FortiSASE セキュア プライベート アクセス (SPA) の展開では、FortiSASE PoP と企業の FortiGate ハブ間の安定した接続を確立するために、IPsec トンネルと BGP ピアリングという 2 つの主要なレイヤーに依存します。
* 展示分析: 展示 (image_577e17.jpg) は、「FGT-Hub」に接続された複数のセキュリティ PoP (シンガポール、東京、フランクフルト、サンノゼ) の状態を示しています。
* トンネルステータスとBGPステータス：リス​​トされているすべてのPoPにおいて、ヘルスチェックIPステータスとトンネルステータスはどちらも緑色の「アップ」アイコンで表示されます。これは、基盤となるIPsec接続と、SASEクラウドとハブ間の物理パスが正常に機能していることを示しています。
* 障害の特定: BGPピアリングの状態はアクティブと報告されています。BGP用語では、
「アクティブ」状態は、ルータがピアとのTCP接続を開始しようとしているものの、まだ応答を受信して​​いないことを示します。完全に機能し、正常なBGP接続は、必ず「確立」状態に到達する必要があります。
* 根本原因の特定：トンネルは稼働している（ゲートウェイや認証方法の問題が主な原因ではない）ものの、BGP状態が「アクティブ」のままであるため、最も可能性の高い原因は、BGPピアIPまたはBGPネイバー設定の不一致または設定ミスです。これにより、ユーザーがプライベートアプリケーションにアクセスするために必要なルーティング情報の交換が妨げられています。
接続の問題を解決するには、管理者は、FortiGate ハブに設定されている BGP ネイバー IP が FortiSASE オーケストレーションによって割り当てられたものと一致していること、およびハブのファイアウォール ポリシーによってトンネルを介した BGP トラフィック (TCP ポート 179) が許可されていることを確認する必要があります。

FortiSASE ソフトウェア インストール ページには、特定のソフトウェアがインストールされているエンドポイントが表示されるため、管理者はネットワーク全体で望ましくない可能性のあるアプリケーションを監視できます。

FortiSASE ではログの匿名化が有効になっているため、ユーザー名はランダムな文字列として表示されます。FortiSASE では、ユーザー名などの機密性の高いユーザー情報がハッシュ化され、プライバシーが保護されると同時にログ分析も可能になります。

FortiManagerとFortiSASEを統合することで、アドレスやセキュリティプロファイルなどの設定オブジェクトを一元管理できます。この統合を正しく機能させるには、以下の主要な前提条件を満たす必要があります。
* 同じFortiCloudアカウント：統合の基本要件として、FortiSASEインスタンスとFortiManager（物理、VM、クラウド）の両方が同じFortiCloud（FortiCare）アカウントに登録されている必要があります。この共通IDにより、プラットフォームは安全に互いを検出し、同期を承認できます。
* サポートされているファームウェアバージョン：FortiManagerは、FortiSASEリリースと互換性のあるファームウェアバージョンを実行する必要があります。FortiSASE 25 Enterprise Administrator Study Guideによると、現在のFortiSASE環境で使用されている特定のAPIコネクタとオブジェクト同期ロジックをサポートするには、通常、FortiManagerバージョン7.4.4以降が必要です。サポートされていないバージョンを使用すると、同期に失敗したり、設定機能が利用できなくなったりする可能性があります。
* 管理ロジック：これらの前提条件が満たされると、管理者はFortiSASEポータルで「集中管理」を有効化できます。これにより、FortiManagerがセキュリティプロファイルグループなどのオブジェクトの信頼できる情報源として機能する一方向の同期が確立され、SASEクラウドとオンプレミスのFortiGateの両方で一貫したセキュリティ体制が確保されます。

常時接続VPNが強制されているFortiSASE環境では、FortiClientは通常、セキュリティポイントオブプレゼンス（PoP）へのフルトンネルを確立します。デフォルトでは、フルトンネル構成はエンドポイントに対し、ローカルネットワーク宛てのトラフィックも含め、すべてのトラフィックをセキュアトンネル経由でFortiSASEに送信し、検査を行うように指示します。
* ローカルアクセスの課題：リモートユーザーが自宅やサテライトオフィスにいる場合、プリンター、NASデバイス、同じレイヤー2（L2）ブロードキャストドメインにある他のコンピューターなどのローカルリソースにアクセスする必要があることがよくあります。標準的なフルトンネル構成では、エンドポイントのルーティングテーブルがローカルゲートウェイ以外のトラフィックに対してVPNインターフェースを優先するため、これらのローカルリソースにアクセスできなくなります。
* ローカル LAN アクセスの許可: 「常時オン」要件のセキュリティを維持しながらこの問題を解決するために、FortiSASE 管理者はエンドポイント プロファイル内でローカル LAN アクセスの許可機能を有効にすることができます。
* 構成ロジック: この設定は、エンドポイントのローカルに接続されたサブネットの免除を含めるように FortiClient 構成を変更します (多くの場合、FortiSASE EMS からプッシュされた XML 更新を介して行われます)。
具体的には、ローカル L2 ネットワーク宛のトラフィックが IPsec または SSL-VPN トンネルに入らないようにすることで、インターネットや企業向けの他のすべてのトラフィックが FortiSASE によって保護されたまま、ユーザーがローカル周辺機器と対話できるようにします。
* 誤ったオプション: * オプション B および C: サンドボックスとウイルス対策保護は脅威検出のためのセキュリティ機能であり、ローカル ネットワーク トラフィックのルーティングには影響しません。
* オプション D: ネットワーク ロックダウンは実際には逆の動作を行います。VPN 接続が確立されるまでネットワーク アクセスを制限し、特別な例外がない限り通常はローカル LAN アクセスをブロックするため、ローカル リソースへのアクセスを有効にするには適切な選択とは言えません。