Enterprise Firewall 7.6 管理者向けドキュメントからの抜粋に基づいた、包括的かつ詳細な説明（150～200語）：
FortiManager 7.6のオブジェクト管理とデバイスインポートウィザードに関する学習ガイドによると、FortiManagerはADOM全体でオブジェクトが共有される集中型データベースを使用します。FortiGateから設定をインポートする際、ウィザードはローカルオブジェクトをFortiManager ADOMデータベースに既に存在するオブジェクトと比較します。
図に示すように、Web_restrictionsプロファイルとdeep-inspectionプロファイルには競合が存在します。これらのプロファイルは他のFortiGateデバイスと共有されているため、決定を下す必要があります。
「FortiManager」を選択した場合：次回のインストール時に、ローカルのFortiGate設定はFortiManagerのデータベースバージョンによって上書きされ、サイト固有の設定が失われる可能性があります。
「FortiGate」を選択すると、FortiManager ADOMデータベースが新しい値で更新されます。これにより、これらの共有オブジェクトを使用している他のすべてのFortiGateデバイスは、「変更済み」ステータスに移行します。これは、ローカル構成が更新された中央データベースと一致しなくなるためです。
異なるデバイスが同じプロファイルタイプに対して異なる設定を必要とする場合に、この競合を適切に解決するには、再インポートする前にFortiGate上に一意の名前を持つオブジェクト（オプションB）を作成するのが最善の方法です。これにより、Core1 VDOM固有の要件が満たされ、企業ネットワークの他の部分で使用されるグローバルオブジェクトに影響を与えることなく設定できます。

OSPFデータベースの最適化は、不要なルーティング情報を削減し、ネットワークパフォーマンスを向上させるために必要です。このトポロジーでは、エリア0.0.0.1は非バックボーンエリアであり、エリア境界ルータ（ABR）を介してエリア0.0.0.0（バックボーンエリア）に接続されています。
このシナリオでOSPFを最適化するには、エリア0.0.0.1をスタブエリアとして設定すると、次のようになります。
* OSPF の外部からのルートがエリア 0.0.0.1 に挿入されるのを防ぐことで、OSPF データベースのサイズを削減します。
* エリア内およびエリア間のルートのみを許可します。つまり、エリア 0.0.0.1 のルーターは、外部宛先に対してデフォルト ルートに依存します。
* 交換されるLSA（リンクステートアドバタイズメント）の数が少なくなるため、収束時間が短縮され、ルータの処理負荷が軽減されます。

既にリソースの限界に達している企業ネットワークにFortiGateを追加する場合、その目的はトラフィックを効率的に分散し、高い可用性を確保することです。
FGSP（FortiGate Session Life Support Protocol）と外部ロードバランサー：FGSPを使用すると、複数のFortiGateユニット間でセッションを考慮したロードバランシングが可能になり、HA（高可用性）クラスタを構成する必要がなくなります。
外部ロードバランサーを使用すると、受信トラフィックは複数のFortiGateデバイスに均等に分散されます。
このアプローチは、ファイアウォール間でセッションの同期を維持しながら、トラフィック処理能力を拡張するのに役立ちます。
FGSPは、ステートフルなフェイルオーバーが必要でありながら、従来のHAの制約を受けない場合に効果的です。
FGCP（FortiGate Clustering Protocol）のアクティブ/アクティブモードとスイッチの組み合わせにより、複数のFortiGateデバイスがトラフィック負荷を共有し、スループットと効率が向上します。
アクティブ/アクティブモードは、複数のFortiGate間でUTM処理のバランスを取るのに適しており、リソース制限が懸念される場合に理想的です。
スイッチを使用することで冗長性が確保され、ネットワークにおける単一障害点を回避できます。
このモードは、拡張性と冗長性の両方が求められる企業ネットワークで一般的に使用されています。

このIPsecフェーズ1の設定では、複数のピアからの接続を受け入れることができる動的なVPNトンネルを定義します。ここで選択された設定は、断続的なトラフィックパターンを持つネットワーク向けに最適化された構成を示唆しており、同時にリソースの効率的な使用を保証します。
主要な設定とその影響：
# set type dynamic # これにより、複数のピアが事前に定義された IP アドレスを必要とせずに動的に接続を確立できます。
# set ike-version 2 # IKEv2 を使用します。IKEv2 はより効率的で、EAP 認証や再キーイングのオーバーヘッドの削減などの機能をサポートします。
# set dpd on-idle # デッドピア検出 (DPD) はトンネルがアイドル状態のときにのみトリガーされ、不要なキープアライブパケットを削減し、リソース利用率を向上させます。
# set add-route enable # FortiGate はトンネルが確立されると自動的にルーティング テーブルにルートを追加し、必要なときに接続を確保します。
# set proposal aes128-sha256 aes256-sha256 # 強力な暗号化およびハッシュアルゴリズムを使用して、安全な接続を保証します。
# set keylife 28800 # キーの有効期間を長く設定します (8 時間)。これにより、キーの再生成頻度が減り、安定した接続に役立ちます。
DPDがアイドル状態に設定されているため、トンネルは常時キープアライブメッセージを送信しませんが、トラフィックが検出された際には接続性を確保します。このため、この構成は、トラフィックが定期的だが断続的なネットワークに最適であり、セキュリティとリソース効率のバランスが取れています。

CPUとRAMの使用量を最小限に抑えつつ、Webフィルタリングやアプリケーション制御といったセキュリティ機能を有効にするには、SSL証明書検査モードが最適です。
# SSL証明書検査により、FortiGateは暗号化されたペイロード全体を復号化することなく、サーバー名表示（SNI）や証明書の詳細を含むSSL/TLSハンドシェイクのみを検査できます。
# FortiGateはSNIと証明書情報に基づいて宛先Webサイトまたはアプリケーションを特定できるため、Webフィルタリングやアプリケーション制御などの機能が可能になります。
# これは、トラフィックの完全な復号化と再暗号化を必要とする完全なSSL検査と比較して、システム負荷を大幅に軽減します。