* オプション A は正解です。SSH を許可するには、ポリシー設定の [サービス] フィールドに SSH を指定する必要があります。これは、[サービス] フィールドによって、ポリシーで許可されるトラフィックの種類が決まるためです1。デフォルトでは、[サービス] フィールドは [App Default] に設定されています。つまり、ポリシーはアプリケーションによって定義されたデフォルトのポートを使用します。ただし、SSH はデフォルトのアプリケーションの 1 つではないため、手動で指定するか、SSH 用のカスタム サービスを作成する必要があります2。
* オプション B は、プロトコル オプション フィールドでポート 22 を設定するだけでは SSH を許可できないため、正しくありません。プロトコル オプション フィールドを使用すると、ポリシー 3 のプロトコル検査と異常保護設定をカスタマイズできます。ただし、このフィールドは、トラフィック タイプと一致する必要があるサービス フィールドを上書きしません。
* オプション C は不正解です。アプリケーション フィールドに SSH を含めるだけでは SSH を許可できません。アプリケーション フィールドを使用すると、アプリケーションの署名とカテゴリに基づいてトラフィックをフィルタリングできます4。
ただし、このフィールドはサービス フィールドを上書きしません。サービス フィールドは引き続きトラフィック タイプと一致する必要があります。
* オプション D は不正解です。セキュリティ プロファイル セクションで SSH に対応するアプリケーション制御プロファイルを選択するだけでは、SSH を許可するには不十分です。セキュリティ プロファイル セクションでは、ウイルス対策、Web フィルタリング、IPS など、さまざまなセキュリティ機能をトラフィックに適用できます。ただし、このセクションでは、トラフィック タイプと一致する必要があるサービス フィールドが上書きされません。参考資料:
* 1: ファイアウォールポリシー
* 2: サービス
* 3: プロトコルオプションプロファイル
* 4: アプリケーション制御

損失の多い IPSec トンネルでの信頼性を向上させるには、fragmentation および flagmentation-mtu パラメータを設定する必要があります。パケット サイズや信頼性の低いネットワークに問題がある可能性があるシナリオでは、IPsec フェーズ 1 を設定してフラグメンテーションを許可すると、大きなパケットを分割して、サイズやネットワーク品質の低さが原因でパケットがドロップされるのを防ぐことができます。fragmentation-mtu はフラグメントのサイズを指定します。これは、パケット損失やサイズ制限の可能性があるネットワークで IPsec VPN を処理するための Fortinet の推奨事項と一致しています。

セキュリティ ファブリックでは、ルート FortiGate のみが FortiAnalyzer にログを送信します (B)。さらに、構成同期が有効になっている FortiGate デバイスのみが、ルート FortiGate が送信するグローバル Central Management Database (CMDB) オブジェクトを受信して​​同期します (C)。FortiGate は、FortiTelemetry プロトコルを使用して他の FortiGate と通信しますが、FortiAnalyzer とは通信しません (A)。最後のオプション (D) は正しくありません。すべての FortiGate がネットワーク トポロジ情報を収集して FortiAnalyzer に転送できるためです。
参考文献:
* FortiOS ハンドブック - セキュリティ ファブリック