* オプションAは正解です。SSHを許可するには、ポリシー設定の「サービス」フィールドでSSHを指定する必要があります。これは、「サービス」フィールドによって、ポリシーで許可されるトラフィックの種類が決定されるためです1。デフォルトでは、「サービス」フィールドは「App Default」に設定されており、ポリシーはアプリケーションによって定義されたデフォルトポートを使用します。ただし、SSHはデフォルトアプリケーションではないため、手動で指定するか、カスタムサービスを作成する必要があります2。
* オプションBは不正解です。プロトコルオプションフィールドでポート22を設定するだけではSSHを許可できません。プロトコルオプションフィールドでは、ポリシー3のプロトコル検査と異常保護の設定をカスタマイズできます。ただし、このフィールドはサービスフィールドをオーバーライドしません。サービスフィールドはトラフィックタイプと一致する必要があります。
* 選択肢Cは不正解です。アプリケーションフィールドにSSHを含めるだけではSSHを許可できません。アプリケーションフィールドでは、アプリケーションシグネチャとカテゴリに基づいてトラフィックをフィルタリングできます4。
ただし、このフィールドはサービス フィールドを上書きしません。サービス フィールドは、依然としてトラフィック タイプと一致する必要があります。
* 選択肢Dは不正解です。「セキュリティプロファイル」セクションでSSHに対応するアプリケーション制御プロファイルを選択するだけではSSHを許可できません。「セキュリティプロファイル」セクションでは、ウイルス対策、Webフィルタリング、IPSなど、トラフィックに様々なセキュリティ機能を適用できます。ただし、このセクションでは「サービス」フィールドの設定が上書きされません。サービスフィールドはトラフィックの種類と一致する必要があります。参考：
* 1: ファイアウォールポリシー
* 2: サービス
* 3: プロトコルオプションプロファイル
* 4: アプリケーション制御

設定行「set dpd on-idle」は、デッドピア検出（DPD）がトンネルがアイドル状態の場合にのみトリガーされるように設定されており、アクティブに無効化されていないことを示します1。参考資料：FortiGate IPSec VPN ユーザーガイド - Fortinet ドキュメントライブラリ 指定された VPN 設定では、デッドピア検出（DPD）が「on-idle」に設定されており、DPD が有効になっており、トラフィックが検出されないときに VPN トンネルのもう一方の端がまだアクティブであるかどうかを検出するために使用されることを示します。
したがって、オプションCは誤りです。設定では、トンネルのタイプが「ダイナミック」に設定されていますが、ダイヤルアップクライアントごとに個別の仮想インターフェースは作成されません（A）。また、ダイナミックルーティングが使用されることも指定されていません（B）。これはフェーズ1の設定スニペットであるため、これだけではルーティングテーブルの側面（D）を結論付けることはできません。

IKEバージョン2は、より柔軟で安全な認証方式を可能にする拡張認証プロトコル（EAP）をサポートしています。また、IKEバージョン2では、安全なトンネルを確立するために少なくとも4つのメッセージを交換します。これはIKEバージョン1よりも効率的です。

フェイルオープンは、IPSセンサーが故障または過負荷状態になった際に、トラフィックが検査なしで通過できるようにする機能です。フェイルオープンが無効に設定されている場合、そのようなシナリオではトラフィックがドロップされます1。参考：= IPS | FortiGate / FortiOS 7.2.3 - Fortinetドキュメント

BFD（双方向フォワーディング検出）は、2つのピア間の接続性を検証するための定期的なメッセージを送信することで、BGPの高速障害検出を提供するプロトコルです。BGP設定でコマンドset bfd enableを使用することで、接続された両方のFortiGateデバイスでBFDを有効にすることができます。