FortiOS 7.6 では、同じ FortiGate 上に複数のダイヤルアップ IPsec VPN が設定されている場合 (特にアグレッシブ モードの場合)、FortiGate は接続クライアントがどのフェーズ 1 設定と一致する必要があるかを識別する必要があります。
FortiGateがダイヤルアップIPsecトンネルを選択する方法
ダイヤルアップ VPN の場合:
リモートピア（ユーザーまたはデバイス）に固定IPアドレスがありません
HQ FortiGateには複数のフェーズ1インターフェースが存在する可能性がある
FortiGate は、IKE フェーズ 1 中に送信された識別情報を使用して、正しいトンネルを選択します。アグレッシブ モードの動作アグレッシブ モードでは、フェーズ 1 中に ID 情報がクリア テキストで送信されます。これにより、FortiGate は、着信ピアを正しいフェーズ 1 構成と一致させることができます。ピア ID が正しい答えである理由 C)。ピア ID ピア ID (IKE ID とも呼ばれる) は次の目的で使用されます。
リモートピアを識別する
複数のダイヤルアップトンネルを区別する
一般的なピア ID 形式:
完全修飾ドメイン名
ユーザーFQDN
キーID
FortiGateは受信したピアIDをフェーズ1の構成と照合して正しいトンネルを選択します。これは、次の場合に文書化され推奨される方法です。
ユーザーを異なる部門のトンネルにマッピングする
アグレッシブモードで複数のダイヤルアップIPsec VPNをサポート
他の選択肢が間違っている理由
A). ローカルゲートウェイリモート ユーザーではなく、ローカル FortiGate インターフェース/IP を識別します。
B). デッドピア検出トンネルの選択ではなく、トンネルの健全性の監視にのみ使用されます。
D). IKE モード構成フェーズ 1 トンネルの選択ではなく、IP アドレスの割り当てと設定のプッシュに使用されます。

DCエージェントモードでは、ドメインコントローラにインストールされたDCエージェントがログオンイベント（例：イベントID 4624）をリアルタイムでキャプチャします。そして、この情報をコレクタエージェントにプッシュします。専用マシン上でサービスとして実行されるコレクタエージェントは、この情報を統合し、FortiGateファイアウォールに転送する役割を担います。FortiGateはこのデータを受信し、ユーザーのIPアドレスに基づいて適切なセキュリティポリシーを適用します。

FortiGate が SSL/SSH 完全検査を実行する場合、無効な証明書を検出したときに次のいずれかのアクションを実行するように設定できます。
許可 → トラフィックを制限なく通過させます。
許可と警告 → トラフィックを許可しますが、証明書の問題についてユーザーに警告します。
ブロック → 安全でない接続を防ぐためにトラフィックを完全に拒否します。

アクティブ認証 (HTTP/HTTPS/FTP/Telnet など) および DNS で使用される認証ダイアログを表示するには、ファイアウォール ポリシーでプロトコルを許可する必要があります。

HQ-FortiGateではIKEフェーズ1モードがアグレッシブに設定されていますが、リモートFortiGateではメイン（ID保護）に設定されています。フェーズ1が起動するには、両側で同じIKEモードを使用する必要があります。そのため、HQ-FortiGateをメインモードに変更することで、この不一致を解消できます。
リモートFortiGateでは、フェーズ1インターフェースはポート1に設定されていますが、図によると、IPアドレス10.10.200.10を持つWAN側インターフェースはポート2です。IPsec設定のローカルインターフェースは物理WANインターフェースと一致する必要があるため、トンネルを確立するにはポート2に変更する必要があります。