生成 FortiClient（Windows）诊断报告
生成 FortiClient（Windows）诊断报告
FortiClient Diagnostic Tool 用于收集终端环境、FortiClient 配置和运行日志，帮助定位客户端连接、策略同步、VPN、ZTNA 和防护模块等问题。向 Fortinet TAC 提交故障时，诊断报告应与复现步骤、发生时间和错误信息一起提供。
有效的采集顺序是：确认日志设置 → 复现问题 → 生成报告 → 检查内容 → 提交并恢复日志设置。 如果工具要求在采集过程中复现，应按提示执行。生成了文件并不代表其中已经包含本次故障。
注
本文面向 Windows FortiClient。受 EMS 管理的客户端、独立客户端以及不同版本的按钮名称、日志选项和输出目录可能不同，应以实际安装版本的界面与提示为准。诊断报告不是 EMS 数据库备份，也不能替代蓝屏所需的内存转储。
采集前准备
在重启、卸载、升级或清除日志之前，先保存现有故障证据，并记录以下信息：
| 项目 | 需要记录的内容 |
|---|---|
| 故障现象 | 预期结果、实际结果、完整错误文本，以及是否能够重复出现 |
| 时间 | 故障发生与复现的时间，精确到秒并注明时区 |
| 软件版本 | Windows 版本和构建号、FortiClient 完整版本；受管终端另记录 EMS 版本 |
| 终端信息 | 主机名、EMS 中的终端 UID、命中策略和最近在线时间 |
| 网络环境 | 办公网、家庭网络、移动热点，是否经过代理或其他 VPN |
| 变更记录 | 最近的安装、升级、证书、网络或策略变更 |
确认终端有足够空间保存报告，并能按工具要求完成权限授权。对于偶发问题，先保存已有日志，不要为了重新采集而清除唯一的故障记录。
配置需要收集的日志
诊断工具主要负责汇总信息，无法补回此前没有记录的详细日志。受 EMS 管理的客户端应由管理员调整其实际命中的配置文件，而不是只在本机尝试修改被锁定的选项。
- 在 EMS 中找到目标终端及其命中的 Endpoint Policy。
- 打开该策略引用的 System Settings 配置文件，检查 Logging 区域。
- 根据故障选择日志模块；需要详细排错时，临时将相关日志级别调整为 Debug。
- 保存配置，等待终端同步，确认实际生效后再进行复现。
| 故障类型 | 优先检查的日志模块 |
|---|---|
| 连接 EMS、注册或配置同步失败 | Telemetry |
| IPsec VPN 连接异常 | IPsec VPN |
| SSL VPN 连接异常 | SSL VPN，仅用于支持该功能的版本 |
| ZTNA 目标匹配或代理连接异常 | Proxy，并结合 Telemetry 和 FortiGate 日志 |
| 引擎或特征库更新失败 | Update |
| 网页过滤、恶意软件检测或应用控制异常 | 对应的 Web Filter、AntiVirus、Application Firewall 等模块 |
模块名称及可选范围以客户端平台和版本为准。完整设置方法见客户端日志的设置。
重要
如果配置文件还被其他策略或大量终端引用，先复制为排错专用配置，并仅分配给目标测试组。记录原日志设置，采集完成后恢复，避免全网长期产生 Debug 日志。
在终端生成诊断报告
1. 打开诊断工具
打开 FortiClient 控制台，进入 About / 关于。
单击 Diagnostic Tool 或 Run Diagnostic Tool。部分 Windows 版本也提供开始菜单中的诊断工具入口。 如果没有相应入口，先核对客户端类型、版本和安装组件，不要直接下载其他版本的诊断程序替换本机工具。
2. 确认日志范围并启动
如果窗口显示当前选择的日志模块，确认其中包含要排查的功能。模块不正确时，先返回 EMS 修正配置并等待同步。 按界面提示单击 Run Diagnostic Tool / Run Tool。
之后FortiClient会呼出诊断工具，按提示单击运行工具
工具会打开进度窗口或命令行窗口；完成所需授权后，等待其执行，不要提前关闭窗口。
3. 按提示复现问题
对于 VPN 问题，工具可能提示建立或断开隧道。按提示操作，并记录每个关键动作的时间。与当前问题无关的步骤，可以直接点击任意按键跳过。
一次可用于排错的复现应包含：
- 记录开始时间及当前网络环境。
- 执行导致故障的操作，例如连接指定隧道、访问指定应用或触发一次更新。
- 记录完整报错，并截取必要画面。
- 按工具提示继续采集，等待报告生成。
