現在のWeb通信の大半がhttps:// で始まるURLであり、SSLで暗号化されています。通信自体のセキュリティは確保されますが、FW等でアプリケーション制御やUTM（アンチウイルスなど）を実行する場合、データが暗号化されていることより、制御に支障をきたします。
そのため、制御装置を経由するときに、一旦、通信データを復号化し、データを確認後、再暗号化する機能が実装されています。FortigateではSSLインスペクション（deep-inspection）と呼ばれます。
SSLインスペクションを使用しない場合の動作
内部から外部へすべての通信をポリシー許可し、SSLインスペクションを無効化（デフォルト動作）にします。
GUIで【ポリシー＆オブジェクト】-【ファイアウォールポリシー】-【新規作成】より以下の通り設定します。
端末からGoogleへアクセスし、トラフィックログを確認します。トラフィックログは、【ログ＆レポート】-【転送トラフィック】で確認します。
IPアドレスの宛先はGoogleのグローバルアドレスであることが確認できます。サービスとしてHTTPS通信であることはわかりますが、アプリケーションなど、それ以上の情報はわかりません。
SSLインスペクションを設定し、アプリケーションを可視化
内部→外部で設定したポリシーにて、SSLインスペクションを deep-inspection にして、アプリケーションコントロールを有効にします。
端末からGoogleへアクセスすると、ブラウザーで証明書のエラーが出力されます。
サーバ証明書を確認すると、発行者がFortigate（図はデフォルトで割り当てたホスト名）であり、 発行者のルート証明書がインストールされていないことがわかります。
このエラーは、端末に、Fortigateのルート証明書をインポートすることで解決します。
GUIで、【セキュリティプロファイル】-【SSL/SSHインスペクション】へ移動し、deep-inspection をダブルクリックします。
以下、CA証明書より、ルート証明書をダウンロードできます。ダウンロードをクリックします。
ダウンロードした証明書を「信頼されたルート証明機関」へインポート後、Googleへアクセスすると、証明書エラーが出力されなくなります。
ブラウザで証明書を確認すると、Fortigate自身が www.google.co.jp に対してのサーバ証明書を生成していることがわかります。また、サーバ証明書と先ほどインストールしたルート証明書がチェーンされていることも確認できます。
トラフィックログを確認すると、Googleへのアクセスに対して、アプリケーション名Google.Serviceが表示されています。これは、SSLインスペクションによりデータ通信を復号した後、UTMの一つであるアプリケーションコントロール機能によりアプリケーションを識別しています。
【ログ＆レポート】-【アプリケーションコントロール】では、アプリケーションコントロールに特化したログが出力されます。
ルート証明書のイメージが難しい方は参照してください。
>> 参考記事 : SSLインスペクション除外の設定 FortiOS6.2.4
SSLインスペクションから除外する接続先を設定するには、この記事を参考にしてください。
deep-inspectionでは、データを復号化しましたが、別の方式として、証明書インスペクション（certificate-inspection）という方式もあります。
PaloaltoでSSL復号化するには、この記事を参考にしてください。
コメント
ビルトイン証明書は機器交換時にコンフィグでレストアできないとこは注意必要ですね
コメントありがとうございます。
おっしゃるとおりで、コンフィグとは別に証明書のバックアップ・リストアが必要となります。
注意しないといけないですね。
Configuration backups
https://docs2.fortinet.com/document/fortigate/6.2.0/cookbook/702257/configuration-backups
Technical Tip: How to take a backup and restore the local certificates of the firewall
https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-take-a-backup-and-restore-the-local/ta-p/190406?externalID=FD48830
機会があれば、バックアップ・リストアについても検証してみようかと思います。
ビルトインのFortinet_CA_SSLはexport出来なかった記憶です
コメントありがとうございます。
おっしゃるとおり、ビルドイン証明書のエクスポートは制限がありそうです。
商用環境では、OpenSSLなどで発行した証明書を用いて実装した方がよろしいですね。
今後、SSLインスペクションを使用する環境での証明書の発行、バックアップ、リストアの観点も含めた実機検証の記事をシェアできればと考えております。
有益な情報いただき、ありがとうございました。