フローベースの検査モードでは、FortiGate は置換メッセージを提供する代わりにリセット (RST) パケットをクライアントに送信するため、ブロック メッセージは表示されません。

SSL の完全な検査が必要です。
Facebook でホストされているビデオ (チェックマーク) コンテンツを再生することはできますが、ビデオやその他の種類の投稿に反応を残すことはできません。
これは、ビデオを視聴することはできても、コンテンツに「いいね！」するなどの反応ができないため、ルールが部分的に機能していることを示しています。したがって、アプリ ルールの追加ではなく、SSL 検査に問題があるはずです。
Facebook_like.Button の背後にあるロック ロゴは、SSL ディープ インスペクションが必要であることを示しています。Facebook および Facebook_Video.Play の他のすべてのアプリケーション署名では、SSL インスペクションは必要ありません。したがって、ユーザーはビデオ コンテンツを再生できます。Facebook_like.Button のアプリケーション署名を調べると、「SSL ディープ インスペクションが必要」と表示されます。
FortiGate は完全な SSL 検査を実行する必要があります。完全な SSL 検査がないと、FortiGate は暗号化されたトラフィックを検査できません。

ISP のルーティング テーブルでは、ルートが C (接続済み) であることがわかります。これは、ARP エントリがない場合、トラフィックが ISP によってドロップされることを意味し、これが Forti スニファーにパケットが存在しない理由です。
外部インターフェイス アドレスは、VIP で設定されている外部アドレスとは異なります。アップストリーム ネットワークのルーティングが適切に設定されている限り、これは問題ではありません。アップストリーム ネットワークでのルーティングを容易にするために、VPN で ARP 応答を有効にすることもできます (デフォルトでは有効ですが、ここでは無効になっています)。
隣接デバイスのルーティング テーブルには正しいネクスト ホップ情報が含まれており、ネットワークに到達可能であるため、ほとんどのネットワークでは ARP 応答を有効にする必要はありません。ただし、ルーティング構成が完全に正しくない場合があり、その場合は ARP 応答を有効にすると問題が解決することがあります。
このため、ARP 応答を有効にしておくことがベスト プラクティスです。

SD-WAN を使用する利点は次の 2 つです。
B. WAN が効果的に使用されます。
SD-WAN は、ワイド エリア ネットワーク (WAN) リソースの使用率を最適化し、ネットワークの効率とパフォーマンスを向上させます。
C. アプリケーションステアリングが利用可能です。
SD-WAN は、特定のアプリケーションに基づいてトラフィックを誘導および優先順位付けする機能を提供し、より優れたアプリケーション パフォーマンスとユーザー エクスペリエンスを保証します。
他のオプションは正確ではありません:
A は不正解です。FortiGate は通常、複数の SD-WAN メンバー間でパケットごとではなくセッションごとに配信を実行します。
D は不正解です。特にセキュリティとトラフィック制御の目的で、ファイアウォール ポリシーが依然として必要になる場合があります。
したがって、正しい選択肢は B と C です。

IPS センサー構成は次のことを示しています。
* Microsoft.Windows.iSCSI.Target.DoS 署名は、パケット ログ記録が有効になっている状態で「監視」に設定されています。つまり、この署名に一致するトラフィックは許可されますが、さらに分析するためにログに記録されます。
* 一般的な Windows フィルターは「ブロック」に設定されており、このフィルターに一致する他のすべての攻撃がブロックされます。ただし、指定されない限り、センサーは接続をリセットしたりパケットをログに記録したりしません。
したがって、このセンサーは、Windows に対する他の攻撃をブロックしながら、特定の DoS シグネチャに一致する攻撃を許可します。
参考文献:
* FortiOS 7.4.1 管理ガイド: IPS 構成