正解はBです。
展示内容：
* ネイバー100.64.1.254はState/PfxRcd = 1を示しており、これはセッションが確立され、ローカルのFortiGateが1つのプレフィックスを受信したことを意味します。
* 隣接ノード 100.64.2.254 は State/PfxRcd = Active を示しています
学習ガイドでは、BGPの状態を正確に説明しています。
* 接続: 3者間TCP接続が正常に確立されるまで待機しています
* アクティブ：TCPセッションを確立できません
* OpenSent: ピアからのOPENメッセージを待機中
* OpenConfirm:ピアからのキープアライブメッセージを待機中
* 確立済み：ピア間でOPENメッセージとキープアライブメッセージの交換が正常に完了しました。また、State/PfxRcd列の読み方についても説明しています。
「状態が確立されていない場合、この列には BGP の状態が表示されます。状態が確立されている場合、この列にはローカル FortiGate がそのネイバーから受信したプレフィックスの数が表示されます。」したがって、ネイバー 100.64.2.254 はアクティブ状態であるため、TCP セッションを確立できなかったため、BGP 隣接関係を形成できないというのが正しい結論です。
他の選択肢が間違っている理由：
* Aは誤りです。BGPは複数のネイバーと独立して隣接関係を確立できます。確立されたネイバーが他のネイバーをブロックすることはありません。
* Cは誤りです。BGP隣接関係はネイバーの「優先度」に基づいて確立されるのではなく、セッションが完了しプレフィックスが交換されたため隣接関係が確立されたことが出力で示されています。
* D は誤りです。同じリモート AS に 2 つのネイバーがあることは BGP では有効であり、隣接関係の形成を妨げません。したがって、検証済みの答えは B です。

Enterprise Firewall 7.6 管理者学習ガイドには、「network コマンドを使用して FortiGate BGP を設定し、プレフィックスをアドバタイズすることもできます」と記載されています。したがって、FortiGate_C は、config router bgp # config network の下に 100.64.2.0/24 を追加して、必要なプレフィックスを生成する必要があります。
デフォルトでは、設定されたプレフィックスは FortiGate_C のルーティングテーブル内のアクティブなルートと完全に一致する必要があります。トポロジー図から 100.64.2.0/24 が FortiGate_C に直接接続されていることがわかるため、ネットワークインポートチェックは成功し、FortiGate_C はその特定のプレフィックスを FortiGate_B にアドバタイズします。その後、FortiGate_B は学習した BGP ルートを既存の eBGP 隣接関係を通じて FortiGate_A にアドバタイズできます。
FortiGate_C 上の接続ルート再配布は、対象となるすべての接続ルート（他の接続サブネット 100.65.3.0/24 を含む）を再配布してしまうため、範囲が広すぎます。FortiGate_A 上の route-map-in は、FortiGate_A が受信するルートをフィルタリングできますが、FortiGate_C がアドバタイズしていないルートを生成することはできません。
FortiGate_BはBGPをBGPに再配布する必要はありません。通常のBGPルート伝播によって、自律システム間のアドバタイズメントが処理されます。
FortiGate_Cにおける設定例：
config router bgp
ネットワークの設定
編集1
プレフィックスを 100.64.2.0 255.255.255.0 に設定します。
次
終わり
終わり
参考資料: Dynamic Routing Supplement - Network Command、346 ページ; Fortinet: BGP network command および exact-prefix 要件; FortiOS 7.6.7 CLI リファレンス。

提供されたセッションテーブルの出力において、以下の詳細が回答の根拠となります。
ポリシーIDの一致: policy_id=1という行は、このセッションがファイアウォールポリシーIDに一致したことを直接的に示しています。
1. Fortinetのセッションテーブルのドキュメントによると、policy_idフィールドは常にこのセッションを許可したポリシーを参照するため、これは明確な指標となります。
セッションオフロード: npu_state、ips_offload という文字列、特に offload=8/8、ips_offload=1/1 などの NPU 情報セクションが存在する場合、このセッションがネットワークプロセッサユニット (NPU) にオフロードされていることを示します。Fortinet の技術文書には、両方向でゼロより大きい「offload」値 (および NPU 情報セクション) は、NPU ハードウェア処理 (高速パス) がこのトラフィックを処理していることを示しており、セッションがソフトウェアのみで処理されていないことを意味します。
その他の選択肢：
VLANタギング（vlan=0x0000/0x0000）：これは、このセッションにVLANタグが割り当てられていないことを意味します。
NP7: このコードスニペットでは、セッションを処理する実際のNPUモデルは公開されていません。表示されているオフロードパラメータは汎用的なものであり、NP7ハードウェアに固有のものではないため、セッションデータからそれを判断することはできません。
参考文献：
Fortinetテクニカルヒント：FortiGateセッションテーブルとNPUオフロード
FortiOS診断ガイド：ポリシーID、オフロード、およびVLANセッションテーブルフィールド

SD-WAN 7.6 エンタープライズ管理者学習ガイドには、「SDブランチとは、SD-WANスポークFortiGateデバイスと1つまたは複数の内線を持つサイトのことです」と記載されています。また、FortiSwitchとFortiAPはFortiLinkを介して有線および無線LAN接続を提供し、FortiExtenderは4G/5Gトランスポートを提供することでWAN接続を補完すると説明されています。
このガイドではさらに、管理プレーンは拡張デバイスのポートを、制御対象のFortiGateに属する論理インターフェイスとして認識すると説明しています。そのため、FortiSwitch、FortiAP、およびFortiExtenderは独立したSD-WANトポロジーノードにはならず、個別のトポロジーも必要ありません。FortiLink接続を備えたFortiGateデバイスも除外する必要はありません。
FortiExtenderは、セルラー接続を別のWANトランスポートとして導入する、自然なSD-WAN拡張機能として特別に設計されています。したがって、FortiExtenderを使用するFortiGateは、必要な容量、ルーティング、およびIPsec設計要件を満たしていれば、ハブとして機能できます。ハブが拡張機能を持たないことを義務付ける規則はありません。したがって、オプションDは、図に示されている統合トポロジーを正しく説明しています。

Enterprise Firewall 7.6 管理者学習ガイドでは、「ルート FortiGate は ID プロバイダ (IdP) として機能し、他のデバイスはサービスプロバイダ (SP) として構成します」と説明されています。したがって、ルート FortiGate は AdminSSO 管理者の認証情報を認証し、下流の FortiGate は SAML サービスプロバイダとして機能します。
認証が成功すると、ルートFortiGateは下流のFortiGateにSAMLアサーションを返します。
下流側のデバイスは、設定されたSAML管理者プロファイルに従ってアクセスを許可します。図に示すように、デフォルトの管理者プロファイルはsuper_admin_readonlyです。したがって、ユーザーは読み取り専用のスーパー管理者権限で下流側のFortiGateにログインします。
ブラウザは一時的にルートFortiGateにリダイレクトされ、IDプロバイダ認証が行われますが、これは最終的なアクセス結果ではないため、オプションAは不完全です。AdminSSOは管理者アカウント名であり、アクセスプロファイルではありません。また、ユーザーはルートFortiGate上に残されないため、オプションCは除外されます。認証情報が正常に認証されるため、オプションDも誤りです。
参考文献：Enterprise Firewall 7.6 管理者学習ガイド、Security Fabric - ユースケース 4：SAML SSO を使用した Security Fabric、266 ページ；FortiOS 7.6 - ダウンストリーム FortiGate を SP として構成する；FortiOS 7.6
- SSO管理者