このシナリオでは、FortiGate デバイスは仮想 IP (VIP) を使用して、パブリック IP アドレス (203.0.113.2) を Web サーバーの内部 IP アドレス (172.16.1.10) にマッピングしています。管理者が着信トラフィックのスニファ出力を確認できないという事実は、FortiGate がパブリック IP アドレス (203.0.113.2) の ARP 要求に応答していないことを示しています。
VIP 設定で arp-reply を有効にすると、FortiGate はパブリック IP の ARP 要求に応答できるようになり、トラフィックが FortiGate に到達できるようになり、VIP マッピングに基づいて Web サーバーに転送されます。

FortiGate デバイスで SSL 証明書検査が有効になっている場合、システムは次の 3 つの情報を使用して SSL サーバーのホスト名を識別します。
* クライアント Hello メッセージの Server Name Indication (SNI) 拡張 (B): SNI は、SSL/TLS プロトコルのクライアント Hello メッセージの拡張です。クライアントが接続しようとしているホスト名を示します。これにより、FortiGate は SSL ハンドシェイク中にサーバーのホスト名を識別できます。
* サーバー証明書のサブジェクト別名 (SAN) フィールド (C): サーバー証明書の SAN フィールドには、証明書が有効な追加のホスト名または IP アドレスがリストされます。FortiGate はこのフィールドを検査してサーバーの ID を確認します。
* サーバー証明書の件名フィールド (D): 件名フィールドには、証明書が発行されたプライマリ ホスト名またはドメイン名が含まれます。FortiGate はこの情報を使用して、SSL 証明書の検査中にサーバーの ID を照合および検証します。
その他のオプションは、ホスト名識別のための SSL 証明書検査では使用されません。
* HTTP ヘッダーのホスト フィールド (A): これは HTTP リクエストの一部であり、SSL ハンドシェイクではなく、SSL 証明書の検査には使用されません。
* サーバー証明書のシリアル番号 (E): シリアル番号は、ホスト名の識別ではなく、証明書の管理と失効に使用されます。
参考文献
* FortiOS 7.4.1 管理ガイド - SSL/SSH 検査、1802 ページ。
* FortiOS 7.4.1 管理ガイド - SSL/SSH 検査プロファイルの設定、1799 ページ。

IPsec SA の有効期限が切れると、FortiGate は IPsec トンネル経由でトラフィックの送受信を継続するために新しい SA をネゴシエートする必要があります。技術的には、FortiGate は各フェーズ 2 セレクタから有効期限切れの SA を削除し、新しい SA をインストールします。IPsec SA の再ネゴシエーションに時間がかかりすぎると、アクティブな SA がないため、FortiGate は重要なトラフィックをドロップする可能性があります。これを防ぐには、自動ネゴシエーションを有効にします。これを行うと、FortiGate は現在の SA の有効期限が切れる前に新しい SA をネゴシエートするだけでなく、新しい SA をすぐに使用し始めます。後者は、IPsec SA の再ネゴシエーションによるトラフィックの中断を防ぎます。
デフォルトで自動ネゴシエーションを有効にすると、自動キープアライブも有効になり、トンネルが自動的に起動します。
回答 B は少しトリッキーです。自動ネゴシエーションでは、既存の SA が期限切れになった「後」ではなく、既存の SA が期限切れになる「前」に新しい SA がネゴシエートされます。

A. ダウンストリーム FortiGate デバイスをシャットダウン/再起動します。
正解です。ルート FortiGate には、下流の FortiGate デバイスの電源状態を制御する機能があります。
D. 侵害されたホストを禁止または禁止解除します。
これも正しいです。ルート FortiGate は、侵害されたホストを禁止または禁止解除するア​​クションを実行できるため、セキュリティ インシデントの管理と制御に役立ちます。
したがって正解はAとDです。

FortiGate のアプリケーション制御では、Web アプリケーション内の親アプリケーションと子アプリケーションの両方を識別できます。
これにより、きめ細かな制御が可能になり、検出された特定のアプリケーションに基づいてさまざまなアクションを実行できるようになります。
アプリケーション制御は、FortiGate がネットワーク上の特定の Web アプリケーションの使用を検査および制御できるようにする機能です。アプリケーション制御を有効にすると、FortiGate は子アプリケーションと親アプリケーションを識別し、設定に基づいてさまざまなアクションを実行できます。
FortiGuard アプリケーション制御シグネチャ データベースは、階層構造で編成されています。これにより、トラフィックをより細かく検査できるようになります。Facebook チャットを使用してユーザーが共同作業できるようにしながら、Facebook アプリケーションをブロックできます。