すでにリソース制限に達している企業ネットワークに FortiGate を追加する場合の目標は、トラフィックを効率的に分散し、高可用性を確保することです。
外部ロード バランサを使用した FGSP (FortiGate セッション ライフ サポート プロトコル) FGSP を使用すると、HA (高可用性) クラスタに所属していなくても、複数の FortiGate ユニット間でセッション対応のロード バランシングが可能になります。

外部ロード バランサを使用すると、着信トラフィックは複数の FortiGate デバイスに均等に分散されます。

このアプローチは、ファイアウォール間でセッションが同期された状態を維持しながら、トラフィック処理能力をスケールアウトするのに役立ちます。

FGSP は、ステートフル フェイルオーバーが必要であるが、従来の HA の制約がない場合に効果的です。

アクティブ/アクティブ モードの FGCP (FortiGate Clustering Protocol) とスイッチ FGCP アクティブ/アクティブ モードを使用すると、複数の FortiGate デバイスでトラフィック負荷を共有できるため、スループットと効率が向上します。

アクティブ/アクティブ モードは、複数の FortiGate 間で UTM 処理のバランスをとるのに適しており、リソース制限が懸念される場合に最適です。

スイッチを使用すると冗長性が確保され、ネットワーク内の単一障害点を回避できます。

このモードは、スケーラビリティと冗長性の両方が必要なエンタープライズ ネットワークでよく使用されます。

Web フィルタリングやアプリケーション制御などのセキュリティ機能を適用しながら CPU と RAM の使用を最小限に抑えるには、SSL 証明書検査モードが最適です。
# SSL 証明書検査により、FortiGate は暗号化されたペイロード全体を復号化せずに、サーバー名表示 (SNI) と証明書の詳細を含む SSL/TLS ハンドシェイクのみを検査できます。
# これにより、FortiGate は SNI と証明書情報に基づいて宛先の Web サイトまたはアプリケーションを判別できるため、Web フィルタリングやアプリケーション制御などの機能が有効になります。
# トラフィックの完全な復号化と再暗号化を必要とする完全な SSL 検査と比較して、システム負荷が大幅に軽減されます。

IBGP と EBGP を使用して異なるハブ間のオーバーレイ ネットワークを接続するように ADVPN (自動検出 VPN) を構成する場合、異なるオーバーレイ ネットワークのスポークが動的にトンネルを確立できるように特別な構成が必要です。
# 自動検出クロスオーバーを有効にする
# これにより、複数のハブが使用される ADVPN 展開で、ハブ間のトンネル検出が可能になります。
# ハブ A とハブ B は異なるオーバーレイに属しているため、クロスオーバー検出を有効にすると、必要に応じて 1 つのオーバーレイのスポークが他のオーバーレイのスポークへの直接トンネルを動的に作成できるようになります。
# 強制マルチホップを有効にする
# この設定により、ループバック インターフェイスを使用する BGP ピアは、直接接続されていない場合でも接続を確立できるようになります。
# ループバック アドレスを BGP ピア ソースとして使用する場合は、接続が BGP ネイバーに到達する前に複数のルーターを通過する必要がある可能性があるため、マルチホップ BGP セッションが必要です。
# これは、ルートが 1 つのハブから別のハブに渡る必要がある可能性がある、複数のハブを備えた ADVPN 展開で特に役立ちます。

この問題は、FortiGateがパケットに「Do Not Fragment」（DF）ビットを適用し、パケットサイズがネットワークパスのMTUを超えるために発生します。Windows PC1（MTUは1500バイト）が1400バイトのパケットを送信しようとすると、FortiGateインターフェース（MTUは1000バイト）はパケットをフラグメント化する必要があります。しかし、DFビットが設定されているため、FortiGateはパケットをフラグメント化せずに破棄してしまいます。
この問題を解決するには、pingパケットのサイズをパスMTUに収まるように調整する必要があります。この場合、パケットサイズを972バイト（1000バイトMTUからIPヘッダーとICMPヘッダーの28バイトを差し引いた値）に減らすことで、正常に送信できるようになります。

メタデータ変数を使用して、各 FortiGate デバイスに応じて値を動的に割り当てます。
FortiManagerのメタデータ変数を使用すると、各FortiGateを手動で設定することなく、デバイス固有の設定を動的に割り当てることができます。これは、類似した基本設定を持つ複数のデバイスを導入する場合に特に便利です。
プロビジョニング テンプレートを使用して、デバイス レイヤーで構成設定をインストールします。
FortiManagerのプロビジョニングテンプレートは、FortiGateデバイスを構造的に構成する方法を提供します。これらのテンプレートでは、インターフェース、ポリシー、および設定を定義できるため、導入時に各デバイスが正しく構成されることを保証します。
FortiManager に FortiGate デバイスをモデル デバイスとして追加し、ZTP または LTP を使用して FortiGate デバイスに接続します。
ゼロタッチプロビジョニング（ZTP）とローカルタッチプロビジョニング（LTP）は、FortiGateデバイスの導入を自動化します。FortiManagerでデバイスをモデルデバイスとして追加することで、デバイスの初回接続時に設定が自動的にプッシュされ、手作業の負担を軽減します。