し直します。古いFortiClientはTCP443番に対応していないため（7.4.1以降が必要）、バージョンアップも含めて台数分の作業が発生します。なお、FortiClient 7.4.4以降は古い方式（IKEv1）に対応していないため、新しく作るならIKEv2一択です。
無料版の「FortiClient VPN」で今回の設定が使えるかは【要確認：無料版FortiClient VPNでIKEv2＋TCP443番の接続が使えるか】です。台数が多い会社は、配布を一括で管理できる有償の管理ツール「FortiClient EMS」を使う方法もありますが、10〜30台程度なら必須ではありません。
4. 出入口（ポート）の重なりに注意
IPsecをTCP443番で動かすとき、今のSSL-VPNやFortiGateの管理画面が同じ443番を使っていると、設定の見直しが必要になる場合があります【要確認：SSL-VPN・管理画面とIPsec（TCP443番）のポートが重なる場合の設定変更の要否】。移行計画に含まれているか、業者に確認しておくと安心です。
VPNの設定変更を業者が遠隔でどこまで対応できるかは、機種や保守契約によって差があります。遠隔での設定変更やVPN運用のしやすさの違いは、Sophos XGとFortiGateの運用・保守コスト比較が参考になります。
※メーカーや販売店に縛られない立場で、必要なもの・不要なものをお伝えします。
費用の目安：5年総額で「何にお金がかかるか」
今回の移行でかかる費用は、主に作業費です。機器代は原則かかりません。金額は会社の人数やログインの仕組みで大きく変わるため、ここでは見積もりで確認すべき項目を整理します【要確認：移行作業費・FortiClient EMSライセンスの実勢価格の目安】。
| 費用の項目 | 必要か | 見積もりで確認すること |
|---|---|---|
| FortiGate側のIPsec設定作業 | 必要 | SSL-VPNを残したまま並行して作る手順になっているか |
| 社員PCのFortiClient設定・更新作業 | 必要 | 何台分が含まれているか。訪問か遠隔か |
| 試験接続・切り替え当日の立ち会い | あった方がよい | 試験日が設けられているか |
| FortiClient EMS（一括管理ツール） | 台数が多い場合のみ | 小規模なのに必須として入っていないか |
| FortiGate本体の入れ替え | 原則不要 | 本体のサポート期限など、入れ替えの理由が別にあるか |
| 保守契約・リースの組み直し | 原則不要 | 移行を理由に契約期間が延びていないか |
※出典：Fortinet「SSL VPN to IPsec VPN Migration FortiOS 7.6.0」、FortiOS 7.6.3 Release Notes準拠。費用項目の整理は当サイトによるもの
5年で見たときに一番大きな差がつくのは、作業費ではなく「ついでの入れ替え」や「リースの延長」です。本体のサポート期限が近い場合は、移行とまとめて入れ替えた方が作業が1回で済むので合理的です。逆に、期限に余裕があるなら入れ替えは不要です。本体の期限は【要リンク確認：FortiGate本体のサポート期限（EOL）の記事】、後継機の価格は【要リンク確認：FortiGate 50G／70Gの製品DBページ】で確認できます。
リースの中身に不安がある方は、【要リンク確認：UTMのリース・保守契約の見直し記事】もあわせてご覧ください。
よくある質問（FAQ）
Q. FortiGateを使っていれば、すべての会社が影響を受けますか？
SSL-VPNのトンネルモード（FortiClientを使ってつなぐ方式）でテレワークをしている会社が対象です。FortiOS 7.6.3以降にアップデートすると全機種でこの機能が使えなくなり、設定も引き継がれません。VPNを使っていない会社や、すでにIPsec-VPNでつないでいる会社は、この変更の直接の影響はありません。
Q. UTM本体の買い替えは必要ですか？
この変更だけを理由に買い替える必要は原則ありません。移行先のIPsec-VPNはFortiGateの標準機能です。ただし本体自体のサポート期限が近い場合は、移行とまとめて検討した方が作業が1回で済みます。
Q. アップデートしなければ、今のまま使えますか？
FortiOS 7.6.2以前に留めればSSL-VPNは動きます。ただし新しいセキュリティ修正は新しいバージョンで配布されるため、古いバージョンに留め続けるのはおすすめしません。据え置きは移行の準備が整うまでの時間稼ぎと考えてください。
Q. 社員のパソコン側の作業は必要ですか？
必要です。接続アプリFortiClientの接続設定をIPsec用に作り直します。Fortinetの移行ガイドでは、TCP443番を使う接続にはFortiClient 7.4.1以降が必要とされています。台数分の作業が発生するため、見積もりの際は何台分が含まれているかを確認してください。
Q. 業者に移行を頼むとき、何を確認すればよいですか？
3点です。アップデート前にIPsecへの移行を済ませる段取りになっているか、社員のパソコン側の設定作業が見積もりに含まれているか、切り替え前に一部の社員で試験接続する日を設けているか。この3点が曖昧なまま日程だけ決まっている場合は注意が必要です。
まとめ
覚えておくべきことは3つです。
- FortiOS 7.6.3以降、SSL-VPNのトンネルモードは全機種で廃止。設定は引き継がれず、移行しないまま上げるとテレワークが止まる
- 順番は「IPsecで全員つながる → それからアップデート」。SSL-VPNを残したまま並行して試すのが安全
- 機器の買い替えやリースの組み直しは原則不要。見積もりに入っていたら、その理由を確認する
そもそもSSL-VPNとIPsec-VPNがどう違うのかを押さえておきたい方は、SSL-VPNとIPsec-VPNはどっちを選ぶ？もあわせてお読みください。
