diagnose hardware sysinfo memory の出力の一部には、システム RAM の割り当てに関する詳細情報が含まれています。
FortinetのメモリトラブルシューティングおよびLinuxメモリ管理に関する技術文書（FortiOSのベースとなっているもの）によると、以下のようになっています。
MemFreeとは、現在実行中のプロセスやカーネル関数に割り当てられていない物理メモリの領域のことです。
したがって、708880 kBの容量が利用可能であり、ユーザー空間プログラムまたはシステム操作によってすぐに使用できます。
非アクティブとは、以前はI/Oやファイルシステムのバッファリングに使用されていたものの、現在はアクティブに参照されていないメモリキャッシュ内のページを指します。これらのページは、必要に応じてすぐにアクセスできるようメモリに保持されますが、需要が増加すれば他のメモリ操作のために再利用される可能性があります。ここで示されている98908 kBという値は、現在使用されていないキャッシュページ（非アクティブページ）を表しており、システムがより多くのRAMを必要とする場合に、再利用または削除される準備ができています。
Cachedは、システムメモリのうちキャッシュに割り当てられた総量を表し、アクティブなキャッシュページと非アクティブなキャッシュページの両方を含みます。これは、I/Oキャッシュのみを表すものではなく、「非アクティブ」とはメモリが「決して使用されない」という意味でもありません。カーネルは必要に応じて非アクティブなページを再利用できるためです。
参考文献：
Fortinetテクニカルヒント：「diagnose hard sysinfo memory」コマンドの説明 FortiOSシステム管理ガイド：Linuxメモリレポート、キャッシュおよび非アクティブな統計

正解はCとDです。
学習ガイドには、「SSL証明書の検査は、TLS拡張サーバー名表示（SNI）またはSSL証明書の共通名（CN）のいずれかからURLのFQDNを抽出することに依存している」と記載されています。また、次のようにも記載されています。
「SSL証明書検査を使用する場合、FortiGateはトラフィックを復号化しません。暗号化前に交換されるサーバーのデジタル証明書とSNIフィールドのみを検査します。」これは、回答の後半部分を証明しています。
* SSL証明書検査では、FortiGateはトラフィックを復号化しません。
* したがって、トラフィックが許可されている場合、復号化されずに通過します。そのため、D が正解です。
SNIの不一致動作に関して、FortiOS管理ガイドでは、デフォルトのサーバー証明書SNIチェック動作を次のように説明しています。
「有効化：一致しない場合は、サーバー証明書のCNをURLに使用する」つまり、SNIがCNまたはSANと一致しない場合、FortiGateはデフォルト設定でURL処理にSubjectフィールドのCNを使用するようにフォールバックします。したがって、Cが正しいです。
他の選択肢が間違っている理由：
* A は誤りです。デフォルトの SNI チェック動作では、SNI が証明書の ID と一致しない場合、FortiGate は一致しない SNI の使用を継続しません。代わりに、URL に対してサーバー証明書の CN を使用します。
* この単一ペア選択では、Bは最適な答えではありません。証明書検査ではトラフィックは復号化されませんが、この不一致ケースに関してドキュメントが明示的に強調している重要なデフォルト動作は次のとおりです。
* SNI が一致しない場合は CN を使用し、
* 証明書検査では、許可された HTTPS トラフィックは復号化されません。
したがって、検証済みの答えはC、Dです。

get router info bgp summary の出力には、BGP ネイバーの状態が表示されます。
プレフィックス受信: 「State/PfxRcd」列には、ネイバーから受信したプレフィックスの数が表示されます。ネイバー100.64.1.254には「1」が表示されており、オプションAが確認できます。
受信メッセージ数: "MsgRcvd" の下で、ネイバー 100.64.1.254 から 18 個のパケットが受信されました。
これは選択肢Cに該当します。
2 番目の隣接ノード 100.64.2.254 は「アクティブ」状態であり、受信/送信パケット数は 0 であるため、TCP 接続が確立されていないことが示され、オプション B が否定されます。
ルーターがプレフィックスを「まだ計算中」であることを示す表示はどこにもありません。「アクティブ」とは、セッションが確立されていないことを意味するだけなので、オプションDは誤りです。
参考文献：
FortiOS BGPコマンドリファレンス：BGPネイバー状態、PfxRcd、およびカウンタ

