IKEv2のIKE_SA_INIT交換は、DoS攻撃対策を担っています。IKE_SA_INITでは、認証とその後の交換の前に、応答側はCookieチャレンジを使用できます（RFC 7296およびFortinet VPNドキュメント参照）。DoS攻撃が疑われる場合（同じ送信元からのリクエストが多数ある場合）、応答側はCookieで応答します。イニシエータが正しいCookieを返した後で初めて交換が続行され、ハンドシェイク段階で応答側は状態枯渇や特定のDoSトラフィックから保護されます。
参考文献：
FortiOS VPNマニュアル：IKEv2交換プロセスとDoS攻撃対策
IKEv2 RFC 7296: IKE_SA_INITとDoS Cookieメカニズムの説明

正解はDです。受信IPsec SAがNPUにコピーされました。
この展示では以下の内容が紹介されています。
* npu_flag=02
* dec_npuid=1
* enc_npuid=0
学習ガイドには、npu_flagフィールドの正確な意味が記載されています。
* npu_flag=00 = 両方のIPsec SAがカーネルにロードされます
* npu_flag=01 = アウトバウンド IPsec SA が NPU にコピーされました
* npu_flag=02 = 受信 IPsec SA が NPU にコピーされました
* npu_flag=03 = 送信および受信の両方のIPsec SAがNPUにコピーされます
また、次のように説明しています。「最初の IPsec パケットが受信側でオフロード可能な場合、受信側 SA が NPU にコピーされ、npu_flag が 02 に変更されます。両方の SA が NPU にコピーされた後、npu_flag が
03。
したがって、npu_flag=02の場合、受信SAのみがNPUにコピーされます。そのため、Dが正解です。
他の選択肢が間違っている理由：
* Aは誤りです。送信専用オフロードの場合はnpu_flag=01となり、02にはなりません。
* Cは間違っています。オフロードされる両方向ともnpu_flagは02ではなく03になります。
* B は、dec_npuid=1 が復号に使用される NPU ID を識別するものの、プロセッサが具体的に NP6 であるとは示していないため誤りです。学習ガイドでは、このコンテキストでは npu_flag 値を通じてオフロード状態をマッピングするだけで、このフィールドのみからの NPU モデルはマッピングしていません。したがって、検証済みの答えは D です。

正解はBとDです。
学習ガイドでは、SPログインダンプのセクションではFortiGateがサービスプロバイダ（SP）として動作しており、以下のフィールドを読み取る必要があると説明されています。
「FortiGate設定のidp-single-sign-on-url設定から取得したIdP SSO URL」
「FortiGate設定のsingle-sign-on-url設定から取得したSP SSO URL」
「FortiGate設定のid-entity-id設定から取得したIdPエンティティID」
「FortiGate設定のentity-id設定から取得したSPエンティティID」図表：
宛先 = " https://10.1.10.2/saml-idp/nst/login/ " # これはIdP SSO URLです
<lasso:RemoteProviderID>http://10.1.10.2/samlidp/nst/metadata/</lasso:RemoteProviderID> # これはIdPエンティティIDです AssertionConsumerServiceURL= "https://10.1.10.254:1003/remote/saml/login/" # これはSP SSO URLです
< saml:Issuer > https://10.1.10.254:1003/remote/saml/metadata/ </saml:Issuer > # これは SP エンティティ ID です。同じ学習ガイドの例では、次のとおり正確なマッピング パターンが示されています。
宛先はIdP（アイデンティティプロバイダー）です
AssertionConsumerServiceURLとIssuerはSPを指しています
したがって：
10.1.10.2 は IdP # D です
10.1.10.254 は SP # B です
したがって、検証済みの正解はB、Dです。

正解はCです。
この展示では以下の内容が紹介されています。
* 設立済み州で562
* 閉鎖状態にある27
* memory_tension_drop=0
* 一時的なもの=0/131072
学習ガイドによると、TCPセッションの場合、「セッションテーブルのプロトコル状態は2桁の数字です。TCPの場合、最初の数字（左から右）はサーバー側の状態に関連しており、セッションが検査（フローまたはプロキシ）の対象でない場合は0になります。2桁目はクライアント側の状態です。」同じページには、値1 = ESTABLISHEDであることも示されています。したがって、TCPセッションがESTABLISHED状態であり、検査がない場合、proto_stateは01になります。
* 最初の数字が0の場合は検査なし
* 2桁目の数字1 = 設立済み
つまり、Cが正解です。これは、proto=6、proto_state=01で確立されたTCPセッションを示すFortiOSの例とも一致しています。他の選択肢が間違っている理由：
* Aは誤りです。空きメモリ不足によりセッションが削除されたことを示すフィールドはmemory_tension_dropであり、図では113ではなく0になっています。学習ガイドには、「空きメモリが不足している場合、カーネルは最も古いセッションを削除します。このスライドに示されているコマンドは、このメカニズムによってカーネルが削除したセッションの数を表示します。」と記載されています。したがって、113はメモリの負荷低下によるセッション数ではなく、クラッシュ値です。
* Bは誤りです。ephemeral=0/131072は、131072個の一時的なセッションが記録されたことを意味するものではありません。
学習ガイドでは、FortiGateは「セッションテーブル内で同時に存在できる一時セッションの最大数に厳密な制限を設けている」と説明されています。したがって、次のようになります。
* 0 = 現在の一時的なセッション
* 131072 = そのモデル/コンテキストで許可される一時セッションの最大数
* D は、学習ガイドに、順不同パケットの一時的な保持は状態値 5 (TIME_WAIT) で行われると記載されているため誤りです。「送信者と受信者の両方によってセッションが閉じられると、FortiGate はそのセッションをセッション テーブルに数秒間保持し、FIN/ACK パケットの後に届く可能性のある順不同パケットに対応します。これが状態値 5 です。」しかし、図表では CLOSE 状態が 27 と表示され、同じ表では CLOSE = 6 と表示され、TIME_WAIT ではありません。したがって、検証済みの答えは C です。