展示品より:
ファイアウォール ポリシーでは NAT が有効になっており、動的 IP プールを使用するように構成されています。
選択した IP プール (インターネット プール) は次のように構成されます。
タイプ: 1対1
外部 IP 範囲: 100.65.0.110-100.65.0.111 (パブリック IP は 2 つのみ)
PC1とPC2は、1対1のNATマッピングごとにプールからパブリックIPアドレスを1つずつ消費するため、インターネットにアクセスできます。PC3が追加されると、プールに3つ目のパブリックIPアドレスがないため、FortiGateはPC3に1対1のマッピングを割り当てることができず、セッションは失敗します。
ここでの FortiOS の動作は標準です。1 対 1 の IP プールでは、使用可能なプール サイズによって、同時に変換できる異なる内部ソースの数が制限されます (割り当てとセッションによって異なります)。また、IP が 2 つしかないプールでは、変換が必要な 3 つの個別のホストを確実にサポートできません。
したがって、管理者は次の 2 つの有効な方法でこれを修正できます。
B. IPプール設定で、end ipを100.65.0.112に設定します。
これにより、追加のパブリック IP アドレスが追加されてプールが拡張され、3 つのパブリック IP (.110、.111、.112) が使用可能になるため、PC3 に 1 対 1 NAT のアドレスを割り当てることができます。
D . IP プール構成で、タイプをオーバーロードに設定します。
プールタイプをオーバーロードに変更すると、PAT（多対一）が有効になり、複数の内部ホスト（PC1、PC2、PC3）が異なる送信元ポートを使用してプールアドレスを共有できるようになります。これにより、1対1プールに固有の「内部ホストごとに1つのパブリックIP」という制限がなくなります。
他のオプションが正しくない理由:
A . 複数インターフェース ポリシーは IP プールの枯渇とは無関係であり、NAT 割り当て制限を解決しません。
C . match-vip は、宛先 NAT/仮想 IP の使用に関する VIP マッチング動作に影響し、PC3 の障害の原因となるソース NAT プールの不足には対処しません。

このトレーニングでは基本的に、中間デバイスによって問題が発生する状況において、IPSec VPN よりも FortiGate の SSL VPN の利点を指摘することを目的としています。
IPsec は ESP と UDP 500 および 4500 を使用するため、これらがブロックされている場所では、デフォルトで HTTPS (443) と TLS (両方とも TCP) を使用するため、SSL VPN トンネル モードが有効になります。
また、UDP ポートがブロックされている場合でも、SSL VPN は UDP を使用しないため有効です (トンネル モードのハブ アンド スポーク)。

展示品より:
Web フィルタ プロファイルは、機能セット = フローベースで構成されます。
ファイアウォール ポリシーは、検査モード = プロキシ ベースで構成されており、Web フィルターが有効になっています。
FortiOS 7.6では、機能セット選択（フローベースまたはプロキシベース）を持つセキュリティプロファイルは、ファイアウォールポリシーで使用されるインスペクションモードと一致する必要があります。プロファイルの機能セットがポリシーのインスペクションモードと一致しない場合、プロファイルの動作は管理者の期待と一致しません（多くの場合、FortiOSによって正しい使用/選択が妨げられたり、機能の動作が意図したとおりに適用されなかったりします）。
この不一致により、www.facebook.com に設定された URL フィルタ エントリ (監視に設定) が期待どおりの結果を生成せず、代わりにセッションがカテゴリ評価によって評価され、ブロックされる (FortiGuard ブロック ページで悪意のある Web サイトとして表示される) 理由が説明されます。
他のオプションが最適ではない理由:
A: Web 評価のオーバーライドは展示物には表示されず、オーバーライドの構成ミスを示すものもありません。
C: ポリシー検査モードは変更できますが、表示される根本原因はプロファイル機能セットの不一致です (プロファイルはフローベースです)。
D: 表示される URL フィルター アクションはモニターであり、これだけではブロック ページは生成されません。

FortiOS 7.6では、定義済みのディープ・インスペクションおよびカスタム・ディープ・インスペクションSSLインスペクションプロファイルにおいて、特定のウェブカテゴリ（金融・銀行、健康・ウェルネスなど）とよく知られたドメイン（Apple、Google、Adobeなど）が意図的に除外されます。この動作は文書化されており、意図的なものです。
正しい理由は 2 つあります。
B. 法的規制は、ユーザーのプライバシーを優先し、これらのウェブサイトの機密情報を保護することを目的としています。
正しい
金融と銀行、健康とウェルネスなどのカテゴリでは、通常、機密性の高い個人データが扱われます。
多くのプライバシーおよびコンプライアンス規制 (GDPR、PCI-DSS、HIPAA のような要件など) では、このようなトラフィックに対する SSL インターセプトを推奨または制限しています。
法的およびコンプライアンス上のリスクを軽減するために、FortiOS ではこれらのカテゴリをデフォルトで SSL ディープ インスペクションの対象から除外しています。
これは、FortiOS SSL/SSH 検査ドキュメントに明示的に記載されています。
C. これらのウェブサイトは、FortiGuard が管理する信頼できるドメイン名の許可リストに登録されています。
正しい
FortiGuard は、よく知られているサービスやプラットフォームの評判の高い/信頼できるドメイン リストを維持します。
これらのドメインは、次の理由でデフォルトでディープ インスペクションから除外されます。
アプリケーションの破損を防ぐ
証明書のピン留めと互換性の問題を回避する
ユーザーエクスペリエンスを維持する
このため、Apple、Google、Adobe、アプリストアなどのドメインは SSL 検査の例外として表示されます。
他の選択肢が間違っている理由
A. リソース利用の最適化
正しくない。
検査を減らすことでリソースを節約できますが、これがこれらのカテゴリを免除する主な理由として文書化されているわけではありません。
D. FortiGateの一時証明書がHSTSウェブサイトへのアクセスを拒否
正しくない。
HSTS と証明書ピンニングは SSL 検査で問題を引き起こす可能性がありますが、このオプションは副作用を説明するものであり、免除の理由を説明するものではありません。
この免除は、証明書がアクセスを拒否するためではなく、そのような問題を回避するために存在します。