FCSS SD-WAN 7.6 カリキュラムでは、それぞれが特定の運用目標または制約にマッピングされた複数の標準 SD-WAN 展開設計について説明します。
クラウドオンランプトポロジは、SaaSやIaaSなどのクラウドサービスへの接続を最適化するように設計されています。この設計は、クラウドゲートウェイまたはクラウドワークロードへの直接トンネルを確立し、中央データセンターを経由するトラフィックのバックホールを回避することで、クラウドアプリケーションへの最も効率的で信頼性の高いパスを提供します。その結果、その主な目的はクラウドアプリケーションのパフォーマンス向上であり、オプションAが正解となります。
リモートブレイクアウト（集中型ブレイクアウト）設計では、ブランチサイトからインターネットへのすべてのトラフィックを中央ハブに転送し、セキュリティ検査を実施します。これにより、セキュリティポリシー、検査、ログ記録をハブにある大容量のFortiGateに集中管理できます。ブランチデバイスは高度なローカルセキュリティ設定を必要としないため、この設計ではローカル管理の要件も制限され、オプションCが適切となります。
オプションBは不正解です。サイトにWANリンクが1つしかないという理由だけで、スタンドアロンのSD-WAN設計が選択されることはありません。SD-WANは複数のWANパスが存在する場合に最大のメリットを発揮し、単一リンクのサイトではトラフィック制御における大きなメリットは得られません。
選択肢Dは不正解です。ダイレクトインターネットアクセス（DIA）設計では、ブランチでローカルインターネットブレイクアウトを実行するため、強力なローカルセキュリティ機能が必要になります。DIAは本質的にトラフィックセキュリティを強化するものではなく、機能が制限されたデバイスには適していません。
したがって、正しい 2 つの関連付けは A と C です。

セカンダリ HUB のアンダーレイおよびネットワーク アドバタイズ構成の図から:
アンダーレイの下で、テンプレートは明示的に次のものをリストします。
WAN アンダーレイ 1 = ポート 1
WAN アンダーレイ 2 = ポート 2
FortiManager SD-WAN Overlay Orchestratorでは、ハブ用に選択されたアンダーレイインターフェースが、オーバーレイIPsecトンネルの構築に使用されるトランスポートとなります（テンプレートで定義されたピアごとに、アンダーレイごとに1つのオーバーレイ）。ポート1とポート2の両方がアンダーレイとして設定されているため、FortiManagerは両方のアンダーレイリンク上にオーバーレイトンネルを構築します。これにより、以下がサポートされます。
オプションC（ポート1のオーバーレイトンネル）
オプションB（ポート2のオーバーレイトンネル）
BGP ネイバー オプションの場合:
「ネットワーク広告」セクションには、インターフェース1 = port5 と表示されています。これは、接続ネットワークまたは静的ネットワークがオーバーレイルーティングドメインに広告される可能性があるLAN/内部インターフェースを示しています。port5 はBGPネイバーインターフェースになるわけではなく、ルートが広告されるインターフェースです。
テンプレートではダイナミックBGPが有効になっていることを示しています。オーバーレイオーケストレータの設計では、BGPネイバー関係はオーバーレイトンネルインターフェース／オーバーレイエンドポイント間で形成され、rawアンダーレイインターフェース（ポート1/ポート2）上やアドバタイズされたLANインターフェース（ポート5）上で直接形成されるわけではありません。したがって、オプションAとDは、表示されている内容から妥当な結論ではありません。
したがって、正しい結論は 2 つとも B と C です。

Fortinet SD-WANでは、ハブにFortiSwitch、FortiAP、FortiExtenderなどの拡張機能をインストールしないでください。これらの拡張機能はハブの機能と拡張性に影響を与える可能性があります。トポロジにはあらゆる種類のデバイスを含めることができますが、ADVPNとオーバーレイ管理を適切に行うには、ハブはこれらの拡張機能のない「クリーン」なFortiGateデバイスである必要があります。
参照：
[FCSS_SDW_AR-7.4 1-0.docx Q3]
Fortinet SD-WAN リファレンスアーキテクチャガイド 7.4 - ハブ要件

図から、両方のブランチに、set advpn-select enable が設定された overlay という名前の SD-WAN ゾーンがあり、そのゾーン内の各 SD-WAN メンバーに transport-group 値が割り当てられていることがわかります。
支部Aメンバー:
T1 → トランスポートグループ1
T2 → トランスポートグループ1
T3 → トランスポートグループ2
支部Bメンバー:
TA → トランスポートグループ1
TB → トランスポートグループ2
TC → トランスポートグループ3
FCSS SD-WAN 7.6 ADVPN設計では、トランスポートグループを使用して、どのアンダーレイが相互にADVPNショートカットを形成できるかを制限します。スポークは、両側で同じトランスポートグループに属するインターフェース間でのみADVPNショートカットを確立できます。これにより、異なるトランスポート間でのショートカットの構築を防止できます。
オプションの評価:
オプション D (トランスポート グループ 1 を持つブランチ A の T2 とトランスポート グループ 1 を持つブランチ B の TA) は、有効なショートカット ペアリングです。
オプション C は無効です。T3 はトランスポート グループ 2 であり、TC はトランスポート グループ 3 であるため、ショートカットを形成することはできません。
オプション A は、すべてのオーバーレイ ゾーン インターフェイスが適格ではないため不正解です。適格性は、トランスポート グループのマッチングによって制限されます。
オプションBは誤りです。ADVPNショートカットはスポークツースポークトンネル（ハブによって実現される）であり、「ハブに接続されたインターフェースのみ」に限定されません。したがって、有効なショートカットペアリングは、ブランチAのT2とブランチBのTAの間であり、これはオプションDに該当します。