客户端获取更新
客户端获取更新
FortiClient 通过更新防护引擎和特征库，识别新发现的恶意软件及漏洞。EMS 可以下发客户端更新源配置、请求终端更新签名，并根据终端上报的版本判断是否过期。实际更新是否成功，应以终端的版本、更新时间和更新日志为准。
本文重点介绍引擎及特征库更新。
更新对象与工作方式
| 更新对象 | 更新内容 | 配置或操作入口 |
|---|---|---|
| 防护引擎和特征库 | 恶意软件、漏洞扫描等功能使用的引擎与签名 | Endpoint Profiles > System Settings；Endpoints > Action > Update Signatures |
| FortiClient 软件 | 客户端程序版本及安装组件 | 部署包与部署配置，或者手动安装更新 |
Update Signatures 不用于升级 FortiClient 软件版本，也不代替策略同步。 操作系统及第三方应用补丁属于漏洞修补流程，参阅漏洞扫描功能的概述。
客户端从哪里获取更新
客户端可使用 FortiGuard 更新服务，或优先使用配置的 FortiManager。需要代理出网时，另行配置客户端的更新代理。
| 更新方式 | 工作路径 | 部署条件 |
|---|---|---|
| FortiGuard | FortiClient 访问所选区域的 FortiGuard 服务 | 终端具备相应 DNS 解析与网络访问能力 |
| FortiManager | FortiClient 优先使用指定的 FortiManager 更新服务 | 内部服务已准备所需内容，且终端可访问配置的地址、端口与协议 |
| FortiManager 失败后回退 FDN | 启用回退后，在 FortiManager 不可用时使用 FortiGuard Distribution Network | 终端仍需具备访问 FDN 的网络条件 |
| 代理访问 FortiGuard | 客户端通过配置的代理访问更新服务 | 当前平台支持，代理地址、端口及认证有效 |
重要
- EMS 负责管理配置和下发请求，不能仅因终端已连接 EMS，就认定终端能下载更新。EMS 服务器与办公、VPN、离网终端的访问路径需要分别验证。- FortiClient（macOS）不支持通过其中的代理设置更新签名。不能将 Windows 的更新代理配置直接作为 macOS 的更新方案。
配置前准备
- 确认 EMS、FortiClient、操作系统及所需组件的版本与授权适用。
- 记录当前软件版本、相关引擎 / 特征库版本和最近成功更新时间。
- 选择有代表性的测试终端，覆盖实际使用的操作系统和在网 / 离网场景。
- 明确更新使用 FortiGuard、FortiManager 还是受支持的代理，并确定是否允许失败后访问公网。
- 验证更新路径上的 DNS、路由、防火墙、代理认证及 TLS 连接。
- 使用 FortiManager 时，确认它已提供客户端需要的更新内容，不能只测试管理页面是否可登录。
配置客户端更新源
1. 打开 System Settings 配置文件
进入 Endpoint Profiles > System Settings，新建或编辑测试终端使用的配置文件，切换到 Advanced 视图，找到 Update和 Proxy 设置。
修改配置文件前，确认其引用范围。保存后还需由终端实际命中的 Endpoint Policy 引用并下发，不能只检查配置文件是否保存成功。
2. 使用 FortiGuard 更新
不使用内部 FortiManager 时，关闭 Use FortiManager for Client Signature Update，在 FortiGuard 中选择 Server 和 Server Location。
| 英文选项 | 中文名称 | 说明 |
|---|---|---|
| FortiGuard Server Type | FortiGuard服务类型 | 选择 FortiGuard 或 FortiGuard Anycast |
| FortiGuard Server Location | FortiGuard服务区域 | FortiGuard 可选 Global、U.S.；FortiGuard Anycast 可选 Global、U.S.、Europe |
客户端引擎和签名更新查询地址如下，需要确认从客户端发出到目标地址可达。Global 表示使用就近的 FortiGuard 服务。
| 服务类型 | 区域 | 地址 |
|---|---|---|
| FortiGuard | Global | forticlient.fortinet.net |
