FortiGate FAQ - トラブルシュート

セッション情報を削除する方法を教えてください
ID
 ： 
FG-82-0024
公開日
 ： 
2019/04/01
更新日
 ： 
-
OS Ver
 ： 
-
セッション情報は、CLIでは、diagnose sys session clear コマンドで削除することが出来ます。
diagnose sys session clear は、diagnose sys session filter で指定した条件に一致するセッションを削除します。その為、セッションを削除する場合は、事前に diagnose sys session filter コマンドで削除するセッションの条件を設定します。
※デフォルトでは、すべてのセッションを削除しますので、ご注意ください。

セッションの削除は、以下手順で実施します。
  1. session filter を初期化する(以前設定したフィルタが残っている場合がある為)
  2. session filter を設定する
  3. セッションを削除する
  4. 設定した session filter を初期化する

　1. session filter を初期化する
　session filter コマンドは、現在のフィルタに設定を追加登録(同じ項目を設定する場合は上書き)として処理されます。
　その為、以前設定していたフィルタに追加すると、意図しないセッションを削除する可能性があります。その為、事前に現在のフィルタを clear コマンドで初期化します。
　※ diagnose sys session clear と誤って入力しないよう、ご注意ください。
FGT60EXXXXXXXXXX # diagnose sys session filter clear

　その後、diagnose sys session filter コマンドでフィルタが初期化(全ての項目が any になっている)されていることを確認します。
FGT60EXXXXXXXXXX # diagnose sys session filter session filter: vd: any sintf: any dintf: any proto: any proto-state: any source ip: any NAT'd source ip: any dest ip: any source port: any NAT'd source port: any dest port: any policy id: any expire: any duration: any state1: any state2: any


　2. session filter を設定する
　フィルタは、diagnose sys session filter に引数を与えることで登録します。
　フィルタは、vdom名, インタフェース, IPアドレス, ポート番号, F/WポリシーID等、様々な項目を設定することが出来ます。
　設定可能なフィルタは、diagnose sys session filter コマンドの後に、? を入力することで確認することが出来ます。
FGT60EXXXXXXXXXX # diagnose sys session filter ? vd Index of virtual domain. -1 matches all. sintf Source interface. dintf Destination interface. src Source IP address. nsrc NAT'd source ip address dst Destination IP address. proto Protocol number. sport Source port. nport NAT'd source port dport Destination port. policy Policy ID. expire expire duration duration proto-state Protocol state. session-state1 Session state1. session-state2 Session state2. clear Clear session filter. negate Inverse filter.

　宛先IPアドレスとして、192.168.100.99 を設定した場合は、以下のように設定します。
FGT60EXXXXXXXXXX # diagnose sys session filter dst 192.168.100.99

　設定したフィルタは、diagnose sys session filter コマンドで確認することが出来ます。
FGT60EXXXXXXXXXX # diagnose sys session filter session filter: vd: any sintf: any dintf: any proto: any proto-state: any source ip: any NAT'd source ip: any dest ip: 192.168.100.99-192.168.100.99 <- 宛先に 192.168.100.99 が設定されている source port: any NAT'd source port: any dest port: any policy id: any expire: any duration: any state1: any state2: any


　3. セッションを削除する
　セッションを、diagnose sys session clear コマンドで削除します。
FGT60EXXXXXXXXXX # get system session list PROTO EXPIRE SOURCE SOURCE-NAT DESTINATION DESTINATION-NAT tcp 109 192.168.1.182:62648 192.168.100.199:62648 192.168.100.99:443 - tcp 3598 192.168.1.182:62654 - 192.168.1.199:443 - tcp 109 192.168.1.182:62647 192.168.100.199:62647 192.168.100.99:443 - tcp 3598 192.168.1.182:62651 - 192.168.1.199:443 - FGT60EXXXXXXXXXX # diagnose sys session clear FGT60EXXXXXXXXXX # get system session list PROTO EXPIRE SOURCE SOURCE-NAT DESTINATION DESTINATION-NAT tcp 3598 192.168.1.182:62654 - 192.168.1.199:443 - tcp 3598 192.168.1.182:62651 - 192.168.1.199:443 -


　4. 設定した session filter を初期化する
　セッションを削除した後、diagnose sys session filter clear コマンドでフィルタを初期化します
FGT60EXXXXXXXXXX # diagnose sys session filter clear