生成自定义安装包
生成自定义安装包
FortiClient EMS 可以根据目标版本、操作系统和所需组件生成自定义安装包，并预置 EMS 连接信息、Installer ID、VPN 和系统配置。用户安装后可按预置配置连接 EMS，再获取实际匹配的终端策略。
本文介绍安装包的创建与检查。安装包生成后，可以将下载地址提供给用户，或在部署任务中引用。批量安装与升级参阅EMS推送自定义安装包到终端。
安装包与部署任务的区别
| 对象 | 决定的内容 |
|---|---|
| Installer（安装包） | 安装哪个 FortiClient 版本、包含哪些组件，以及安装后的初始连接配置 |
| Deployment Configuration（部署配置） | 向哪些终端部署、何时安装，以及用户交互和重启安排 |
| Endpoint Policy（终端策略） | 终端纳管后匹配哪些配置文件，各项功能如何运行 |
先决条件
- EMS 正常运行，管理员具有安装包管理权限。
- 已确定目标 FortiClient 版本、操作系统和 CPU 架构，核对版本兼容性及升级路径。
- EMS 可以获取所需的官方安装文件，或已准备适用的自定义安装文件。
- 终端可以访问安装包下载地址，以及安装后使用的 EMS 注册地址。
- 已规划组件、Installer ID、目标组和终端策略；需要预置 VPN 或系统配置时，先创建对应配置文件。
- 需要用户验证时，准备适用的邀请及验证流程。安装包预置 EMS 地址不等于跳过用户验证。
- 已准备测试终端，分别验证首次安装和计划使用的升级场景。
注
- 本案例默认EMS能够正常访问互联网，如果不能正常访问，需要手动上传安装包，相关信息请咨询Fortinet TAC。
创建安装包
1. 进入安装包向导
登录 EMS，进入 Deployment & Installers > FortiClient Installer，
单击 Add（添加）。按照 General → Features → Advanced → Telemetry 的顺序配置。
2. General（常规）：选择版本与安装来源
单击Add之后进入创建安装包向导，通常使用官方安装文件生成包，此时保持页面底部 Advanced Options（高级选项） 中的 Create a manual installer（创建手动安装包） 关闭。
下面提供相关选项的解释，完成配置后单击Next按钮进入Feature（功能）向导页面。
| 英文选项 | 中文翻译 | 配置说明 |
|---|---|---|
| Online Installer Name | 在线安装包名称 | 输入便于识别版本、平台和用途的名称，例如 Pilot-Windows-7.4.8 |
| Add Note / Notes | 添加备注 / 备注 | 记录用途、测试范围、组件选择及变更信息 |
| Release | 版本系列 | 选择目标 FortiClient 版本系列 |
| Patch | 补丁版本 | 选择该系列下要安装的具体补丁版本 |
| Auto update to the Latest Patch | 自动更新至最新补丁 | 允许安装包跟随新补丁更新；启用前检查关联部署任务的影响 |
| Repackaged Installer Files | 重新打包的安装文件 | 选择需要生成或包含的目标平台安装文件，以界面提供的版本和架构为准 |
重要
- 新补丁发布后，不一定立即出现在 Patch 列表中。FortiGuard 对新镜像下载实行分批控制，EMS 获得最新安装镜像可能需要 2–3 周。列表暂未出现新版本时，不能仅据此判断 EMS 下载故障。
3. Features（功能）：选择安装组件
在单击 Next（下一步） 后，会进入Feature（功能）选择页面，按需选择相关功能。
下面提供相关选项的解释，完成配置后单击Next按钮进入Advanced（高级）向导页面。
| 英文选项 | 中文翻译 | 配置说明 |
|---|---|---|
| Zero Trust Telemetry | 零信任遥测 | 安装与 EMS 通信所需的 Telemetry，必须选择且不能更改 |
| Secure Access Architecture Components | 安全访问架构组件 | 包含 SSL VPN 和 IPsec VPN；需要预置 VPN 接入时应保留 |
| Vulnerability Scan | 漏洞扫描 | 安装漏洞扫描组件 |
| Advanced Persistent Threat (APT) Components | 高级持续性威胁防护组件 | 包含 FortiSandbox 检测和隔离功能 |
| Malware | 恶意软件防护 | 按页面选择下列恶意软件防护子项 |
| AntiVirus | 防病毒 | 安装防病毒组件 |
| Anti-Exploit | 反漏洞利用 | 安装反漏洞利用组件 |