| FortiGuard | U.S. | usforticlient.fortinet.net |
| FortiGuard Anycast | Global | fctupdate.fortinet.net |
| FortiGuard Anycast | U.S. | fctusupdate.fortinet.net |
| FortiGuard Anycast | Europe | fcteuupdate.fortinet.net |
3. 使用 FortiManager 更新
在 Update 中启用 Use FortiManager for Client Signature Update，填写内部服务参数。
| 英文选项 | 中文名称 | 配置说明 |
|---|---|---|
| Use FortiManager for Client Signature Update | 使用 FortiManager 更新客户端签名 | 启用后优先使用所配置的 FortiManager 更新服务 |
| IP Address/Hostname | IP 地址或主机名 | 填写终端可访问的 FortiManager 地址 |
| Port | 服务端口 | 与 FortiManager 提供的更新服务一致 |
| Failover Port | 回退端口 | 配置备用连接端口，不是备用服务器地址 |
| Timeout | 超时 | 配置连接超时参数，以当前界面的单位与范围为准 |
| Failover to FDN When FortiManager Is Not Available | FortiManager 不可用时回退 FDN | 按出网设计决定是否允许改用 FortiGuard |
注
- Failover Port 与 Failover to FDN 是两种回退方式。 前者改变连接端口，后者允许切换到 FDN。隔离网络即使启用 FDN 回退，也不会因此获得公网访问能力。
在配置了多个客户端签名更新的设置情况下，不同的行为列举如下：
| 使用 FortiManager 进行客户端签名更新 | 当 FortiManager 不可用时，故障转移到 FDN | 行为 |
|---|---|---|
| 已禁用 | 已禁用 | FortiClient 使用FortiGuard 服务器位置和FortiGuard 服务器类型设置进行客户端签名更新。 |
| 已启用 | 启用或禁用 | FortiClient 优先使用已配置的 FortiManager 设置更新签名。此配置支持端口故障转移。FortiClient 使用与 FortiGuard 配置相同的协议（取决于选择的是传统 FortiGuard 还是 Anycast FortiGuard）连接到 FortiManager。 |
| 已启用，但未配置 FortiManager 设置 | 已启用 | FortiClient 根据 FortiGuard 服务器设置故障转移到 FortiGuard。 |
4. 配置更新代理
需要通过代理访问 FortiGuard 时，在 Proxy 中先enableUse Proxy for Updates功能，
并设置以下选项：
| 英文选项 | 中文名称 | 配置说明 |
|---|---|---|
| Use Proxy for Updates | 使用代理获取更新 | 通过配置的代理访问 FortiGuard |
| Type | 代理类型 | 支持 http、socks4、socks5，按实际代理服务选择 |
| IP Address/Hostname | 代理地址 | 填写终端可访问的代理 IP 或主机名 |
| Port | 代理端口 | 与代理监听端口一致，范围为 1–65535 |
| Username / Password | 用户名 / 密码 | 代理要求认证时填写，不在文档或排错截图中记录明文凭据 |
| Connect to FDN Directly If Proxy Is Offline | 代理离线时直接连接 FDN | 按组织出网要求决定是否允许绕过不可用的代理直连 |
| Use Proxy for Virus Submission | 病毒样本提交使用代理 | 控制样本提交路径，与 Use Proxy for Updates 分别配置 |
5. 保存并下发
- 保存 System Settings 配置文件。
- 在 Endpoint Policy & Components > Manage Policies 中确认测试策略引用该配置。
- 检查策略的目标终端及优先级。
- 等待配置同步，核对终端实际 Policy 及收到的更新设置。
