跳至主要内容

EMS部署前注意事项

EMS部署前注意事项

部署 EMS 前，应先完成需求、架构、网络、授权和恢复能力的确认。不要把“服务器安装完成”视为部署完成；只有终端能够在预期网络中稳定连接、获得正确策略，并且出现异常时有可执行的恢复方案，才具备批量上线条件。

本文是一份独立的部署前检查清单，围绕前提条件、限制和风险展开，可用于部署准备和方案评审。开始部署前应详细阅读，并逐项确认与本次部署相关的条件；实施过程中如调整版本、架构或功能范围，也应重新核对相关检查项。

EMS的一般的部署顺序和原则是一篇独立的实施指导，覆盖从规划到运维交付的部署原则、实施顺序和阶段检查要求。本文回答“实施前需要确认什么”，该文回答“如何有序实施”；需要安排实施计划或判断下一阶段的推进条件时，可查阅该文。

具体资源要求、架构选型和实施步骤分别参阅：

重要

EMS、FortiClient、FortiOS、操作系统和数据库的支持范围会随版本及补丁变化。本文给出的是通用检查框架；CPU、内存、端口、版本组合和功能限制，应以计划部署版本的 Release Notes、Compatibility Chart、Administration Guide 及实际许可证为准。

1. 明确部署目标和范围

部署前先形成书面需求，至少包含以下内容：

检查项需要确认的内容
管理规模当前终端数量、未来增长、并发在线规模和许可证余量
终端范围Windows、macOS、Linux 的版本、架构、设备类型和办公地点
功能范围集中管理、Remote Access、ZTNA、反病毒、Web Filter、漏洞扫描、沙箱等
用户场景办公网、互联网、居家、漫游、共享终端和无交互登录终端
外部集成FortiGate、AD/LDAP、SAML、邮件、代理、SIEM、软件分发平台等
服务目标可接受中断时间、数据恢复点、维护窗口和支持响应方式
责任边界EMS、网络、目录、终端、安全和业务团队的负责人

如果是已有 EMS 的升级或迁移，需要单独确认源版本、目标版本、支持的升级路径、数据迁移范围、停机时间和失败后的恢复方法。全新安装流程不能直接代替升级或迁移方案。

2. 选择部署方式和架构

根据数据位置、可用性、运维能力和成本选择部署方式：

方式适用考虑部署前重点
本地单机 EMS架构简单，适合具备虚拟化备份和明确恢复窗口的环境主机资源、数据库、备份、快照和恢复演练
本地 EMS HA对节点或数据层故障有更高可用性要求负载均衡或浮动地址、数据库 HA、仲裁、时延和运维能力
FortiClient Cloud希望减少本地平台维护，接受云服务的功能和区域边界订阅归属、区域、数据合规、外网访问和云端功能差异
多 EMS / Server List终端需要备用管理中心（server list）配置一致性、许可证占用、连接优先级和切换后的策略差异

架构评审时要区分以下目标：

  • 主机高可用：节点故障后能否继续提供服务。
  • 数据保护：误操作、数据损坏或升级失败后能否恢复。
  • 站点容灾：整个数据中心不可用时能否恢复管理能力。
  • 终端连续管理：客户端失去首选 EMS 后是否能连接备用 EMS，并获得可接受的配置。

重要

HA 不能代替备份，虚拟机快照也不能代替受支持的数据库备份与恢复验证。复杂架构只有在人员、监控、演练和维护流程同时到位时，才会提高实际可用性。详细内容参考：关于数据可用与高可用的部署方法和设计

3. 核对版本、平台和许可证

上线前建立一份版本与授权清单，记录：

  • EMS 的版本、补丁和部署形态。
  • FortiClient 的版本、补丁、操作系统及处理器架构。
  • 需要联动的 FortiOS、FortiAnalyzer、FortiSandbox 或其他产品版本及其兼容性。
  • 本地部署所用操作系统、数据库和虚拟化平台版本。
  • 许可证所属账户、合同编号、授权功能、席位数量、到期时间和续期负责人。

必须使用公版操作系统

部署 EMS 时，必须选择 Fortinet 当前版本支持范围内的厂商原版标准发行版，本文简称“公版操作系统”。例如使用操作系统厂商正式发布的安装镜像或官方云镜像，并保持受支持的内核、软件源和基础组件。