对于 EMS、VPN 或 ZTNA 问题，同时保存对应的生成EMS的诊断报告、网关（FortiGate）的同一时间段日志。
4. 保存生成结果
工具完成后，使用其提示或自动打开的目录找到本次生成的 Diagnostic_Result 文件或文件夹。复制完整报告到独立的工单目录，保留原始文件名、格式和目录结构。
注
- 如果没有弹出，则需要进入以下路径：
C:\Users\用户名\AppData\Local\FortiClient\tmp\Diagnostic_Result（环境变量路径，可以直接复制）
%USERPROFILE%\AppData\Local\FortiClient\tmp\Diagnostic_Result
通过 EMS 请求诊断报告
终端仍能正常与 EMS 通信时，可由管理员使用远程诊断功能：
重要
- 在客户端本地运行报告相比来讲会比从EMS上获取报告信息更多，如果可以，请尽可能从本地生成报告
- 进入 Endpoints，找到目标终端并核对主机名与 UID。
- 在 Action 菜单中选择 Request Diagnostic Results，具体名称以版本界面为准。
- 等待终端执行并回传，检查任务状态及报告时间。
- 等待一段时间后，单击Action菜单下的Download Available DIagnostic Results。如果没有下载完成，请继续等待一段时间重新下载。
远程请求依赖终端通信和功能支持。
检查报告并提交
提交前至少完成以下检查：
| 检查项 | 通过标准 |
|---|---|
| 文件完整性 | 文件非空，采集已结束；压缩包可正常读取，或输出目录包含实际文件 |
| 时间范围 | 生成时间对应本次采集，相关日志覆盖故障或复现时段 |
| 终端身份 | 报告属于目标设备，版本和主机信息与问题描述一致 |
| 日志范围 | 包含需要调查的功能；缺少模块时说明原因或补采 |
| 附加证据 | 有复现步骤、准确时间与时区、错误截图，以及必要的服务器侧日志 |
保留原始报告，检查内容时使用副本。报告中的配置、主机名、地址和软件信息可能涉及组织环境，按工单要求通过受控渠道提交，不附加无关的密码、私钥或用户文件。
可使用以下说明模板与报告一起提交，方括号内容替换为实际值：
问题描述：[预期结果与实际结果]
发生时间及其时区：[YYYY-MM-DD HH:mm:ss，UTC+08:00]
终端主机名 / UID：[主机名 / UID]
Windows / FortiClient / EMS 版本：[完整版本]
网络环境：[办公网、家庭网络等]
复现步骤：[按顺序列出]
错误信息：[完整错误文本]
最近变更：[升级、策略、证书等；无则注明无]
附件说明：[报告文件名、截图及对应时间]常见问题
| 现象 | 处理方法 |
|---|---|
| 找不到 Diagnostic Tool | 检查 About 和开始菜单，核对客户端类型、版本及安装完整性 |
| 所需日志模块未启用 | 调整目标终端实际命中的 EMS 配置，确认同步后重新复现与采集 |
| 工具报权限或写入错误 | 保存错误信息，检查运行权限、磁盘空间及输出目录权限；按提示授权后重试 |
| 工具长时间没有完成 | 查看是否正等待 VPN 操作或用户输入；保留进度信息，不反复启动多个实例 |
| 没有自动打开结果目录 | 查看工具结束提示，按生成时间检查实际输出目录和运行账户 |
| 报告存在但没有故障日志 | 核对采集时间、模块和日志级别，检查日志是否已轮转；必要时重新复现 |
| EMS 请求后没有结果 | 检查终端在线状态、Telemetry、任务状态及上传情况；必要时转为本机采集 |
| 故障涉及 Windows 蓝屏 | 另收集 dump、系统事件和驱动信息，见Windows出现蓝屏时的信息收集 |
采集后的处理
恢复排错前的日志级别及策略分配，确认终端收到恢复配置。保存本次采集时间、报告文件名和工单编号；需要重新采集时使用新的目录，避免覆盖前一次证据。
需要进一步检查终端原始日志时，参阅FortiClient（Windows）模块日志。涉及 EMS 管理服务异常时，另按生成EMS的诊断报告补充服务器侧材料。
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.1 | Update ts procedure | ysheng | tanga | 2026.10.18 |
| 1.0 | First Complete | ysheng | tanga | 2025.03.03 |