このIPsecフェーズ1設定は、複数のピアからの接続を受け入れることができる動的VPNトンネルを定義します。ここで選択された設定は、リソースの効率的な使用を確保しながら、断続的なトラフィックパターンを持つネットワークに最適化された設定を示しています。
主な構成とその影響:
#set type dynamic# これにより、事前定義された IP アドレスを必要とせずに、複数のピアが動的に接続を確立できるようになります。
#set ike-version 2# より効率的で、EAP 認証やキー再生成のオーバーヘッドの削減などの機能をサポートする IKEv2 を使用します。
#set dpd on-idle# トンネルがアイドル状態の場合にのみ Dead Peer Detection (DPD) がトリガーされ、不要なキープアライブ パケットが削減され、リソースの使用率が向上します。
#set add-route enable# FortiGate は、トンネルが確立されると、ルーティング テーブルにルートを自動的に追加し、必要なときに接続を確保します。
#set proposal aes128-sha256 aes256-sha256# 強力な暗号化とハッシュアルゴリズムを使用して、安全な接続を保証します。
#set keylife 28800# キーの有効期間を長く設定し(8 時間)、キー再生成の頻度を減らして、安定した接続を実現します。
DPDがオンアイドルに設定されているため、トンネルはキープアライブメッセージを継続的に送信しませんが、トラフィックが検出されると接続を確保します。この設定は、定期的に発生するものの継続的ではないトラフィックがあるネットワークに最適であり、セキュリティとリソース効率のバランスが取れています。

IBGP（内部BGP）ネットワークでは、すべてのルータが完全メッシュ化されている必要があります。つまり、すべてのルータが同じ自律システム（AS）内の他のすべてのルータとBGPセッションを確立する必要があります。この方法は、BGPセッション数が指数関数的に増加するため、大規模ネットワークでは拡張性に欠けます。
IBGPを最適化および拡張するために、ルートリフレクタ（RR）が使用されます。ルートリフレクタ（RR）は、中央ルータ（RR）がIBGPルートを他のIBGPピア（クライアントと呼ばれる）に再配布できるようにすることで、IBGPピア接続数を削減します。これによりフルメッシュが不要になり、BGPセッションのオーバーヘッドが大幅に削減されます。
IBGP ピアで route-reflector-client 設定を構成することにより、管理者は次のことが可能になります。
#直接 BGP ピア接続の数を減らすことで IBGP セッションを拡張します。
#IBGP ネットワーク内でルートが効率的に伝播されるようにすることで、ルーティング テーブルを最適化します。
#フルメッシュトポロジの必要性を排除し、IBGP の管理性を高めます。

隣接グループ:
このコマンドは、同じ設定を持つ複数の BGP ネイバーをグループ化し、冗長な設定を削減するために使用されます。
管理者は、スポークごとに個別の BGP 設定を定義する代わりに、ネイバー グループを作成して同じポリシーを適用することで、手作業を削減できます。
隣接範囲:
このコマンドを使用すると、ネイバー IP の範囲を動的に設定できるため、各スポーク ネイバーを手動で定義する必要性が軽減されます。
特定のプレフィックスに一致する BGP ネイバーを自動的に追加し、導入を簡素化します。

Web フィルタリングやアプリケーション制御などのセキュリティ機能を適用しながら CPU と RAM の使用を最小限に抑えるには、SSL 証明書検査モードが最適です。
#SSL 証明書検査により、FortiGate は暗号化されたペイロード全体を復号化せずに、サーバー名表示 (SNI) と証明書の詳細を含む SSL/TLS ハンドシェイクのみを検査できます。
# これにより、FortiGate は SNI および証明書情報に基づいて宛先の Web サイトまたはアプリケーションを判別できるため、Web フィルタリングやアプリケーション制御などの機能が有効になります。
# トラフィックの完全な復号化と再暗号化を必要とする完全な SSL 検査と比較して、システム負荷が大幅に軽減されます。