diagnose vpn tunnel list name Hub2Spoke1 コマンドの出力は、IPsec VPN トンネルのネットワーク処理ユニット (NPU) へのオフロード状態に関する重要な情報を提供します。
# npu_flag=20:
# このフラグは、受信および送信の IPsec セキュリティ アソシエーション (SA) の両方が NPU にオフロードされたことを示します。つまり、VPN トラフィックは CPU ではなくハードウェアで処理されます。
# npu_rgwy=10.10.2.2 および npu_lgwy=10.10.1.1:
# これらの IP アドレスはリモート ゲートウェイ (rgwy) とローカル ゲートウェイ (lgwy) を表しており、トンネルが正常にオフロードされていることを示しています。
# npu_selid=1:
# この値は、NPU オフロード SA のセッションセレクタがアクティブであることを意味します。
インバウンドとアウトバウンドの両方のSAがオフロードされるため、管理者はFortiGate NPUがIPsecの暗号化と復号を効率的に処理し、CPU負荷を軽減してVPNパフォーマンスを向上させていると結論付けることができます。

VXLAN（Virtual Extensible LAN）は、レイヤ3インフラストラクチャ上にレイヤ2ネットワークを拡張するオーバーレイネットワーク技術です。FortiGateでVXLANを広範囲に使用する場合、パフォーマンスを維持するためにハードウェアアクセラレーションが不可欠となります。
NP7（Network Processor 7）は、Fortinetの最新ネットワークプロセッサで、以下のような高性能ネットワーク機能を高速化するために設計されています。
- VXLANのカプセル化／デカプセル化
- IPsec VPNオフロード
- ファイアウォールポリシーの適用
- ワイヤースピードでの高度な脅威対策
NP7はVXLANトラフィックを処理する際の遅延を大幅に削減し、スループットを向上させるため、大規模なVXLAN展開に最適な選択肢となります。

このIPsecフェーズ1の設定では、複数のピアからの接続を受け入れることができる動的なVPNトンネルを定義します。ここで選択された設定は、断続的なトラフィックパターンを持つネットワーク向けに最適化された構成を示唆しており、同時にリソースの効率的な使用を保証します。
主要な設定とその影響：
set type dynamic - これにより、複数のピアが事前に定義されたIPアドレスを必要とせずに、動的に接続を確立できるようになります。
set ike-version 2 - IKEv2を使用します。IKEv2はより効率的で、EAP認証などの機能をサポートし、鍵再生成のオーバーヘッドを削減します。
set dpd on-idle - デッドピア検出 (DPD) はトンネルがアイドル状態のときにのみトリガーされ、不要なキープアライブ パケットが削減され、リソースの使用率が向上します。 set add-route enable FortiGate はトンネルが確立されると自動的にルーティング テーブルにルートを追加し、必要なときに接続性を確保します。 set proposal aes128-sha256 aes256-sha256 強力な暗号化およびハッシュ アルゴリズムを使用して、安全な接続を確保します。
set keylife 28800 は、キーの有効期間を長く設定します（8 時間）。これにより、キーの再生成頻度が減り、安定した接続に役立ちます。
DPDがアイドル状態に設定されているため、トンネルは常時キープアライブメッセージを送信しませんが、トラフィックが検出された際には接続性を確保します。このため、この構成は、定期的ではあるものの断続的なトラフィックが発生するネットワークに最適であり、セキュリティとリソース効率のバランスが取れています。

BGP（Border Gateway Protocol）では、2つのBGPルーター間で接続を確立するために、ネイバー（ピア）設定が必要です。FortiGate AはAS 30からISP（自律システム10）に接続しているため、管理者はISPのBGPルーターをネイバーとして定義する必要があります。
config neighbor コマンドは以下の目的で使用されます。
ISPのIPアドレスをBGPピアとして定義する
リモートAS（この場合はAS 10）を指定してください。
FortiGate AとISP間のBGPルート交換を許可する

既にリソースの限界に達している企業ネットワークにFortiGateを追加する場合、その目的はトラフィックを効率的に分散し、高い可用性を確保することです。
FGSP（FortiGate Session Life Support Protocol）と外部ロードバランサー：FGSPを使用すると、複数のFortiGateユニット間でセッションを考慮したロードバランシングが可能になり、HA（高可用性）クラスタを構成する必要がなくなります。
外部ロードバランサーを使用すると、受信トラフィックは複数のFortiGateデバイスに均等に分散されます。
このアプローチは、ファイアウォール間でセッションの同期を維持しながら、トラフィック処理能力を拡張するのに役立ちます。
FGSPは、ステートフルなフェイルオーバーが必要でありながら、従来のHAの制約を受けない場合に効果的です。
FGCP（FortiGate Clustering Protocol）のアクティブ/アクティブモードとスイッチ FGCPのアクティブ/アクティブモードにより、複数のFortiGateデバイスがトラフィック負荷を共有し、スループットと効率が向上します。
アクティブ/アクティブモードは、複数のFortiGate間でUTM処理のバランスを取るのに適しており、リソース制限が懸念される場合に理想的です。
スイッチを使用することで冗長性が確保され、ネットワークにおける単一障害点を回避できます。
このモードは、拡張性と冗長性の両方が求められる企業ネットワークで一般的に使用されています。