FortiOS（FortiOS 7.6を含む）では、FortiGateはトラフィックの転送方法を決定する際に、厳密かつ明確に定義されたルート検索順序に従います。この順序はSD-WANの動作を理解する上で重要であり、FCSS SD-WANカリキュラムでも明示的に参照されています。
正しい検索シーケンスは次のとおりです。
* ポリシールート（ポリシーベースルーティング）ポリシールートが最初に評価されます。トラフィックがポリシールートに一致する場合、FortiGateはそのポリシーに従ってトラフィックを直ちに転送し、他のすべてのルーティングメカニズムをバイパスします。
* インターネット サービス データベース (ISDB) ルートポリシー ルートが一致しない場合、FortiGate は ISDB ルートをチェックします。
これらのルートは、宛先 IP プレフィックスではなくインターネット サービスに基づいてトラフィックを照合します。
* SD-WAN ルールポリシー ルートも ISDB ルートも一致しない場合、FortiGate は SD-WAN ルールを評価し、構成された SD-WAN 戦略に基づいて送信インターフェイスを決定します。
* ルーティング テーブル (接続ルート、静的ルート、BGP などの動的ルート) 一致する SD-WAN ルールがない場合、FortiGate は通常のルーティング テーブル検索を実行します。
* FIB (転送情報ベース) FIB は、選択されたルートに基づいてパケットを転送するために使用されます。
* ドロップ有効なルートが存在しない場合は、パケットはドロップされます。
提供されているオプションの中で、最初にポリシー ルートを配置し、次に ISDB ルート、次に SD-WAN ルール、最後に静的ルート (ルーティング テーブルを表す) を配置することで、このシーケンスの開始を正しく反映しているのはオプション D だけです。
したがって正解はDです。

これは、minimum-sla-meet-members = 2 という設定により、FortiGate が ADVPN ショートカットを確立する前に、少なくとも 2 つの SD-WAN ゾーンメンバー（この場合は HUB2-VPN1、HUB2-VPN2、HUB2-VPN3）が定義された SLA ヘルスチェック（HUB1_HC）に合格する必要があるためです。SLA を満たすメンバーが 2 つ未満の場合は、ショートカットは作成されません。

ポートのメンバー優先度が上がると（例：ポート2から20）、FortiGateは既存のセッションを評価し、該当する場合は「ダーティ」フラグを適用します。SD-WANセッション管理メカニズムの詳細については、以下を参照してください。
SD-WAN メンバーの優先度が変更されると、そのメンバーを使用している既存のセッションはすべてダーティとしてマークされます。
SNATセッションでは、ゲートウェイ情報が更新され、今後のパケットが新たに優先されたメンバー（この場合はポート1）を経由するようにルーティングされます。この自動再評価により、SD-WANはトポロジや優先度の変更に動的に対応し、最適なルーティングを維持できます。これは、Fortinet SD-WANにおけるシームレスなフェイルオーバーとセッションパーシステンスの基盤であり、更新された優先度やヘルスステータスに基づいてアクティブなフローがリダイレクトされることを保証します。
参考文献:
[FCSS_SDW_AR-7.4 1-0.docx Q13]
FortiOS 7.4 SD-WAN コンセプトガイド、「パス変更中のセッション管理」FortiGate CLI リファレンス: diagnose sys session list

SD-WAN ルール設定 (サービス ID 3、名前「Corp」) では、ルールは次のように設定されています。
* モードSLAを設定する
* 負荷分散を有効にする
* ハッシュモードをソースIPベースに設定する
* 優先度メンバーを3 4 5に設定
* 2つのSLAがconfig slaの下で参照されています
service=3 (Corp) の diagnose firewall proute list 出力では、FortiGate はこのルールで考慮される実際のメンバーと、その SLA 合格ステータスを表示します。
* oif=19 (HUB1-VPN1) num_pass=2
* oif=20 (HUB1-VPN2) num_pass=2
* oif=21 (HUB1-VPN3) num_pass=1
ルールは SLA ベースであるため、FortiGate はルールの SLA 要件を満たすメンバーのみを選択します。
出力は、HUB1-VPN1 と HUB1-VPN2 が両方の SLA チェックに合格 (num_pass=2) したのに対し、HUB1-VPN3 は 1 つのみ合格 (num_pass=1) したため、このルールの対象となる転送インターフェイスとして選択されていないことを示しています。
ロードバランシングが有効になっており、ルールでハッシュモードとしてソースIPベースを使用しているため、FortiGateは常に送信元IPハッシュに基づいて適切なメンバーを選択します。10.0.1.101から送信されたトラフィックの場合、セッションはHUB1-VPN1またはHUB1-VPN2（ハッシュによって選択された方）のいずれかを経由して誘導されますが、HUB1-VPN3を経由して誘導することはできません。
したがって正解はBです。