| Removable Media Access | 可移动介质访问控制 | 安装可移动介质访问控制组件 |
| Anti-Ransomware | 反勒索软件 | 安装反勒索软件组件 |
| Cloud Based Malware Outbreak Detection | 基于云的恶意软件爆发检测 | 安装对应云端检测组件 |
| Web and Video Filtering | Web 与视频过滤 | 按需选择 Web Filtering（Web 过滤）和 Video Filtering（视频过滤） |
| Application Firewall | 应用程序防火墙 | 安装应用程序防火墙组件 |
| Single Sign-On Mobility Agent | 单点登录移动代理 | 安装与 FortiAuthenticator 对接所需的 SSOMA 组件 |
| Zero Trust Network Access | 零信任网络访问 | 安装 ZTNA 组件 |
| Privileged Access Agent | 特权访问代理 | 安装与 FortiPAM 对接所需的组件 |
| Data Protection | 集成FortiDate | 安装和FortiData集成的所需组件 |
重要
安装包的组件选择与功能启用状态分开管理。官方示例说明：即使包中选择了 Web Filtering，如果 Feature Select 中禁用了该功能，组件仍可被安装，但功能处于禁用状态且不在客户端界面显示。验收时应分别检查组件、功能状态和实际策略。
4. Advanced（高级）：配置初始行为
单击 Next，设置快捷方式、Installer ID 和初始配置。
下面提供相关选项的解释，按需要完成配置后单击Next按钮进入Telemetry（遥测）向导页面。
| 英文选项 | 中文翻译 | 配置说明 |
|---|---|---|
| Enable desktop shortcut | 创建桌面快捷方式 | 在终端创建 FortiClient 桌面入口 |
| Enable start menu shortcut | 创建开始菜单快捷方式 | 创建开始菜单入口 |
| Include MSI installer files | 包含 MSI 安装文件 | 生成 Windows MSI 安装文件 |
| Enable Installer ID | 启用安装程序 ID | 选择已有 ID 或创建新 ID，用于标识安装来源及规则分组 |
| Group Path | 组路径 | 创建 Installer ID 时选择目标组路径或创建组，核对对应分组规则 |
| Enable Endpoint VPN Profile | 包含终端 VPN 配置文件 | 选择安装后需要应用的 VPN 配置，适用于先连接 VPN 才能访问 EMS 的终端 |
| Enable Endpoint System Profile | 包含终端系统配置文件 | 选择安装后需要应用的 System Settings，使终端在连接 EMS 前具备所需初始系统设置 |
| Invalid Certificate Action | 无效证书处理方式 | 设置初次连接 EMS 遇到无效服务器证书时的行为 |
Installer ID 与分组
例如设置 Installer ID 为 HQ，并将相应规则的目标组设为 HQ/Employees。终端连接 EMS 后，按分组规则评估归属。ID 无须与组名一致，也不是用户认证凭据。
每个部署包配置一个 Installer ID。需要以同一安装包区分多个安装来源时，应使用对应版本支持的多 ID 部署方式，不随意修改包内容。对于已按 Installer ID 规则分组的终端，手动移动组后 EMS 可将其移回规则指定组。
配置及规则优先级参阅分组和分组规则。
预置 VPN 和系统配置
远程用户无法直接访问 EMS 时，可以在包中加入 VPN 配置，先建立企业网络连接，再完成 EMS 纳管。还应同时确认已选择 VPN 组件，且用户具备相应的 VPN 认证条件。
重要
- 包含 VPN 组件和预置隧道的安装包，在首次安装后的三天内可使用该预置隧道，供远程用户连接企业网络并激活许可；若三天内未激活许可，包括 VPN 在内的功能将停止工作。
无效证书处理
| 英文取值 | 中文翻译 | 行为 |
|---|---|---|
| Warn | 警告 | 提示证书无效，由用户决定继续或终止；客户端会记住对该 EMS 的选择 |
| Allow | 允许 | 允许连接证书无效的 EMS，没有其他消息 |
| Deny | 拒绝 | 阻止连接证书无效的 EMS |
建议在 EMS 证书和信任链已验证的前提下使用 Deny。不要用 Allow 长期替代正确的证书部署；首次安装前也应验证 EMS 地址与证书名称匹配。
邀请信息
