SD-WANモニター「テンプレートビュー：Corp-SOT」には、複数のスポークを持つ単一のハブアイコンが表示されます。この表示は、単一ハブトポロジに対応しています。branch1_fgtのポップアップでHUB2-VPN1/2/3がダウンインターフェースとして表示されているのは、セカンダリトンネル（本来Hub2となるべきもの）がダウンしていることを示していますが、このテンプレートビューで実際に定義/アクティブになっているハブは1つだけです。

ルータポリシーは、送信元が10.0.1.128/25（10.0.1.130を含む）、宛先が128.66.0.0/24（128.66.0.125を含む）のトラフィックを明示的に拒否します。SD-WANサービス4では、このトラフィックに対してメンバー（ポート1とポート2）が稼働中であり利用可能であると表示されていますが、ルータポリシーが先に評価され、トラフィックをブロックします。そのため、FortiGateはトラフィックフローをドロップします。

サービス ルール 2 には Facebook に一致する Social.Media (0,23) が含まれており、ポート 2 のみが選択され、アクティブになっています。
アプリケーションが識別されない場合、サービス ルール 3 (mode=round-robin) はトラフィックを HQ_T1、HQ_T2、および HQ_T3 に分散します。

FortiGateでは、アクション「deny」を指定したポリシールート（PBR）はトラフィックを完全にドロップしません。代わりに、トラフィックがそのポリシールートによって誘導されることを防ぎ、パケットは通常のルーティングルックアップ（FIB）に戻されます。
ソース 10.0.1.130 は 10.0.1.128/25 と一致します
宛先128.66.0.125は128.66.0.0/24と一致します
ルータポリシーでアクションが拒否されている → このポリシールートは使用しないでください
結果: FortiGate は FIB (通常のルーティング テーブル) にフォールバックします。

ハブを顧客敷地内に設置することで、重要な企業リソースに近い場所で直接アクセスし、ブレイクアウトや接続を一元化できるため、これらの要件を満たすことができます。SIAや中央データセンターのアップリンクなど、トラフィック量が多く、注目度の高いシナリオでは、ローカルハブを使用することで効率性と制御性が向上します。