FortiOS 7.6.7 New Feature：NP7のリンクスキャン間隔を短縮してHAフェイルオーバー遅延を改善
はじめに
FortiOS 7.6.7では、NP7を搭載したFortiGateにおいて、リンク状態をスキャンする間隔を変更できるようになりました。
FGCPによるHA構成で、フェイルオーバー時に想定よりも通信復旧に時間がかかる場合、リンクスキャン間隔を短縮することで遅延を改善できる可能性があります。
本記事では、FortiOS 7.6.7で追加された np-linkscan-interval の概要と設定方法、利用時の注意点について解説します。
NP7リンクスキャン間隔とは
NP7リンクスキャン間隔とは、NP7プロセッサを搭載したFortiGateが、物理リンクに障害が発生していないかを確認する間隔です。デフォルトでは、リンク状態を1,000ミリ秒間隔でスキャンします。
FortiOS 7.6.7では、次の範囲でリンクスキャン間隔を変更できるようになりました。
| デフォルト値 | 1,000ミリ秒 |
| 最小値 | 50ミリ秒 |
| 最大値 | 1,000ミリ秒 |
| 対象 | NP7搭載FortiGate |
スキャン間隔を短縮すると、FortiGateがリンク状態の変化をより早く認識できる可能性があります。
また、HAフェイルオーバー後にGratuitous ARPを送信するタイミングが早くなり、隣接するスイッチやルータのARP情報を早期に更新できる可能性があります。
設定方法
NP7リンクスキャン間隔は、config system npu から設定します。
例えば、リンクスキャン間隔を200ミリ秒に変更する場合は、次のように設定します。
config system npu
set np-linkscan-interval 200
end
デフォルトの1,000ミリ秒に戻す場合は、次のように設定します。
config system npu
unset np-linkscan-interval
end
または、明示的に1,000ミリ秒を指定します。
config system npu
set np-linkscan-interval 1000
end
期待できる効果
通常のHAフェイルオーバーでは、次のような処理が行われます。
- 障害またはリンクダウンを検知する
- セカンダリが新しいプライマリに切り替わる
- 新しいプライマリがGratuitous ARPを送信する
- 周辺機器のARPテーブルが更新される
- 新しいプライマリを経由して通信が再開する
HAクラスタの切替が完了していても、周辺機器のARP情報が更新されるまで、実際の通信が復旧しない場合があります。
np-linkscan-interval を短縮することで、NP7によるリンク状態の確認と、フェイルオーバー後のGratuitous ARP送信が早まり、結果として通信断時間を短縮できる可能性があります。
Fortinetの公式ドキュメントでは、フェイルオーバーに約2秒かかっているような環境で、この値を短縮することで遅延を改善できる可能性があると説明されています。
HAの検知タイマーとは別の設定
注意したいのは、np-linkscan-interval はFGCPのハートビート間隔や、リンクモニターの監視間隔を変更する設定ではないという点です。
本設定は config system npu 配下のNP7に関する設定です。
そのため、HAの切替時間を検証する際は、次の時間を分けて確認する必要があります。
- 障害が発生してからFGCPがフェイルオーバーを開始するまで
- セカンダリがプライマリへ昇格するまで
- Gratuitous ARPが送信されるまで
- 隣接機器のARP情報が更新されるまで
- 実際の通信が復旧するまで
単純にPingの欠損時間だけを見るのではなく、HAイベントログやパケットキャプチャを併用すると、どの処理で時間がかかっているかを判断しやすくなります。
利用が考えられる環境
この設定は、特に次のような環境で有効になる可能性があります。
- HAフェイルオーバー時の通信断時間に厳しい要件がある
- フェイルオーバー後、通信復旧まで1～2秒程度かかっている
- 音声、金融、制御系など、短時間のパケットロスも問題になる
- NP7搭載のFortiGateを利用している
一方で、通信断の原因がルーティングプロトコルの再収束や、スイッチ側のリンク検知、LACP、STPなどにある場合、本設定だけでは改善しない可能性があります。まず、どの部分でフェイルオーバー遅延が発生しているかを確認することが重要です。
設定時の注意点
NP7搭載モデルのみが対象
np-linkscan-interval は、NP7プロセッサを搭載したFortiGateを対象とした設定です。すべてのFortiGateで利用できるわけではないため、使用しているモデルのFast Path Architectureを事前に確認する必要があります。
最小値をいきなり設定しない
設定可能な最小値は50ミリ秒ですが、最初から最小値を設定する必要はありません。段階的に変更し、効果を確認する方法が考えられます。設定値を短くするほどリンク状態を確認する頻度は高くなります。
公式ドキュメントには、設定値ごとのリソース消費量や推奨値は記載されていません。そのため、実環境へ適用する前に、CPU使用率や通信への影響を含めて検証するのが安全です。
実際の通信復旧時間を測定する
設定変更前後で、次の項目を比較します。
- Pingの連続欠損数
- HAの切替完了時間
- Gratuitous ARPの送信時刻
- 隣接スイッチやルータのARP更新時刻
- アプリケーション通信の復旧時間
HAの切替自体が速くなっても、周辺ネットワークの情報更新が遅ければ、実際の通信断時間は短縮されない可能性があります。
まとめ
FortiOS 7.6.7では、NP7を搭載したFortiGateで、リンクスキャン間隔を変更できる np-linkscan-interval が追加されました。
デフォルト値は1,000ミリ秒で、50～1,000ミリ秒の範囲で設定できます。
リンクスキャン間隔を短縮することで、通信断時間を短縮できる可能性があります。
ただし、HAフェイルオーバーの遅延には、FGCP、LACP、STP、ARP、ルーティングなど複数の要素が関係します。
単純に最小値を設定するのではなく、パケットキャプチャなどで遅延箇所を特定したうえで、段階的に設定を調整するのがよいでしょう。
参考：