警告

不要使用企业自行裁剪、二次封装或深度定制的操作系统镜像。定制系统可能删除或替换 EMS 依赖的软件包、系统库、服务、内核模块、权限设置和安全策略，安装时即使没有报错，后续升级、数据库运行、容器启动或服务重启时也可能出现无法预期的问题。

由定制操作系统引起的问题不在 Fortinet TAC 的标准支持范围内。 TAC 可能要求先在目标 EMS 版本支持的公版操作系统上复现问题，再继续分析。因此，生产环境不要把自行定制的系统镜像作为 EMS 部署基线。

以下系统均应按定制系统处理，不建议直接安装 EMS：

  • 企业内部重新打包、裁剪或替换基础组件的 Linux 镜像；
  • 使用自定义内核、非官方软件源或批量替换系统库的镜像；
  • 为安全加固而删除系统服务、修改默认权限或限制安装程序行为的镜像；
  • 第三方提供但无法确认来源、版本和修改内容的虚拟机或云镜像；
  • 从其他业务服务器克隆后继续修改，而不是从官方镜像全新安装的系统。

如果企业安全规范要求进行操作系统加固，建议先使用公版操作系统完成 EMS 安装和功能验证，再在测试环境逐项应用加固配置。每次修改后都要验证 EMS 服务、数据库、容器、升级、备份和恢复功能。

4. 准备服务器和基础设施

本地部署应使用符合目标版本要求的专用服务器资源，并为增长、日志、安装包和数据库预留空间。不要直接把实验环境的最低配置用于生产。

部署前检查：

  • CPU、内存、磁盘容量和磁盘性能满足终端规模及保留周期要求。
  • 系统盘、数据盘、备份空间和日志空间的规划清楚，并配置容量告警。
  • 操作系统使用厂商公版镜像，且操作系统、数据库、虚拟化平台及容器运行环境都属于目标版本支持范围。
  • 已记录操作系统镜像来源、版本、校验值、内核版本和软件源，能够证明系统未经过未授权的裁剪或二次封装。
  • 主机名、IP 地址、DNS、NTP 和时区已经确定，安装后不会轻易变更。
  • HA 节点、数据库节点和负载均衡组件之间的网络时延满足要求。
  • 备份存放在独立故障域，恢复所需账户、密钥和介质能够取得。
  • 安装账户具备所需权限，实施窗口允许重启和服务中断。

5. 规划域名、网络和证书

应在客户端批量接入前确定长期使用的 EMS FQDN。终端可能从办公网和互联网连接时，应同时设计内外网 DNS、路由、NAT、代理和访问控制，避免上线后再更换管理地址。

