FortiOS 7.6 では、同じ FortiGate 上に複数のダイヤルアップ IPsec VPN が設定されている場合 (特にアグレッシブ モードの場合)、FortiGate は接続クライアントがどのフェーズ 1 設定と一致する必要があるかを識別する必要があります。
FortiGateがダイヤルアップIPsecトンネルを選択する方法
ダイヤルアップ VPN の場合:
リモートピア（ユーザーまたはデバイス）に固定IPアドレスがありません
HQ FortiGateには複数のフェーズ1インターフェースが存在する可能性がある
FortiGate は、IKE フェーズ 1 中に送信された識別情報を使用して、正しいトンネルを選択します。アグレッシブ モードの動作アグレッシブ モードでは、フェーズ 1 中に ID 情報がクリア テキストで送信されます。これにより、FortiGate は、着信ピアを正しいフェーズ 1 構成と一致させることができます。ピア ID が正解である理由 C . ピア ID ピア ID (IKE ID とも呼ばれる) は次の目的で使用されます。
リモートピアを識別する
複数のダイヤルアップトンネルを区別する
一般的なピア ID 形式:
完全修飾ドメイン名
ユーザーFQDN
キーID
FortiGateは受信したピアIDをフェーズ1の構成と照合して正しいトンネルを選択します。これは、次の場合に文書化され推奨される方法です。
ユーザーを異なる部門のトンネルにマッピングする
アグレッシブモードで複数のダイヤルアップIPsec VPNをサポート
他の選択肢が間違っている理由
A. ローカルゲートウェイ
リモート ユーザーではなく、ローカル FortiGate インターフェイス/IP を識別します。
B . デッドピア検出
トンネルの選択ではなく、トンネルの健全性の監視にのみ使用されます。
D . IKEモード設定
フェーズ 1 トンネルの選択ではなく、IP アドレスの割り当てと設定のプッシュに使用されます。

認証済みのSSL VPNユーザーセッションが切断後も継続しないようにするには、SSL VPNセッションの終了時にファイアウォール認証セッションを強制的に終了する設定を有効にする必要があります。これにより、VPNが切断されると、関連するファイアウォール認証状態が直ちにクリアされ、意図しないアクセスを防止できます。

FortiOS 7.6 の認証とユーザー グループのドキュメントに基づくと、正解は A です。
「すべてのユーザーグループに含める」の意味（FortiOS 7.6）
FortiGate で RADIUS サーバーを構成するときに、すべてのユーザー グループに含めるを有効にすると、非常に具体的かつ文書化された効果が得られます。
設定された RADIUS サーバー オブジェクトは、すべての FortiGate ユーザー グループに自動的に追加されます。
その結果、追加のグループ フィルタリング (RADIUS 属性など) が適用されない限り、その RADIUS サーバーに対して正常に認証されたユーザーは、すべての FortiGate ユーザー グループの有効なメンバーになります。
これにより、異なるユーザー グループを参照する複数のファイアウォール ポリシー全体で同じ外部認証ソースを受け入れる必要がある場合に構成が簡素化されます。
この動作については、FortiOS 7.6 管理者ガイドの「RADIUS 認証サーバーおよびユーザー グループ」に明確に説明されています。
オプションAが正しい理由
FortiGate ユーザー グループには次のものが含まれます。
ローカルユーザー
LDAPサーバー
RADIUSサーバー
すべてのユーザー グループに含めるを有効にすると、FortiGate は次のようになります。
RADIUS サーバーを既存および将来のすべての FortiGate ユーザー グループに挿入します。したがって、この RADIUS サーバー経由で認証するすべてのユーザーは、すべての FortiGate ユーザー グループで暗黙的に許可されます。
これはまさにオプション A で説明されている内容です。
他の選択肢が間違っている理由
B: FortiGateはユーザーやグループをRADIUSサーバーにプッシュしません。認証は常にFortiGateからRADIUSサーバーに向けて開始されます。
C: FortiGate は RADIUS 側のグループ定義を管理または変更しません。
D: LDAP および RADIUS ユーザー グループは別々の認証メカニズムです。この設定は LDAP グループを結合したり、影響を与えたりしません。

展示品より:
VIP-WEB-SERVER という名前の VIP が WAN (ポート 2) 上に次のように設定されています。
外部IP: 100.65.0.200
マッピングされた（内部）IP: 10.0.11.50
ポート転送が有効（TCP）
外部サービスポート: 443
IPv4ポートへのマッピング: 4443
受信ファイアウォール ポリシー Web_Server_Access は次のとおりです。
WAN（ポート2）からLAN（ポート4）へ
宛先: VIP-WEB-SERVER
サービス: HTTPS
NAT: 無効（ソースNATは適用されない）
パケットはどうなるのか
ホスト 100.65.1.111 は、TCP SYN dst-port 443 を 100.65.0.200 に送信します。
FortiGate が VIP を照合してトラフィックを内部サーバーに転送する場合、FortiGate は VIP に基づいて宛先 NAT (DNAT) を実行します。
ポリシー NAT が無効になっているため、送信元 IP は変更されません。
ソースは100.65.1.111のままです
宛先 IP は VIP によって変換されます。
宛先は10.0.11.50になります
宛先ポートは VIP ポート転送によって変換されます。
宛先ポートは4443になります
したがって、FortiGate がパケットを宛先 (内部サーバー) に転送する時点では、次のようになります。
送信元アドレス: 100.65.1.111
宛先アドレス: 10.0.11.50
宛先ポート: 4443

図から、LAN (ポート 4) から WAN (ポート 2) への関連するファイアウォール ポリシーが 3 つあり、それぞれがソース NAT に異なる IP プールを使用しています。
TCPトラフィック
サービス: ALL_TCP
目的地: BR1-FGT
IP プール: SNAT プール → 100.65.0.49
PINGトラフィック
サービス: PING
宛先: すべて
IP プール: SNAT-Remote1 → 100.65.0.99
IGMPトラフィック
サービス: IGMP
宛先: すべて
IP プール: SNAT-リモート → 100.65.0.149
HQ-PC-1 (10.0.11.50) のユーザーが BR1-FGT (100.65.1.111) にpingを送信しています。FortiOS では、ポリシーのマッチングは送信元、宛先、サービスなどのフィールドに基づいて行われ、上から順に最初に一致したポリシーが適用されます。
このトラフィックはICMPエコー（ping）であるため、「PINGトラフィック（サービスPING、宛先すべて）」というポリシーに一致します。このポリシーは、「SNAT-Remote1で動的IPプールを使用する」を明示的に使用しており、外部IPアドレスは100.65.0.99に設定されています。
したがって、この ping に使用される送信元 NAT IP は 100.65.0.99 です。