フォーティネットが推奨する管理の簡素化とセキュリティファブリックの完全な統合を実現する方法は、FortiLinkを使用してFortiGateからFortiSwitchデバイスを直接管理することです。FortiOS 7.6およびFortiSwitchOS 7.6のドキュメントによると、FortiLinkにより、FortiGateは接続されたすべてのFortiSwitchユニットの集中コントローラとして機能し、スイッチング、ルーティング、セキュリティサービスのシームレスな統合を実現します。
FortiSwitchをFortiGateとFortiLinkで管理すると、スイッチはセキュリティファブリックのネイティブメンバーになります。これにより、FortiGateはVLANを一元的に定義し、レイヤー2およびレイヤー3のセキュリティポリシーを適用し、VLAN間ルーティングを制御し、NACと隔離アクションを適用し、ユーザー、デバイス、アプリケーション全体にわたるエンドツーエンドの可視性を提供できるようになります。VLAN間トラフィックはFortiGateによってルーティングおよび検査されるため、一貫したポリシー適用とログ記録が保証されます。
FortiLink管理は、個別のスイッチ管理プラットフォームが不要になることで、運用の複雑さを大幅に軽減します。設定、ファームウェアのアップグレード、監視、トラブルシューティング、トポロジの可視化はすべて、FortiGateのGUIまたはCLIから実行できます。この緊密に統合されたモデルは、シンプルさ、セキュリティの一貫性、運用効率を重視するブランチ、キャンパス、そして中規模企業での導入向けに特別に設計されています。
その他の選択肢は、定められた目的を達成できません。FortiSwitch-Managerは最新の管理ソリューションではなく、FortiManagerはセキュリティファブリックへの直接統合ではなく、大規模なマルチデバイスオーケストレーションを目的としています。また、FortiEdge Cloudは、ネイティブのFortiGateセキュリティ適用なしでクラウドベースの管理に重点を置いています。
したがって、管理を簡素化し、完全なセキュリティ ファブリックの統合を確実にするために、正しく完全に検証された選択肢は、D. FortiLink を使用して FortiGate 上の FortiSwitch を管理することです。

FortiSwitchOS 7.6管理ガイドおよびFortiSwitch 7.6スタディガイドによると、インターネットグループ管理プロトコル（IGMP）スヌーピングは、スイッチがホストとルーター間のIGMP通信を「リッスン」し、特定のマルチキャストストリームを必要とするポートのマップを維持できるようにするレイヤー2メカニズムです。IGMPスヌーピングを有効にすると、スイッチはマルチキャストレイヤー2転送テーブル（図を参照）を作成します。これにより、マルチキャストトラフィックは、受信者が明示的に要求したポート（例：ポート1のPC1）にのみ転送されます。
IGMPスヌーピングが無効になっている場合、スイッチはこのきめ細かな転送テーブルを維持しなくなります。デフォルトでは、IGMPスヌーピングを実行していないレイヤ2スイッチは、マルチキャストトラフィックをブロードキャストトラフィックとして扱います。
その結果、グループ225.1.2.3のマルチキャストトラフィックは、関心のある受信者（PC1）のみにインテリジェントに転送されるのではなく、同じVLAN（VLAN 10）内のすべてのポートにフラッディングされてしまいます。つまり、PC2はグループに参加していなくても、物理層でマルチキャストパケットを受信することになり、不要な帯域幅消費と、意図しない受信者のCPU負荷の増加につながります。
ドキュメントには、IGMPスヌーピングを無効にすると、ブロードキャストドメイン内のマルチキャストフレームに対してスイッチが「フラッディングオール」動作に戻ると明記されています。オプションAは誤りです。ホスト（PC1）はグループのメンバーのままで、スイッチの転送ロジックのみが変更されます。オプションBは誤りです。スイッチは引き続きメッセージを受信する可能性がありますが、ポートのプルーニングは実行しません。オプションDは誤りです。この機能を無効にするとプルーニング/停止メカニズムが削除され、トラフィックが停止するのではなく、すべての場所に流れてしまうためです。

