هنا ننتقل من إدارة الجهاز الطرفي إلى دمجه في منظومة الشبكة. يتصل FortiGate بـ EMS كـ Fabric connector ليسحب وضع الأجهزة (endpoint posture) وعلامات ZTNA. هذه العلامات تتحوّل إلى dynamic firewall address groups نستخدمها داخل الـ policies لتطبيق وصول مبني على الامتثال (compliance-based access). نتعلّم أيضًا كيف تشارك EMS الـ telemetry فيرى الـ Fabric كل جهاز، وكيف نحظر أو نعزل غير المتوافق.

• 1FortiGate يضيف EMS كـ Fabric connector من نوع endpoint-control fctems؛ بعد الموافقة على الشهادة (certificate) يبدأ بسحب قائمة الأجهزة وحالة الامتثال وعلامات ZTNA باستمرار.
• 2علامات ZTNA tags التي تُعرَّف في EMS (مثل تثبيت AV، تشغيل firewall، عضوية AD) تُستورَد إلى FortiGate وتُستخدَم لبناء firewall address من نوع dynamic بـ sub-type ems-tag.
• 3هذه العناوين الديناميكيّة تُجمَّع في address groups وتُوضَع في firewall policy كـ source؛ فيصبح الوصول مشروطًا بالامتثال: الجهاز المتوافق فقط يطابق القاعدة المسموحة.
• 4EMS تشارك الـ telemetry (الأحداث، الثغرات، IOCs، الوضع) مع كامل الـ Security Fabric، فيرى FortiAnalyzer وFortiGate صورة موحّدة لكل endpoint بدل رؤى منعزلة.
• 5عند فقدان الامتثال يسقط الجهاز من مجموعة العنوان الديناميكي فيُحظَر تلقائيًّا في الـ policy، ويمكن دفع الأمر أبعد بعزله (quarantine) عبر automation stitch ينفّذه FortiClient.

• الـ ZTNA tag يختلف عن مجرّد IP: هو سمة منطقيّة تتبع المستخدم/الجهاز أينما تغيّر عنوانه، لذا يصلح لشبكات الـ DHCP والوصول عن بُعد حيث يتبدّل الـ IP باستمرار.
• المصافحة بالشهادة (certificate handshake) ثنائيّة الاتجاه: FortiGate يجب أن يثق بشهادة EMS وEMS يجب أن يوافق على FortiGate كـ Fabric device. تجاهُل أحد الطرفين أكثر سبب شائع لبقاء الموصّل في حالة down.
• في تصميم ZTNA الكامل، نفس علامات EMS تُستخدَم في ZTNA access proxy على FortiGate لفرض الوصول لكل جلسة (per-session) بدل الوثوق بالشبكة الداخليّة، وهو جوهر نموذج zero-trust.