https://community.fortinet.com/t5/FortiGate/Technical-Tip-Using-the-diagnose-sys-top-CLI-command/ta-p
/190238

SD-WAN 7.6 Enterprise Administrator Study Guideには、「SD-WANトラフィックのファイアウォールポリシーは、個々のメンバーではなくSD-WANゾーンを参照する必要があります」と明記されています。図では、HUB1-VPN1はHUB1 SD-WANゾーンの個々のメンバーです。しかし、ポリシー3では、送信インターフェイスとしてHUB1-VPN1が誤って使用されています。SD-WANファイアウォールポリシーではSD-WANメンバーを直接参照できないため、FortiManagerはこのポリシーをコンパイルしてコミットできません。管理者は、ポリシーの送信インターフェイスをHUB1-VPN1から親ゾーンであるHUB1に変更する必要があります。
オプションCは誤りです。ガイドには、IPsecインターフェイスをSD-WANメンバーとして使用する場合、正規化は不要であると明記されています。「SD-WANメンバーは正規化されたインターフェイスを使用しません。」ポリシーに示されている正規化されたLANインターフェイスは、管理対象のFort iGateごとにローカルインターフェイスをマッピングするため適切ですが、オーバーレイ側はHUB1ゾーンを参照する必要があります。
オプションDは、個々のSD-WANメンバーを参照しているため、無効のままです。オプションAは、無効な送信インターフェース参照を修正しません。ポリシー3は既にポリシーパッケージのインストールターゲットを使用しています。

2台のFortiGateデバイス間で暗号化されたIPsecフェーズ2（ESP）トラフィックをキャプチャするには、適切なプロトコルフィルタとしてip proto 50を使用します。Fortinetの公式スニッフィングおよびデバッグに関するドキュメントによると、ESP（Encapsulating Security Payload）は暗号化されたフェーズ2ペイロード転送に使用され、常にIPプロトコル番号50を使用します。コマンドdiagnose sniffer packet any 'ip proto 50'を実行すると、デバイスから発信されたかデバイスを通過するかにかかわらず、暗号化されたトラフィックを表すESPパケットのみがキャプチャされます。
FortiGate間にNATデバイスがない場合、ESPはUDPでカプセル化されません（したがって、UDPポート4500では使用されません。NAT-Tが必要な場合はパケットはUDPでカプセル化されますが、このシナリオではNATは使用されていないことが明示的に示されています）。UDPポート500はIKE制御（ネゴシエーション）トラフィック用であり、AH（認証ヘッダー、ipプロトコル51）はESPを使用した標準IPsecフェーズ2の暗号化には使用されません。
これは、Fortinetが提供するVPNおよびトラフィック分析に関する公式CLIリファレンスと一致します。
**
参考文献：
FortiOS CLI リファレンス: スニファパケット、ESP、IP プロトコル番号の診断 FortiGate VPN 管理ガイド: IPsec トラフィックのキャプチャと分析

diagnose sys session list コマンドの出力は、フェイルオーバー時の動作を判断するために必要な重要な証拠を提供します。
セッション同期（同期済み）：
展示の中で最も重要な指標は、state= 行にある同期フラグです (state=may_dirty synced none app_ntf)。
FortiOS HA（高可用性）では、同期フラグは、この特定のセッションがプライマリデバイスからセカンダリ（バックアップ）デバイスに正常に同期されたことを示します。
セッション同期（セッションピックアップ）により、プライマリユニットに障害が発生した場合でも、セカンダリユニットは既にセッションをテーブルに保持しているため、トラフィック処理を直ちに再開できます。
TCP状態（proto_state=01）：
出力にはproto=6（TCP）およびproto_state=01と表示されます。
FortiGateのセッションテーブルにおいて、TCPのproto_state=01は、セッションがESTABLISHED状態（3ウェイハンドシェイク後）であることを示します。
これは、TCPセッションが完全に確立されていないと主張するオプションBを無効にする。
フェイルオーバーの結果:
セッションが確立され同期されているため、プライマリデバイスに障害が発生した場合、セカンダリデバイスがシームレスにセッションを引き継ぎます。
トラフィックは、ユーザー/クライアントが接続を再起動する必要なく、新しいプライマリを経由して流れ続けます。これがHAセッションピックアップの主な機能です。
他の選択肢が間違っている理由：
A: 出力には app_ntf (アプリケーション制御通知) と may_dirty が表示されますが、同期フラグが存在するため、フェイルオーバーに関するこの懸念は解消されます。セッションタイプがフェイルオーバーに対応していない場合 (たとえば、旧バージョンの特定のプロキシセッションなど)、同期済みとしてマークされません。同期済みであるため、セッションは維持されます。
B: 前述のとおり、proto_state=01 は「確立済み」を意味し、「完全に確立されていない」という意味ではありません。
D: カーネルがルーティングテーブルを更新する一方で、セッションを同期する目的は、新しいパケットのように再評価する必要がないように状態を保持し、トラフィックのドロップを防ぐことです。
参照：
FortiGate Security 7.6 学習ガイド（高可用性）：セッションピックアップが有効になっている場合、プライマリユニットはセッションテーブルをバックアップユニットと同期します。プライマリユニットに障害が発生した場合、バックアップユニットは中断することなくセッションの処理を継続します。