FortiOS 7.6、FortiWeb 7.4 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiOS 7.6 Azure 管理ガイドおよびパブリック クラウド セキュリティのドキュメントによると、Azure Gateway Load Balancer (GWLB) の統合に関する内容は次のとおりです。
* カプセル化オーバーヘッド：Azure Gateway Load Balancer は、FortiGate-VM HA クラスタに送信する前に、VXLAN (Virtual eXtensible LAN) を使用してトラフィックをカプセル化します。このカプセル化により、通常の IPv4 トラフィック（イーサネット、IP、UDP、VXLAN ヘッダー）では通常 50 バイトのヘッダーが追加されます。
* MTU不一致（オプションA）：Azureのデフォルトの最大転送単位（MTU）は1500バイトです。保護されたVMがデフォルトの最大サイズ（1500バイト）でパケットを送信し、GWLBが
50 バイトの VXLAN ヘッダーの場合、結果として得られるカプセル化されたパケットは 1550 バイトになります。
* パケットドロップ：FortiGate-VMのネットワークインターフェースがデフォルトのMTUである1500バイトのままの場合、1550バイトのカプセル化されたフレームを断片化せずに処理することはできません。多くのネットワークパスや構成（特定のフローにおけるAzureファブリックを含む）では、断片化を必要とするパケットやDon't Fragment（DF）フラグセットが設定されたパケットがドロップされる可能性があるため、断続的な接続の問題やトラフィックのドロップが発生します。
* 必要な解決策: この問題を解決するには、管理者は FortiGate-VM インターフェース (具体的には GWLB トラフィックを受信するインターフェース) の MTU を少なくとも 1570 バイトに増やして、IPv4 と IPv6 の両方の VXLAN オーバーヘッドに対応する必要があります。
他のオプションが間違っている理由:
* オプション B: ヘルス プローブ ポートが正しくないと、GWLB は FortiGate をダウンとしてマークしますが、通常は、アクティブ フロー内で断続的にパケットがドロップされるのではなく、そのインスタンスを通過するトラフィック フローが完全に失われます。
* オプション C: GWLB 自体がオーバーヘッドを追加するコンポーネントです。FortiGate が結果として生じる大きなフレームを受信できないこと (独自のデフォルト MTU 設定による) が障害の原因となります。
* オプションD：アプリケーションによるパケットの断片化は二次的な影響です。GWLB導入で発生する主な「断続的な」問題は、ほとんどの場合、トンネリングのオーバーヘッドが受信インターフェースのMTUを超えることに関連しています。

AWSでは、トランジットゲートウェイ（TGW）は複数のTGWルートテーブルを持つことができ、異なるVPCやVPNアタッチメントに対して柔軟なルーティングポリシーを適用できます。各アタッチメントは1つのルートテーブルにのみ関連付けることができますが、TGWはセグメンテーションと制御のために複数のルートテーブルをサポートしています。

FortiOS 7.6 AWS 管理ガイドと Fortinet Public Cloud Security 7.4 の集中セキュリティ検査に関するトレーニング資料によると、次のようになります。
複数のルートテーブル（オプションB）：単一のAWSトランジットゲートウェイは、複数のTGWルートテーブルをサポートするように設計されています。デフォルトでは、トランジットゲートウェイあたり20ルートテーブルのソフトリミットが設定されており、管理者は高度なネットワークセグメンテーションときめ細かなルーティングポリシーを実装できます。FortiGateを中心とする「セキュリティハブ」または「トランジットVPC」アーキテクチャでは、複数のルートテーブルを使用して「スポーク」トラフィックと「セキュリティ」トラフィックを分離し、すべてのVPC間トラフィックがFortiGate-VMを経由するように検査されます。
関連付けと伝播：* 関連付け：個々のTGWアタッチメント（VPC、VPN、またはDirect Connect）は、常に1つのTGWルートテーブルにのみ関連付けることができます。このテーブルは、そのアタッチメントから送信されるパケットの送信先を指定します。この1対1の関係のため、オプションCは誤りです。
伝播：アタッチメントは、そのルートを1つまたは複数のTGWルートテーブルに伝播できます。この柔軟性により、VPCのプレフィックスを複数のルーティングドメインで認識できるようになります。つまり、関連付けと伝播を同じテーブルで実行する必要がないため、オプションAは誤りとなります。
デフォルトルートテーブル管理：AWS Transit Gatewayを作成する際、「デフォルトルートテーブルの関連付け」と「デフォルトルートテーブルの伝播」のオプションはデフォルトで有効になっていますが、作成中または作成後に無効にすることができます。FortiGate-VMを導入する際は、TGWがファイアウォールをバイパスする「フルメッシュ」接続を自動的に作成するのを防ぐため、これらのオプションを無効にすることがセキュリティ上のベストプラクティスです。オプションDは誤りです。