- 对测试终端执行一次签名更新，验证成功后再扩大范围。
策略操作参阅客户端配置的推送。
从 EMS 手动触发签名更新
- 进入 Endpoints，选择 All Endpoints、目标域或工作组。
- 找到并单击测试终端。
- 从 Action 菜单选择 Update Signatures。
- 等待 FortiClient 接收请求并执行更新。
- 单击需要更新签名/引擎的功能可以查看对应引擎 / 特征库版本、最近成功更新时间。
注
- 该操作是请求客户端执行签名更新，不会自动修复错误的更新源、代理或网络配置。终端离线时不能期待立即完成更新；恢复通信后应再次确认结果。
EMS 的更新服务与版本对照
System Settings > FortiGuard Services 是 EMS 全局的服务设置；Endpoint Profiles > System Settings 是下发给终端的配置文件。两处名称相似，但应分别核对配置是否作用于预期对象。
EMS 会获取引擎和签名的当前版本列表，与 FortiClient 状态上报中的版本比较，用于识别过期终端。
| 服务端选项 | 作用 |
|---|---|
| FortiGuard Server Location | 选择 Global、US 或 Europe；Europe 要求启用 SSL |
| Port / Enable SSL | 设置访问 FortiGuard 的端口及 HTTP / HTTPS 方式 |
| View Signature List | 查看最新签名版本列表，用于版本对照 |
| Use FortiManager for client software/signature updates | 为该服务配置 FortiManager 地址、端口、回退端口及超时 |
| Failover | FortiManager 不可用时允许回退 FDN |
| 进入 System Settings > FortiGuard Services > View Signature List 可以查看 EMS 获取的最新签名版本列表。 |
View Signature List 不是每台终端的更新完成清单。 如果 EMS 的对照列表未更新，过期判断可能受到影响；如果列表已更新而终端版本仍旧，则应继续排查终端更新路径及上报状态。
FortiClient 软件版本升级
需要更新客户端程序时，应使用安装包和部署流程：
- 阅读目标版本发行说明，确认操作系统、EMS 兼容性及支持的升级路径。
- 生成自定义安装包，核对目标版本、组件、注册信息及 Installer ID。
- 建立测试组部署配置，检查计划时间、用户交互和重启安排。
- 完成下载、安装、必要重启及回连后，核对真实的软件版本。
- 验证 VPN、ZTNA 和安全功能，再分批推广。
详细部署步骤参阅EMS推送自定义安装包到终端。升级失败时暂停后续批次并收集安装日志；不假设重新下发旧配置就能回退软件版本，也不假设旧安装包支持直接覆盖降级。
日常检查与故障排查
配置适用的客户端告警，定期复查签名过期、更新失败和长期离线设备。按“配置是否生效 → 更新源是否可用 → 下载与安装结果 → 状态是否上报”的顺序排查。
| 现象 | 检查方向 |
|---|---|
| 所有终端同时失败 | 公共更新服务、DNS、出口、防火墙、代理及 FortiManager 内容是否异常 |
| 只有一台失败 | 实际策略、组件状态、系统时间、本机日志及与正常设备的网络差异 |
| 只有 macOS 代理更新失败 | 7.4.8 文档不支持该代理签名更新方式，应验证该平台可用的更新路径 |
| 办公网正常，离网失败 | 内部 FortiManager / 代理是否仅内网可达，VPN 依赖及公网回退是否允许 |
| FortiManager 可达但更新失败 | 更新服务端口、协议、授权及客户端所需内容，不能只检查管理界面 |
| 开启 FDN 回退仍然失败 | 终端是否真正允许访问 FDN，DNS、代理和 TLS 路径是否正常 |
| Update Signatures 后版本不变 | 是否已是最新适用版本、任务是否执行、日志是否失败以及状态是否已上报 |
| 签名更新成功，程序版本不变 | 正常职责边界；软件版本升级需要部署流程 |
| 签名更新成功，策略未变化 | 转查 Telemetry、策略优先级及配置引用 |
| EMS 显示过期但终端已更新 | 分别核对终端上报时间、EMS 签名对照列表及实际组件版本 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.25 |
| 0.9 | Draft version | - | - | 2026.10.14 |