按通信方向逐项确认。下表以 EMS 为参照描述入站和出站，并以官方端口表为基线；标记为“按需”的端口仅在启用对应功能时开放。

通信方向用途协议和默认端口启用条件与注意事项
管理员 / API 客户端 → EMSWeb 管理、REST APITCP 443 入站必需；若修改管理端口，应同步修改防火墙、书签、监控和 API 客户端
ACME 服务 → EMSHTTP-01 证书验证TCP 80 入站按需；仅使用 ACME 自动签发或续期证书时开放，同时需要 HTTPS 443
FortiClient → EMSTelemetry、注册、心跳、策略与命令同步TCP 8013 入站（默认，可配置）管理 Windows、macOS 或 Linux FortiClient 时必需；公网终端需要相应 NAT 或负载均衡入口
FortiClient → EMS下载 EMS 生成的安装包、Web Filter 自定义页面和 AV Allowlist 签名TCP 10443 入站（默认）按需；安装包下载地址或端口变更后，应验证客户端实际取得的 URL
FortiClient → EMSSCEP / ZTNA 终端证书签发TCP 4001、4002 入站按需；这是 7.4.7 的端口，早期版本可能不同
ChromeOS FortiClient → EMSChromebook 管理TCP 8443 入站（默认，可配置）仅管理 Chromebook 时使用
EMS → FortiCloud / FortiCare云服务、账户登录和许可证同步TCP 443 出站按需但通常建议允许；应按官方 FQDN 放行，不要只固定当前解析出的 IP
EMS → FortiGuardAV / 漏洞特征和安装包下载TCP 443 出站（Anycast）；TCP 80 出站（Legacy）按所选 FortiGuard 模式开放；优先依据目标版本列出的区域 FQDN
EMS → Fortinet 重打包服务创建并下载 EMS 安装包TCP 443 出站创建 Fortinet 托管的安装包时使用；代理和 TLS 检查不得破坏连接
EMS → FortiClient Cloud SandboxFortiSandbox SaaS 集成TCP 443 出站（默认）仅启用 Cloud Sandbox 集成时使用
EMS → AD / LDAP查询用户、计算机和组TCP 389 出站（LDAP）或 636 出站（LDAPS）建议优先使用 LDAPS，并验证 CA 链、DNS、时间和目录账户权限
远程 AD Connector / 目录组件 → EMS同步 AD 组、用户和设备信息TCP 8871 入站仅相关目录连接方式使用；限制来源为实际 Connector 或目录组件
浏览器 / EMS ↔ SAML IdPSAML 登录、元数据和重定向TCP 443按需；实际流向取决于 SAML 流程，管理员浏览器和 EMS 均需能访问相应 FQDN
EMS → DNS名称解析UDP/TCP 53 出站必需；必须能够解析 EMS 依赖的内部域名和外部服务域名
EMS → NTP时间同步UDP 123 出站强烈建议；证书、SAML、日志和 HA 均依赖准确时间
EMS → SMTP邮件告警TCP 25 出站（默认，可配置）按需；实际可能使用 465 或 587，以邮件服务器和 EMS 配置为准
EMS → Syslog / FortiAnalyzer外部日志UDP/TCP 514 出站（常用默认值）按需；以接收端和 EMS Log Settings 中配置的传输方式及端口为准
EMS ↔ FortiGateEMS 向 FortiOS 发送通知的 WebSocketTCP 8015 双向使用 Fabric Connector、标签或 ZTNA 集成时开放；限制为已授权 FortiGate
FortiGate → EMSFortiOS 查询标签、系统信息等 REST APITCP 443 入站使用 FortiGate Connector 时开放；同时验证 EMS 证书和 Connector 授权
EMS → 远程 PostgreSQL数据库访问TCP 5432 出站（PostgreSQL 默认）远程数据库时使用；若安装参数指定其他 db_port，以实际端口为准
EMS HA 节点之间HA 心跳和同步TCP 5432 双向EMS 7.4.7 官方 HA 端口；只允许集群节点之间通信
EMS → Windows 终端旧版 EMS 的初始远程部署和探测ICMP、TCP 445、TCP 135 及配置的 RPC 动态端口仅适用于使用该远程部署机制的旧版本；不要为 7.4/8.0 环境照搬大范围 RPC 放行

实施端口策略时建议遵循：

  • 只开放实际启用功能所需的端口，并限制来源、目标和方向；不要直接在 EMS 周围创建 any/any 规则。
  • EMS 安装程序会在本机防火墙中处理部分端口（官方特别提到 8013 和 10443），但不会自动修改上游防火墙、云安全组、代理、NAT 或负载均衡器。
  • 使用负载均衡时，要分别确认客户端到 VIP、负载均衡器到 EMS 节点以及健康检查所需端口。
  • 对外服务优先使用 FQDN 白名单；Fortinet 云服务和 CDN 的解析地址可能变化。
  • 上线前从实际通信源执行 DNS、TCP/TLS 和应用层验证，不能仅凭防火墙规则“已配置”判断连通。

证书准备至少包括：

  • 证书中的名称与终端实际访问的 FQDN 匹配。
  • 完整证书链能够被管理员浏览器和受管终端信任。
  • 私钥由授权人员保管，并具有备份和更新流程。
  • 已记录证书到期时间和续期负责人。
  • 若存在 TLS 检查或代理，已验证其不会破坏 EMS、Telemetry 或外部服务通信。