邀请信息会在创建邀请码的时候要求携带安装包，只能通过生成邀请码的时候创建安装包或者手动上传安装包时才能携带邀请码信息。详细信息请参阅客户端连接到EMS。
5. Telemetry（遥测）：检查 EMS 连接信息
单击 Next按钮，在 Telemetry 页核对管理该终端的 EMS 主机名和 IP 地址，确认无误后单击Finish按钮完成创建
6. 完成生成并获取文件
选择创建安装包的流程时，单击 Finish（完成），返回 FortiClient Installer 列表查看生成结果。根据所选平台和配置，可生成 .exe、.msi、.dmg、.rpm 或 .deb 等文件；具体以实际输出为准。
等待EMS生成成功。
此时repackager模块也开始了打包功能，可以看到installer.log里显示：
Start of Processing site default
2026-10-25T21:23:55.865Z INFO fctinstaller/repackage_online.go:856 GetAssignableEndpointInstallers: {9d638da9-13f3-4729-9058-7dde6823ed45}
2026-10-25T21:23:56.583Z INFO service/installer.go:461 Retrieved 7 installers from GetAssignableEndpointInstallersPendingCreation() to process for site default
2026-10-25T21:23:56.916Z INFO fctinstaller/repackage_local.go:278 repackaging installer guid=9d638da9-13f3-4729-9058-7dde6823ed45, os=DEB_ARM
2026-10-25T21:23:56.917Z INFO fctinstaller/repackage_local.go:302 running repackager for os = DEB_ARM
2026-10-25T21:24:54.891Z INFO fctinstaller/repackage_local.go:309 repackager run completed for os = DEB_ARM
2026-10-25T21:24:56.066Z INFO fctinstaller/repackage_local.go:278 repackaging installer guid=9d638da9-13f3-4729-9058-7dde6823ed45, os=RPM
2026-10-25T21:24:56.066Z INFO fctinstaller/repackage_local.go:302 running repackager for os = RPM
2026-10-25T21:26:56.042Z INFO fctinstaller/repackage_local.go:309 repackager run completed for os = RPM
2026-10-25T21:26:57.161Z INFO fctinstaller/repackage_local.go:278 repackaging installer guid=9d638da9-13f3-4729-9058-7dde6823ed45, os=RPM_ARM
2026-10-25T21:26:57.161Z INFO fctinstaller/repackage_local.go:302 running repackager for os = RPM_ARM
2026-10-25T21:30:12.649Z INFO fctinstaller/repackage_local.go:309 repackager run completed for os = RPM_ARM
2026-10-25T21:30:14.871Z INFO fctinstaller/repackage_local.go:278 repackaging installer guid=9d638da9-13f3-4729-9058-7dde6823ed45, os=WIN64
2026-10-25T21:30:14.871Z INFO fctinstaller/repackage_local.go:302 running repackager for os = WIN64
2026-10-25T21:30:30.580Z INFO fctinstaller/repackage_local.go:309 repackager run completed for os = WIN64
2026-10-25T21:30:31.895Z INFO fctinstaller/repackage_local.go:278 repackaging installer guid=9d638da9-13f3-4729-9058-7dde6823ed45, os=WIN64_ARM