この問題は、設定されているプレフィックスリストの厳密なマッチングロジックが原因です。
現在の状態: ルールは編集 1 で、プレフィックス 172.16.0.0 255.255.0.0 が設定されており、ge (以上) と le (以下) の両方が設定されていません。
動作: ge と le が設定されていない場合、FortiOS はサブネット マスクの完全一致を要求します。現在のルールは、ネットワーク 172.16.0.0/16 にのみ一致します。マスク (/24) がルールのマスク (/16) と一致しないため、172.16.52.0/24 は拒否されます。
この問題を解決して172.16.52.0/24を挿入するには、リストを/24マスクに一致するように変更する必要があります。
A) プレフィックスリストに別のエントリを追加して、172.16.52.0/24 ネットワークを明示的に許可します。
プレフィックス 172.16.52.0 255.255.255.0 を設定した新しいルール (例: edit 2) を作成すると、受信ルートと完全に一致するため、ディストリビュート リストを通過できます。
B) geの値を17に変更します。
既存のルール (概念的には 172.16.0.0/16 ge 17) に set ge 17 を設定することで、ロジックが「完全一致」から「範囲一致」に変更されます。
この設定は、サブネットマスクの長さが17以上の、172.16.xxで始まるプレフィックスにルーターが一致するように指示します。
着信ルートは/24であり、24は17より大きいため、ルートはプレフィックスリストに一致し、受け入れられます。
他の選択肢が間違っている理由：
C: オプションのテキストには「...の値を16に変更する」と書かれているようです。これが16以下を指している場合、マスクは正確に/16以下となり、/24は除外されます。
D: デフォルトの動作を暗黙的に許可するように変更すると、フィルタ（セキュリティ制御）の目的が損なわれ、単一の欠落したルートを修正するための標準的な設定手順ではありません。
参照：
FortiGate Security 7.6 学習ガイド（ルーティング）：プレフィックスリストでは、ge と le を使用しない場合、サブネットマスクは完全に一致する必要があります。範囲内のサブネットを一致させるには、ge または le を使用してプレフィックス長の境界を定義する必要があります。

トラフィックはサービス 2 のアドレス基準に一致します: 10.0.1.125 は設定されたソース範囲 10.0.1.0- に属します。
10.0.1.255 および 128.66.0.125 は、宛先範囲 128.66.0.0～128.66.255.255 に属します。サービス 2 では、ポート 7 とポート 8 が選択され SLA メンバーとしてリストされ、ラウンドロビン方式の負荷分散が使用されます。
しかし、SD-WANガイドには「SD-WANでは、トラフィックをルーティングするためにメンバーを使用できるように、転送情報ベース（FIB）に有効なルートが必要です」と記載されています。ルーティングテーブルには、10.0.1.0/24宛てのポート7とポート8を経由するルートのみが含まれています。どちらのメンバーを経由しても、128.66.0.125宛てのルートは含まれていません。
宛先をカバーする唯一のルートはデフォルトルートであり、これはポート1とポート2を経由する等コストパスを持っています。したがって、SLAで選択されているにもかかわらず、ポート7とポート8はこのフローには使用できません。FortiGateは使用できない明示的なSD-WANルールをスキップし、標準のFIBルーティングを使用して暗黙的なルールを通してトラフィックを処理します。したがって、オプションAが正解です。オプションBとCは、選択されたルートがルートの可用性を上書きすると誤って想定しており、オプションDは有効なデフォルトルートが存在するため誤りです。