相关配置参阅证书设置、EMS访问设置和EMS和FortiGate集成。

6. 规划身份、分组和策略

在终端上线前确定用户验证方式、目录来源、终端分组和策略优先级：

  • 明确使用本地用户、AD/LDAP、SAML 或其他身份源的场景。
  • 为目录连接使用最小权限账户，并记录密码轮换对连接的影响。
  • 至少建立测试组、分批推广组和生产组。
  • 确认新终端首次注册后的默认分组和默认策略。
  • 为不同操作系统和业务用途建立清晰、可维护的分组规则。
  • 先准备最小基线策略，再逐项增加安全控制。
  • 检查策略的匹配范围与优先级，避免测试终端命中生产阻断策略。

安装包决定客户端版本和组件，终端策略决定受管配置。创建配置文件、创建安装包、客户端成功注册和策略实际生效是四个不同的检查点，不应相互替代。

7. 评估现有终端环境

在生成安装包前盘点终端上的现有软件和控制措施：

  • 原有 FortiClient、VPN 客户端、EDR、反病毒、主机防火墙和 Web 过滤软件。
  • 软件卸载密码、防篡改机制和集中卸载能力。
  • 操作系统更新、驱动签名、安全启动和内核扩展要求。
  • MDM、GPO、软件分发工具及终端本地管理员权限。
  • 关键业务应用、浏览器、证书中间件和网络驱动。

注意

两套实时防护、网络过滤或 VPN 驱动同时工作时，会产生性能、文件锁定和网络冲突。应依据相关厂商的兼容性说明，或者相互免除相关模块。不要直接在全网安装后再处理冲突。 免除FortiClient模块信息

8. 准备备份、回退和应急访问

部署或变更前应明确“发生什么问题时停止”和“如何恢复”。至少准备：

  • 受支持的 EMS 和数据库备份，并记录版本、时间和恢复凭据。
  • 原有客户端安装包、配置、策略引用关系和分发范围。
  • 网络、DNS、NAT、证书及外部身份源的变更记录。
  • 暂停批量分发、撤销策略和恢复必要通信路径的方法。
  • 不依赖 EMS 策略的现场或独立远程管理手段。
  • 厂商支持合同、日志收集方式和升级联系人。

注意

如果错误策略导致终端无法连接 EMS，随后在 EMS 中修改策略可能无法及时修复已失联终端。启用 Network Lockdown、强制 VPN、阻断型安全策略或大范围自动修复前，必须验证独立恢复路径。

回退不是默认等同于“安装旧版本”。部分 EMS 版本不支持直接降级，数据库也可能不能向旧版本恢复。升级或迁移前应按目标版本文档验证恢复流程。

9. 设计试点和验收标准

试点终端应覆盖实际环境，而不是只选择管理员电脑。建议至少覆盖：

  • 每种受支持的操作系统和主要硬件类型。
  • 办公网、互联网、代理网络和 VPN 场景。
  • 普通用户、远程用户、管理员和关键业务用户。
  • 关键应用、现有安全软件及异常网络条件。

批量推广前至少验证：

验收项通过标准
平台EMS 服务稳定，版本、许可证和席位正确
接入终端能够解析并连接正确的 EMS 实例或站点
身份用户验证和目录同步符合设计
分组终端进入预期分组，没有错误命中
策略客户端收到并实际应用正确配置
业务关键应用、网络、VPN 和登录流程正常
安全检测、告警、阻断和例外规则结果符合预期
稳定性重启、用户切换和内外网切换后能够恢复连接
日志EMS 与终端日志可查询，测试告警能够送达
恢复停止推广、恢复网络或策略的流程已经验证

试点通过后再按“IT 测试组 → 代表性业务组 → 分批生产组”扩大范围。每批都应设置观察时间、通过标准和停止条件。

10. 上线前最终检查

建议进入生产批量部署前，检查以下信息：

完成上述准备后，再按照EMS的一般的部署顺序和原则实施，并在每个阶段保留配置、测试结果和变更记录。

更新历史

VerDescriptionAuthorRevDate
1.2Add clarification regarding the requirement to use a standard (off-the-shelf) operating system and the scope of Fortinet TAC support.yshengtanga2026.10.18
1.1Modify improper grammar and add relevant linksyshengtanga2026.10.17
1.0First Completeyshengtanga2026.10.07
0.1Draft Version--2026.08.04
FortiClient EMS 中文一本通 · 部署与运维参考手册
Powered by Fortinet TAC Team. | 京ICP备05073827号-1