IPsec VPN シナリオで、特定の時点において 1 つのリモート サイトのみが接続されるようにするには、use-new または use-old のいずれかのオプションを指定した route-overlap を使用する必要があります。この設定により、優先されるルートとルートの重複の処理方法が決定され、1 つの接続が他の接続よりも優先されるようになります (C)。
参考文献:
* FortiOS ハンドブック - IPsec VPN

オプション B は正解です。ルーティング テーブルには、トンネル インターフェイスのネットマスクが 255.255.255.255 であることが示されており、これはフェーズ 1 構成で net-device が有効になっていることを示しています。このオプションにより、FortiGate は、フェーズ 2 の destination1 にルートを追加せずに、トンネル インターフェイスをルーティングのネクスト ホップとして使用できます。
オプション D は正解です。ルーティング テーブルにはフェーズ 2 の宛先ネットワークへのルートが表示されず、フェーズ 1 構成で add-route が無効になっていることを示しています。このオプションは、FortiGate がゲートウェイ 2 としてトンネル インターフェイスを使用してフェーズ 2 の宛先ネットワークに静的ルートを追加するかどうかを制御します。
オプション A は不正解です。IPSec トンネル集約は、複数のフェーズ 2 セレクタが単一のフェーズ 1 トンネルを共有できるようにすることで、トンネルの数を減らし、パフォーマンスを向上させる機能です。3 この機能は、ルーティング テーブルやフェーズ 1 構成とは関係ありません。
オプション C は正しくありません。OSPF は IPSec トンネル上で実行できる動的ルーティング プロトコルですが、FortiGate とピア デバイス 4 で追加の構成が必要です。このオプションは、ルーティング テーブルやフェーズ 1 の構成とは関係ありません。参照:
1: テクニカルヒント: 「set net-device」新しいルートベースの IPsec ロジック2
2: 静的ルートの追加5
3: IPSec VPN の概念6
4: IPsec VPN7 を介した動的ルーティング

アクティブ/アクティブ ロード バランシング シナリオでは、プライマリ FortiGate が SYN パケットをセカンダリ FortiGate に転送する場合、パケットはネットワーク経由で送信され、物理 MAC はレイヤー 2 の送信に使用されるため、宛先 MAC アドレスはポート 1 のセカンダリの物理 MAC になります。

* オプション A は正解です。ファブリック オブジェクトが無効に設定されている場合、FortiGate ツール上のアドレス オブジェクトはダウンストリーム デバイスと同期されません。このオプションは、アドレス オブジェクトをセキュリティ ファブリック内の他の FortiGate デバイスと共有するかどうかを制御します1。
* オプション C は正解です。fabric-object-unification が local に設定されている場合、下流の FortiGate はツール FortiGate からアドレス オブジェクトを受信しません。このオプションは、下流の FortiGate がルート FortiGate からのアドレス オブジェクトを使用するか、独自のローカル アドレス オブジェクトを使用するかを制御します2。
* オプション B は正しくありません。ルート FortiGate では、configuration-sync がデフォルトで有効に設定されているため、fabric-object オプション 3 によって無効にされない限り、アドレス オブジェクトがダウンストリーム デバイスと同期されます。
* オプション D は正しくありません。ダウンストリーム FortiGate では、configuration-sync がデフォルトで local に設定されているため、fabric-object-unification オプション 4 によって上書きされない限り、ルート FortiGate からアドレス オブジェクトを受信することになります。参考:
* 1: FortiManager5から同期されたグループアドレスオブジェクト
* 2: セキュリティファブリックアドレスオブジェクトの統合6
* 3: 構成の同期7
* 4: 構成の同期7
* : セキュリティ ファブリック - Fortinet ドキュメント