このIPsecフェーズ1の設定では、複数のピアからの接続を受け入れることができる動的なVPNトンネルを定義します。ここで選択された設定は、断続的なトラフィックパターンを持つネットワーク向けに最適化された構成を示唆しており、同時にリソースの効率的な使用を保証します。
主要な設定とその影響：
* set type dynamic → これにより、複数のピアが事前に定義されたIPアドレスを必要とせずに動的に接続を確立できるようになります。
* set ike-version 2 → IKEv2を使用します。IKEv2はより効率的で、EAP認証などの機能をサポートし、再キー生成のオーバーヘッドを削減します。
* set dpd on-idle → デッドピア検出 (DPD) はトンネルがアイドル状態のときにのみトリガーされ、不要なキープアライブパケットが削減され、リソース利用率が向上します。
* set add-route enable → FortiGateはトンネルが確立されると自動的にルーティングテーブルにルートを追加し、必要なときに接続を確保します。
* set proposal aes128-sha256 aes256-sha256 → 強力な暗号化およびハッシュアルゴリズムを使用して、安全な接続を保証します。
* set keylife 28800 → キーの有効期間を長く設定し（8時間）、キーの再生成頻度を減らすことで、安定した接続に役立ちます。
DPDがアイドル状態に設定されているため、トンネルは常時キープアライブメッセージを送信しませんが、トラフィックが検出された際には接続性を確保します。このため、この構成は、定期的ではあるものの断続的なトラフィックが発生するネットワークに最適であり、セキュリティとリソース効率のバランスが取れています。

近隣グループ:
このコマンドは、同じ設定を持つ複数のBGPネイバーをグループ化するために使用され、冗長な設定を削減します。
管理者は、各スポークごとに個別のBGP設定を定義する代わりに、ネイバーグループを作成して同じポリシーを適用することで、手作業を削減できます。
近隣範囲:
このコマンドを使用すると、隣接IPアドレスの範囲を動的に設定できるため、各スポークの隣接IPアドレスを手動で定義する必要性が軽減されます。
指定されたプレフィックスに一致するBGPネイバーを自動的に追加するため、導入が簡素化されます。

FortiGate Infrastructure 7.6 の学習ガイドおよびハードウェアアクセラレーションの技術文書に基づくと、diagnose vpn tunnel list コマンドは、ネットワークプロセッサ (NPU) への IPsec トンネルのオフロードの状態を示します。
提供された図において、特定の値 npu_flag=20 (16進数で0x20に相当) は、IPsecセキュリティアソシエーション (SA) をNPUにオフロードできないことを示しています。NPUはゲートウェイIPアドレス (npu_rgwyおよびnpu_lgwy) を認識できる可能性がありますが、このフラグ自体は、トラフィックをハードウェアアクセラレータではなくシステムCPUで処理する必要があることを示す診断指標として機能します。
オフロードが利用できないのは、トンネル構成で使用されている暗号（暗号化アルゴリズム）またはHMAC（認証アルゴリズム）が、FortiGateに搭載されている特定のNPUモデルでサポートされていない場合が一般的です。例えば、NP6またはNP7チップがハードウェアで処理するように設計されていない、従来型または非常に複雑なアルゴリズムでトンネルが構成されている場合、FortiOSカーネルが暗号化と復号化を処理し、結果としてnpu_flag=20の状態になります。したがって、NPU関連のフィールドが存在するにもかかわらず、この特定のフラグ値は、これらのSAに対してハードウェアアクセラレーションが有効になっていないことを示しています。

SP5（Security Processing Unit 5）は、内部セグメンテーションファイアウォールおよび東西トラフィック検査向けに特別に設計された、超低遅延のハードウェアアクセラレーションを提供します。SP5に接続されたポートを備えたFortiGateモデルは、必要なマイクロ秒レベルの遅延性能を実現します。