FortiManager SD-WANオーバーレイシステムでは、オーバーレイ操作ごとに各デバイスに1つのIPsecテンプレートのみ割り当てることができます。ガイドでは以下の点を明確にしています。
同じオーバーレイタイプに対してFortiGateデバイスに複数のIPsecテンプレートを割り当てようとすると、FortiManagerはエラーを表示し、トンネル設定の重複や競合を防ぎます。この制限により、操作ごとにデバイスとオーバーレイテンプレート間の1対1のマッピングが確保され、設定の整合性が維持され、ルーティングの問題が防止されます。これにより、複雑なトラブルシューティングシナリオが回避され、オーバーレイ設計のベストプラクティスが強化されます。

SD-WANメンバーポート1のゲートウェイをIPアドレスで指定するか、デフォルト値を使用します → エラーログに「invalid ip - prop[gateway]: ip4class(${sdwan_port1_gw}) invalid ip addr」と表示されます。これは、変数${sdwan_port1_gw}に有効なマッピングがないことを意味します。ゲートウェイに有効なIPアドレスまたはデフォルト値を割り当てることで、このエラーは解決されます。
メタデータ変数のデバイスごとのマッピング設定を確認してください → この問題は、メタデータ変数 ${sdwan_port1_gw} が branch1_fgt にどのようにマッピングされているかに起因しています。このデバイスでデバイスごとのマッピングに変数が適切に定義されていない場合、設定は失敗します。マッピングを修正することで、インストールが正常に動作するようになります。

ポートのメンバー優先度が上がると（例：ポート2から20）、FortiGateは既存のセッションを評価し、該当する場合は「ダーティ」フラグを適用します。SD-WANセッション管理メカニズムの詳細は、「SD-WANメンバー優先度が変更されると、そのメンバーを使用するすべての既存セッションがダーティとしてマークされます。SNATセッションの場合、ゲートウェイ情報が更新され、以降のパケットが新しい優先メンバー（この場合はポート1）を介してルーティングされるようになります。この自動再評価により、SD-WANはトポロジや優先度の変更に動的に対応し、最適なルーティングを維持できます。」と説明されています。これは、Fortinet SD-WANにおけるシームレスなフェイルオーバーとセッションパーシステンスの基盤であり、更新された優先度やヘルスステータスに基づいてアクティブなフローがリダイレクトされることを保証します。
参照：
[FCSS_SDW_AR-7.4 1-0.docx Q13]
FortiOS 7.4 SD-WAN コンセプトガイド、「パス変更中のセッション管理」FortiGate CLI リファレンス: diagnose sys session list

FortiManagerでは、ファイアウォールポリシーは個々のSD-WANメンバー（port1やport2などのインターフェース）ではなく、SD-WANゾーンを参照する必要があります。SIAルールは、ゾーンではなくメンバーであるport1を誤って参照しているため、検証中にインストールに失敗します。

このルールはSLAモードで、2つのSLAが設定されています。ステータスから、HUB1-VPN2とHUB1-VPN3はSLA（sla(0x2)とsla(0x3)）を満たしていますが、HUB1-VPN1は満たしていません（sla(0x0)）。SLAを満たしているメンバーの中で、FortiGateは設定された順序（priority-members 4 5 6）に基づいて、最初に条件を満たすメンバー（HUB1-VPN2）を選択します。そのため、トラフィックはHUB1-VPN2経由でルーティングされます。