* オプションAは正解です。SSHを許可するには、ポリシー設定の「サービス」フィールドでSSHを指定する必要があります。これは、「サービス」フィールドによって、ポリシーで許可されるトラフィックの種類が決定されるためです1。デフォルトでは、「サービス」フィールドは「App Default」に設定されており、ポリシーはアプリケーションによって定義されたデフォルトポートを使用します。ただし、SSHはデフォルトアプリケーションではないため、手動で指定するか、カスタムサービスを作成する必要があります2。
* オプションBは不正解です。プロトコルオプションフィールドでポート22を設定するだけでは、
* SSH。「プロトコルオプション」フィールドでは、ポリシー3のプロトコル検査と異常保護の設定をカスタマイズできます。ただし、このフィールドは「サービス」フィールドの値を上書きしません。サービスフィールドはトラフィックの種類と一致する必要があります。
* 選択肢Cは不正解です。アプリケーションフィールドにSSHを含めるだけではSSHを許可できません。アプリケーションフィールドでは、アプリケーションシグネチャとカテゴリに基づいてトラフィックをフィルタリングできます4。
ただし、このフィールドはサービス フィールドを上書きしません。サービス フィールドは、依然としてトラフィック タイプと一致する必要があります。
* 選択肢Dは不正解です。「セキュリティプロファイル」セクションでSSHに対応するアプリケーション制御プロファイルを選択するだけではSSHを許可できません。「セキュリティプロファイル」セクションでは、ウイルス対策、Webフィルタリング、IPSなど、トラフィックに様々なセキュリティ機能を適用できます。ただし、このセクションでは「サービス」フィールドの設定が上書きされません。サービスフィールドはトラフィックの種類と一致する必要があります。参考：
* 1: ファイアウォールポリシー
* 2: サービス
* 3: プロトコルオプションプロファイル
* 4: アプリケーション制御

図に示すコマンド出力から:
B: IKE バージョンは 2 です。これは、出力に「ver=2」があることから推測でき、IKEv2 が使用されていることを示しています。
C: 両方の IPsec SA がカーネルにロードされます。これは 'npu flags=0x0/0' の行で示され、NPU へのオフロードが行われていないことを示しています。したがって、両方のセキュリティ アソシエーションが処理のためにカーネルにロードされます。
Fortinet のドキュメントでは、使用されている IKE (インターネット キー エクスチェンジ) のバージョンと IPsec セキュリティ アソシエーションのロードは、VPN トンネルに関連する診断コマンドを通じて確認できると規定されています。

BGPの状態は「アイドル」で、BGPがピアとのTCP接続を確立しようとしていることを示します。これはBGP有限状態マシンの最初の状態であり、まだTCP接続が確立されていないことを意味します。
TCP接続に失敗した場合、BGPの状態は設定に応じてアクティブまたはアイドルにリセットされます。参考資料：BGPの状態とトラブルシューティングの詳細については、以下のFortinet Enterprise Firewall 7.2のドキュメントをご覧ください。
* BGPのトラブルシューティング
* BGPの仕組み

BGP (Border Gateway Protocol) サマリーの出力には、ルーターの BGP ネイバー、その自律システム (AS) 番号、BGP セッションの状態、送受信されたメッセージなどのその他のメトリックに関する詳細が表示されます。
提供された BGP サマリーから:
A: 外部 BGP (EBGP) はルーティング情報を交換します。ネイバーの AS 番号がローカル AS 番号 (65117) と異なることから、これらが外部接続であることが示唆され、この結論が導き出されます。
B: ピア 10.127.0.75 との BGP セッションが確立されています。これは、状態/プレフィックス受信列に数値 (1) が表示されることで示され、通常、セッションが確立され、プレフィックスが多数受信されたことを意味します。
C: ルータ 100.64.3.1 では、パラメータ bfd が有効に設定されています。これは、BFD (双方向フォワーディング検出) 構成を具体的に示す追加のコンテキストまたはコマンドがなければ、サマリーから直接結論付けることはできません。
D: 表示されるネイバーは、ネイバー範囲の値が 4 に設定されたローカル ルータにリンクされています。ネイバー範囲の概念はここでは適用されません。「V」列の値 4 は、BGP バージョン番号 (通常は 4) を表します。

IBGPネットワークにおけるBGPセッション数を減らすには、ルートリフレクタを使用できます。ルートリフレクタはIBGPセッションのフォーカルポイントとして機能し、他のすべてのピアにプレフィックスを再アドバタイズします。ルートリフレクタを設定するには、ハブデバイスのネイバーグループ設定でroute-reflector-clientオプションを有効にする必要があります。これにより、ハブデバイスはルートリフレクタサーバとして、他のデバイスはルートリフレクタクライアントとして機能します。参考：ルート交換 | FortiGate / FortiOS 7.2.0 - Fortinetドキュメント