2026-10-25T21:30:31.895Z INFO fctinstaller/repackage_local.go:302 running repackager for os = WIN64_ARM完成后EMS提供下载链接。
点击链接后会列出所有要求生成的安装包
安装包详细信息如下（以7.4.8为例）：
| 序号 | 文件名 | 操作系统 | CPU 架构 | 文件大小 | 说明 / 用途 |
|---|---|---|---|---|---|
| 1 | forticlientsetup_7.4.8_x64.exe | Windows | x64（Intel/AMD） | 287 MB | 适用于普通 Intel/AMD 64 位 Windows 电脑，EXE 安装程序，适合手动安装 |
| 2 | forticlientsetup_7.4.8_arm64.exe | Windows | ARM64 | 265 MB | 适用于 ARM 架构 Windows 设备，例如 Snapdragon 处理器电脑 |
| 3 | forticlient_7.4.8.dmg | macOS | Intel / Apple Silicon | 469 MB | 适用于 macOS 设备，包括 Intel Mac 和 Apple Silicon Mac（具体兼容性需以安装包为准） |
| 4 | forticlient_7.4.8.deb | Ubuntu / Debian | amd64（x86-64） | 238 MB | 适用于 x86-64 架构的 Ubuntu / Debian Linux 系统，使用 dpkg 或 apt 安装 |
| 5 | forticlient_7.4.8_arm64.deb | Ubuntu / Debian | ARM64 | 244 MB | 适用于 ARM64 架构的 Ubuntu / Debian Linux 系统 |
| 6 | forticlient_7.4.8.rpm | RHEL / Rocky / Fedora | x86-64 | 239 MB | 适用于 x86-64 架构的 RPM 系 Linux 系统，使用 rpm、dnf 或 yum 安装 |
| 7 | forticlient_7.4.8_aarch64.rpm | RHEL / Rocky / Fedora | ARM64 | 436 MB | 适用于 ARM64 架构的 RPM 系 Linux 系统 |
| 8 | msi/arm64/forticlient.msi msi/arm64/forticlient.mst | Windows | ARM64 | 240MB20KB | MSI： ARM64 Windows Installer 安装包，适合企业批量部署；MST： 安装配置转换文件，用于应用 EMS 生成的部署配置，通常与 MSI 配合使用 |
| 9 | msi/x64/forticlient.msi msi/x64/forticlient.mst | Windows | x64（Intel/AMD） | 268MB 20KB | MSI： x64 Windows Installer 安装包，适合通过 GPO、SCCM、Intune 等工具批量部署；MST： 安装配置转换文件，用于应用 EMS 生成的部署配置，通常与 MSI 配合使用 |
注
- 启用 System Settings > EMS Settings > Sign software packages（签名软件包） 后，Windows 部署包的发布者显示为签名证书指定的发布者。测试下载文件时应同时核对签名及发布者。
安装包维护与常见问题
| 现象 | 检查方向 |
|---|---|
| Patch 中没有刚发布的版本 | 检查官方分批供给时间、EMS 获取镜像状态，不立即认定版本不受支持 |
| 包生成失败或没有预期文件 | 检查版本、平台选择、安装来源可用性及生成错误信息 |
| 组件已选但客户端没有入口 | 核对平台支持、Feature Select、实际安装结果和策略设置 |
| 安装后无法连接 EMS | 检查 Telemetry 地址、DNS、网络路径、服务器证书及用户验证要求 |
| 远程终端无法通过预置 VPN 接入 | 检查 VPN 组件、预置隧道、用户认证及许可激活状态 |
| 终端进入了意外的组 | 检查 Installer ID、分组规则条件及优先级 |
| 下载到的版本与原测试版本不同 | 检查是否启用了自动更新补丁或 Hotfix，以及包是否已自动更新 |
| 下载得到 config.json | 当前创建的是打包配置文件，需要确认网络连通性 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.26 |