同じネイティブ VLAN (VLAN 10) が設定されたポート 1 とポート 2 でループ ガードが有効になっている場合、ループ ガードの動作によってポート 1 がシャットダウンされる特定のシナリオがあります。
A).port1 はループガード保護によってシャットダウンされました。ループガードは、ネットワーク環境において代替ループや冗長ループを防ぐために使用される特定の機能です。ループガードがアクティブな場合、BPDU（ブリッジプロトコルデータユニット）の受信が想定されているポートで受信が停止すると、ループまたはリンク障害が発生していると想定し、ポートを不整合状態にすることで潜在的なループを防止します。
B).STPはループをトリガーし、ポート1にループガード保護を適用しました。ループガードが有効になっている状態で、スパニングツリープロトコル（STP）がループまたはBPDU伝送の損失を検出すると、ネットワークの不安定化やブロードキャストストームを防ぐために、ポートをプロアクティブにシャットダウンします。これはSTPのコンテキストにおけるループガードの重要な機能であり、ループを引き起こす可能性のあるトポロジ変更に対する追加の保護を提供します。
参考文献:
ループ ガード機能と STP の相互作用に関する詳細は、Fortinet ドキュメントからアクセスできる FortiSwitch 管理ガイドに記載されています。

FortiGate のマルチテナント設定では、主に次の 2 つの方法で FortiSwitch ポートを VDOM に割り当てることができます。
* FortiLinkインターフェースをターゲットVDOMに切り替える（A）：この方法では、FortiGateからFortiSwitchユニットを管理するために使用する専用インターフェースであるFortiLinkインターフェースを、特定のVDOM内で動作するように設定します。これにより、そのFortiLinkインターフェースを介して管理されるFortiSwitch上のすべてのポートが、指定されたVDOMに効果的に割り当てられます。
* FortiGate CLI で仮想ポートプールを作成する (C): FortiGate 上に仮想ポートプールを作成し、FortiSwitch のポートをグループ化して VDOM に割り当てることができます。この方法は、スイッチ全体または FortiLink インターフェースを単一の VDOM 専用にすることなく、FortiSwitch 上の特定のポートを異なる VDOM 専用にできるため、よりきめ細やかで柔軟性の高い設定が可能です。

FortiOS 7.6 管理ガイドおよび FortiSwitch 7.6 FortiLink ガイドによると、マルチ VDOM 環境で FortiSwitch ユニットを管理することで、物理スイッチ リソースを細かく制御できるようになります。
デフォルトでは、FortiSwitch が FortiLink 経由で検出され、承認されると、そのポートは FortiLink インターフェースと同じ VDOM (通常はルートまたは専用の管理 VDOM) に存在します。
これらのポートを他のVDOMに割り当てるには、主に2つの方法があります。1つ目は直接割り当て（オプションA）です。FortiGateのCLIまたはGUIを使用して、管理者は特定の物理ポートを対象のVDOMに直接エクスポートできます。例えば、config switch-controller managed-switch port settings のコマンド set export-to <VDOM_name> を実行すると、そのポートが物理的に分離され、指定されたVDOMでのみ使用できるようになります。
これは、特定の物理接続を単一のビジネス ユニット専用にする必要があるマルチテナント シナリオに最適です。
2つ目の方法は、仮想ポートプール（VPP）（オプションD）を使用する方法です。この方法は、スイッチポートに仮想化レイヤーを提供します。管理者はまず管理VDOM内にプール（VPP）を作成し、物理ポートを割り当てます。次に、テナントVDOMから、管理者はその特定のプールからポートを「要求」できます。これにより、ポートがプールから要求されるまで単一のVDOMに永続的に固定されない、より柔軟な「共有」インフラストラクチャが実現します。どちらの方法も、トラフィックがVDOM間で論理的および物理的に分離された状態を維持し、複雑なエンタープライズ展開のセキュリティ要件をサポートします。オプションBとCは、仮想ドメインへのハードウェアポートの基本的な割り当てではなく、トラフィックルーティングとデバイス識別に関するものであるため、誤りです。