このADVPN（自動検出VPN）ネットワークでは、EBGPで接続された2つのハブ（ハブAとハブB）があり、各オーバーレイ内ではIBGPが使用されています。オーバーレイ間で適切なBGPルーティングを確保するには、管理者は特定のBGPオプションを設定する必要があります。
ebgp-enforce-multihop を有効にする
デフォルトでは、EBGPは直接接続されたネイバーを必要とします。ハブAとハブBは直接接続されておらず、IPsecトンネルを介して相互に通信するため、EBGPセッションを機能させるにはマルチホップを有効にする必要があります。
ネクストホップセルフを有効にする
IBGPでは、デフォルトではネクストホップ属性は変更されません。IBGPルートがスポークから別のハブまたはスポークにアドバタイズされる場合、適切な到達性を確保するためにネクストホップを更新する必要があります。next-hop-selfを有効にすると、BGPスピーカーは自身をネクストホップとしてアドバタイズし、すべてのスポークがオーバーレイを介してルートに適切に到達できるようになります。

標準の証明書検査（SNI に依存）では、宛先ドメインのみが識別され、FortiGate が暗号化されたセッションの実際のコンテンツを確認することはできません。ラボのドキュメントにも記載されているように、「証明書検査だけでは、HQ-DCFW が暗号化されたトラフィックを確認するのに役立ちません」。HTTPS トラフィック内に隠されたマルウェアを特定してブロックするには、FortiGate を完全な SSL 検査（ディープ検査とも呼ばれます）で構成する必要があります。このプロセスでは、FortiGate が中間者攻撃者として動作し、パケットを復号し、適用されたセキュリティ プロファイル（アンチウイルスや IPS など）を使用してペイロードをスキャンして脅威を検出し、ホストに送信する前にトラフィックを再暗号化します。完全な復号を行わないと、ユニットは「攻撃の可能性を分析するためにパケットを復号しない」ため、マルウェアがセキュリティ レイヤーを回避できてしまいます。

ADVPN（自動検出VPN）ネットワークでは、トラフィックの流れを最適化し、遅延を低減するために、必要に応じてスポーク間で動的なVPNトンネルが確立されます。
プロセス：
1. トラフィックの開始:


2. ハブ検出:

3. ショートカットオファー：

4. トンネルの建設：

この展示では、2つの仮想クラスタを持つアクティブ/パッシブHA（高可用性）クラスタが示されています。FortiGate_Aは、Core1とCore2の両方においてプライマリデバイスとして機能します。FortiGate_BがCore2のトラフィックを引き継ぐようにするには、仮想クラスタ2においてFortiGate_Aよりも高い優先度を設定する必要があります。
現在、FortiGate_A の Core2 に対する優先度は 150 ですが、FortiGate_B の優先度は 128 です。FortiGate_B の優先度を 200 に上げることで、FortiGate_B が仮想クラスタ 2 のプライマリとなり、Core2 の VDOM トラフィックを引き継ぎ、Core1 のトラフィックは FortiGate_A に残されます。
オーバーライドを無効にすると、強制フェイルオーバーは防止されますが、役割の割り当ては変更されません。負荷分散方法の調整は、アクティブ/パッシブ構成では無関係です。負荷分散方法はアクティブ/アクティブ構成にのみ適用されるためです。

FortiGateのSSL/SSH検査プロファイルは、暗号化されたHTTPSトラフィックを分析するために必要なフルSSL検査用に設定されています。しかし、ファイアウォールポリシーはSSLサーバー（ウェブサイトをホストするLinuxサーバー）を保護しており、現状ではSSL/SSHプロファイルはクライアント側のSSL検査にのみ適用されます。
Linuxサーバーを標的としたHTTPSベースの攻撃を検出するには：
# FortiGateは、Webサーバー宛ての暗号化されたトラフィックを検査するために、SSL仲介者として機能する必要があります。
# 管理者は、Linux Web サーバーの SSL 証明書を FortiGate にアップロードする必要があります。これにより、サーバー側の SSL 検査が、受信した HTTPS トラフィックを分析する前に復号化できるようになります。