Enterprise Firewall 7.6 管理者学習ガイドでは、「ルート FortiGate は ID プロバイダ (IdP) として機能し、他のデバイスはサービスプロバイダ (SP) として構成します」と説明されています。したがって、ルート FortiGate は AdminSSO 管理者の認証情報を認証し、下流の FortiGate は SAML サービスプロバイダとして機能します。
認証が成功すると、ルートFortiGateは下流のFortiGateにSAMLアサーションを返します。
下流側のデバイスは、設定されたSAML管理者プロファイルに従ってアクセスを許可します。図に示すように、デフォルトの管理者プロファイルはsuper_admin_readonlyです。したがって、ユーザーは読み取り専用のスーパー管理者権限で下流側のFortiGateにログインします。
ブラウザは一時的にルートFortiGateにリダイレクトされ、IDプロバイダ認証が行われますが、これは最終的なアクセス結果ではないため、オプションAは不完全です。AdminSSOは管理者アカウント名であり、アクセスプロファイルではありません。また、ユーザーはルートFortiGate上に残されないため、オプションCは除外されます。認証情報が正常に認証されるため、オプションDも誤りです。
参考資料: Enterprise Firewall 7.6 管理者学習ガイド、Security Fabric - ユースケース 4: Security Fabric と SAML SSO、266 ページ; FortiOS 7.6 - ダウンストリーム FortiGate を SP として構成する; FortiOS 7.6 - SSO 管理者。

正解はAとBです。
学習ガイドにはこう書かれている。
「NAT-Tが有効で、中間にNATを実行しているFortiGateがある場合、スニファコマンドは別のフィルタを使用する必要があります。この場合、IKEトラフィックはUDPポート500を使用しますが、UDPポートに切り替わります。」
トンネルネゴシエーション中は4500番ポートを使用します。さらに、ESPトラフィックはUDP 4500番ポート内にカプセル化されます。」また、次のようにも記載されています。
「一部のネットワークでは、UDPはファイアウォールやISPによってブロックされています。そのような場合は、フェーズ1の設定でVPNトンネルをIKE over TCPを使用するように構成できます。デフォルトのIKE TCPポートは443です…」そして、学習ガイドには正しいキャプチャ例が示されています。
NATなし: ホスト < remote-gw > および UDP ポート 500
NATとNAT-Tの場合：ホスト<リモートゲートウェイ>と（UDPポート500またはUDPポート4500）したがって：
Bが正解です。NATトラバーサルが有効になっている場合、トンネルはUDP 500のみを使用するとは限らず、UDP 4500に移行する可能性があるため、現在のフィルタではトラフィックを見逃してしまう可能性があります。
Aが正解です。NAT-Tの場合はUDP 4500、IKE over TCPを使用する場合はTCP 443を含めるようにフィルタを拡張する必要がある場合があるためです。
他の選択肢が間違っている理由：
Cは誤りです。フィルタをリモートピアのIPアドレスに限定することでキャプチャの精度は向上しますが、スニファが出力を表示するために必須ではありません。問題はホストフィルタの有無ではなく、ポート/プロトコルの選択にあります。学習ガイドの例では、ホストフィルタリングは必須ではなく、補助的な手段として使用されています。
Dは誤りです。diagnose debug enableはアプリケーションのリアルタイムデバッグ出力を有効にするために使用されますが、スニファ出力を抑制または無効化するものではありません。スニファキャプチャは別のコマンドパスです。Fortinetのドキュメントでは、パケットキャプチャ用のdiagnose sniffer packet ...とデバッグ機能用のdiagnose debug enableについてそれぞれ別に記載されています。
したがって、検証済みの回答はA、Bです。

FGT-01の出力から、デバイスがトラフィックを積極的にカプセル化し、ESPパケット（プロトコル50）としてポート1からIPアドレス97.86.16.52に向けて送信していることが確認できます。ログには送信パケットが表示されており、FGT-01がトンネルの開始または維持を試みていること、およびNATトラバーサルが使用されていないこと（生のESPを使用しているため）が確認できます。
しかし、FGT-02 の出力には「（パケットがキャプチャされませんでした）」と表示されます。これは重要な点です。なぜなら、sniffer コマンド diagnose sniffer packet any ' esp ' は、受信ユニットに一致する VPN 設定が存在するかどうかにかかわらず、ネットワークインターフェイスレベル（イングレス）でトラフィックをキャプチャするからです。パケットが存在しないということは、FGT-01 によって生成された ESP トラフィックが物理的に FGT-02 のインターフェイスに到達していないことを示しています。
この行動は主に2つの要因によって説明できます。
* オプションA（ブロッキング）：ISPルーターやファイアウォールなどの中間デバイスがプロトコルを破棄している
50 トラフィック。UDP 500/4500 とは異なり、生の ESP は多くのネットワークや旧式のデバイスでデフォルトでブロックされることがよくあります。
* オプションC（ルーティング/設定ミス）：管理者がFGT-01で誤ったリモートピアIPを設定した場合、パケットは全く別の宛先にルーティングされます。その結果、パケットはFGT-02に到達せず、キャプチャされません。
オプションBは、VPNトンネルが設定されていなくても、ESPパケットがインターフェースに到達すればスニファが受信ESPパケットを表示するため、誤りです。オプションDは、FGT-01がESPを送信しているため、「esp」が正しいフィルタであるため、誤りです。

ネットワークセキュリティサポートエンジニア7.6学習ガイドでは、このデバッグメッセージについて明確に説明しています。
「iprope_in_check() チェック失敗、破棄」とは、パケットが FortiGate の IP アドレス宛てであり、以下のいずれかの条件に該当することを意味します。
サービスが有効になっていません
このサービスは別のTCPポートを使用しています
送信元IPアドレスは信頼済みホストリストに含まれていません
このパケットは、アクションが拒否のローカルインポリシーに一致します。
これはC.信頼済みホストリストの設定ミスを直接的に裏付けるものです。
Dが2番目に有効な選択肢である理由：
FortiOSの管理ガイドには、次のように説明されています。
「IP プールと VIP は、これらの外部 IP アドレスでの ARP 要求への応答が有効になっている場合、ローカル IP アドレスとみなされます... FortiGate は、これらの IP アドレスの宛先とみなされます... IP プールまたは VIP が設定されると... FortiGate はそれをローカル アドレスとみなし、ルーティング テーブルに基づいてトラフィックを転送しません。」 iprope_in_check() はローカル入力/ローカル宛先タイプの障害であるため、VIP または IP プールの設定ミスにより、トラフィックが FortiGate 自体宛てとして扱われる可能性があり、一致するローカル サービス/ローカル入力処理が有効でない場合は、このドロップ状態がトリガーされる可能性があります。したがって、D は利用可能な選択肢の中で最も近いサポートされている 2 番目の回答です。
他の選択肢が間違っている理由：
Aは誤りです。なぜなら、ポリシー経路の問題は、この特定のデバッグメッセージの文書化された意味ではないからです。
代わりに、学習ガイドでは iprope_in_check() チェックが失敗したため、管理/ローカル入力条件にドロップします。
Bは間違いです。学習ガイドには、トラフィックシェーピングのドロップは「割り当てチェックにより拒否されました」と表示されると記載されています。