FortiGate は、静的 URL フィルター、FortiGuard カテゴリ フィルター、Web コンテンツ フィルター、Web スクリプト フィルター、ウイルス対策スキャンの順序で Web フィルターを適用します。

デバッグフローを実行します。
スニファーは入ってくるパケットと出ていくパケットを表示しますが、スニファーでは Fortigate によってドロップされたパケットを確認できません。デバッグにより、Fortigate が原因でパケットが入らないことが示されます。したがって、パケットが Fortigate に到達してドロップされた場合、デバッグで表示されます。

デフォルトでは、宛先 all の拒否ポリシーの vip と一致しません。そのため、2 つのオプションがあります。
1. 拒否ポリシーで match vip を有効にします。
2. 拒否ポリシーで宛先を Web サーバーとして追加します。match-vip を有効に設定する必要がありますが、無効にしないでください...
参照: https://community.fortinet.com/t5/FortiGate/Technical-Tip-Firewall-does-not-block-incoming-WAN-to-LAN /ta-p/189641

PC3 がインターネットにアクセスできない問題を解決するには、管理者が IP プール構成またはファイアウォール ポリシーを調整する必要があります。次の 2 つのオプションで接続の問題を解決できます。
* B. IPプール設定で、終了IPを192.2.0.12に設定します。現在のIPプールの範囲は
192.2.0.10 ～ 192.2.0.11 は、ネットワーク アドレス変換 (NAT) 用に 2 つの IP アドレスのみを提供します。PC3 がインターネットにアクセスできるようにするには、範囲の末尾を 192.2.0.12 に変更して、IP プールを拡張し、追加の IP アドレスを含める必要があります。
* D. IP プール構成で、タイプをオーバーロードに設定します。1 対 1 の NAT を使用する代わりに、タイプをオーバーロードに変更すると、複数の内部アドレス (PC1、PC2、PC3 など) が 1 つの外部 IP アドレスを共有できるようになります。これにより、追加のパブリック IP アドレスを必要とせずに問題が解決されます。
その他のオプションは適切ではありません:
* A. ファイアウォール ポリシー設定で、ソース フィールドにアドレス オブジェクトとして 10.0.1.3 を追加します。ファイアウォール ポリシーでは既にソース (LAN ポート 3) からのすべてのアドレスが許可されているため、このオプションは不要です。
* C. PC3 のアドレスのみを送信元として一致する別のファイアウォール ポリシーを構成し、そのポリシーをリストの先頭に配置します。このオプションは冗長であり、IP プール構成の根本的な問題は解決されません。
参考文献
* FortiOS 7.4.1 管理ガイド - ファイアウォール ポリシーの設定、512 ページ。
* FortiOS 7.4.1 管理ガイド - IP プールを使用した NAT の設定、518 ページ。

LAN から WAN へのソース NAT は、アドレスが 10.200.1.100 に設定された IPPOOL を使用します。WAN から LAN への宛先 NAT は VIP を使用します。質問には SNAT とあるので、ここでの唯一の正解 (IP プールを見る) は D です。
(ステップ 2): 一致するファイアウォール ポリシーで NAT が有効になっている場合、FortiGate は VIP 内のマップされたアドレスから送信されたすべての出力トラフィックに対して SNAT を実行するときに、VIP で定義された外部 IP アドレスを NAT IP として使用します。
IP プールを使用すると、手順 2 で説明した動作をオーバーライドできることに注意してください。
参照: https://kb.fortinet.com/kb/documentLink.do?externalID=FD44529