FortiClient（Windows）日志用于排查 EMS 通信、VPN 连接、ZTNA 访问及终端防护等问题。根据故障类型选择相关组件日志，并结合发生时间、操作过程和服务端记录定位原因。
注
日志文件及存放位置可能随 FortiClient 版本、安装组件和日志设置而变化。请以终端实际目录和导出包为准。SSL VPN 等功能仅适用于支持该功能的版本。
日志主要位于安装目录和用户目录下的 logs\trace 文件夹：
| 范围 | 日志目录 |
|---|
| 默认安装目录 | C:\Program Files\Fortinet\FortiClient\logs\trace |
| 当前用户 Local | %LOCALAPPDATA%\FortiClient\logs\trace |
| 当前用户 Roaming | %APPDATA%\FortiClient\logs\trace |
%LOCALAPPDATA% 和 %APPDATA% 分别表示当前用户的 Local 和 Roaming 应用数据目录。排查其他用户的故障时，应检查该用户的目录。自定义安装目录以实际安装位置为准。不要只收集 trace 中的一两个文件。漏洞扫描还要检查上一级 logs 目录中的 VCM 文件夹；完整采集可参见生成 FortiClient（Windows）诊断报告。
各功能模块的日志及用途如下。文件名、扩展名和轮转编号以终端实际生成的文件为准；未找到同名文件时，可按组件关键词查找。
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
FortiESNAC_1.log | EMS 与客户端同步、保活，以及 On-fabric / Off-fabric 状态。 |
FortiESNAC_1_error.log | FortiESNAC 组件以 Error 级别记录的错误；结合主日志查看上下文。 |
fortisettings_1 | FortiSettings.exe（FortiClient Settings 服务）的运行记录。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
fcmonitor_1.log | 反勒索软件（Anti-Ransomware）的检测、隔离和恢复过程。 |
fcaptmont_1.log | FortiSandbox 通信与同步、检测和隔离信息。 |
fmon_1.log | 实时防护和漏洞利用防护（Anti-Exploit）的检测、隔离记录。 |
fortlusbmon_1.log | 可移动介质规则下发、规则匹配情况和硬件信息。查找时可使用 usbmon 关键词定位组件日志。 |
fortiusbmon_1_error.log | 可移动介质组件的 Error 级别记录；与对应主日志配合查看。 |
libavr_1.log | 反病毒修复库（AV repair library）的相关记录。 |
libevtdb_1.log | 排查 Microsoft 反恶意软件扫描接口（AMSI）相关问题时，可结合此文件中的事件内容进行分析。 |
quarant_1.log | 辅助诊断文件，具体事件类型以文件内容为准；排查隔离问题时应同时查看对应防护模块日志。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
fortifws_1.log | 应用防火墙相关记录，包括 IPS / 防火墙的阻止或放行信息。 |
fortiwt_1.log | 网页过滤相关记录，包括 FortiGuard 服务器连接和分类评级。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
FortiIKE_1.log | IPsec VPN 的 IKEv1 / IKEv2 协商过程，用于检查提议、证书等连接问题。 |
FortiIKE_1_errorlog | FortiIKE 组件的 Error 级别记录，与主日志配合分析协商失败原因。 |
fortisslvpnsys.exe_ sslvpnlib_1.log | SSL VPN 使用本机计算机证书或当前用户证书的相关记录。 |
fortivpn.exe_sslvpnlib_1.log | 启用 VPN before logon（登录前 VPN）时的 SSL VPN 连接流程。 |
fortivpn.exe_sslvpnlib_1_error.log | 登录前 VPN 场景中，对应 SSL VPN 库的 Error 级别记录。 |
FortiVPN_1.log | SSL VPN 和 IPsec VPN 的连接状态变化；搜索 In state: 可定位连接流程所处步骤。 |
FortiVPN_1_error.log | FortiVPN 组件的 Error 级别记录；结合状态日志定位失败阶段。 |
ftsvnic_1.log | SSL VPN 使用的 FortiClient 虚拟网卡相关问题。 |
sslvpndaemon_1.log | SSL VPN 连接过程，包括隧道、DNS、IP 地址和 DTLS 信息。 |
sslvpndaemon_1_error.log | SSL VPN daemon 的 Error 级别记录；结合主日志分析连接过程。 |
sslvpnsys_1.log | FortiClient 7.2 中，本机计算机证书与当前用户证书用于 SSL VPN 的相关记录。 |
transctrl_1.log | 流量控制及基于应用的分流（Application-based split tunneling）。 |
SamlAuthWB.log | SAML 认证记录；实际使用的日志取决于认证提供方及流程。 |
FortiAuth.log/Samlauth.log | SAML 认证记录；根据认证流程分别查看 FortiAuth.log 或 Samlauth.log。 |
FortiTray.exe_FortiAuth.log | FortiTray 调用 FortiAuth 的过程，以及隧道和认证 URL 等信息。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
fortitcs_1.log | ZTNA 启用状态、规则及证书相关错误。 |
ztna-cert.info | EMS 下发的客户端证书信息，用于检查证书状态。证书在 IPsec VPN Azure Auto Login 中的使用方式取决于版本和认证配置。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
update_tak_dill_1.log | 特征库更新过程及更新结果。 |
vcm_1.log | 漏洞扫描引擎日志；FortiClient 日志目录下的 VCM 文件夹还包含扫描摘要、进度、结果和问题信息。 |
| 日志文件或诊断项目 | 用途与排查重点 |
|---|
fortivrs.log | FortiPAM 功能相关记录。 |
gui_1.log | 图形界面处理记录，例如用户发起连接请求。 |
根据故障现象选择日志，并结合相同时间段的服务端记录分析。
| 故障现象 | 优先查看 |
|---|
| EMS 连接或策略不同步 | FortiESNAC_1.log、对应错误日志、fortisettings_1 |
| IPsec 建连失败 | FortiVPN_1.log 中的 In state: → FortiIKE_1.log → 对应错误记录 |
| SSL VPN 连接失败或连上后异常 | FortiVPN_1.log、sslvpndaemon_1.log；网卡问题加 ftsvnic_1.log，应用分流问题加 transctrl_1.log |
| SAML 认证或登录前 VPN 异常 | SAML / FortiAuth 日志、FortiTray.exe_FortiAuth.log；登录前 SSL VPN 加 fortivpn.exe_sslvpnlib_1.log |
| ZTNA 访问失败 | fortitcs_1.log、ztna-cert.info，结合 EMS 策略及网关日志 |
| 检测、隔离或更新异常 | 按防护模块选择日志；更新和漏洞扫描同时检查更新日志、vcm_1.log 与 VCM 文件夹 |
- 主日志用于还原完整过程，Error 日志用于定位错误；只查看 Error 文件容易遗漏错误发生前的状态变化。
- 采集时保留覆盖故障时间段的同组件文件和轮转文件，不要只收集名称带
_1 的文件。 - 证书相关问题要区分“本机计算机”与“当前用户”的证书范围，并记录故障发生在登录前还是登录后。
- 查找日志时可使用
FortiIKE、usbmon、update 等组件关键词，结合文件更新时间确认与故障对应的日志。
- 记录环境与时间：保存操作系统和 FortiClient 完整版本、主机名、故障时间及时区、复现步骤与完整错误文本；受管终端另记录 EMS 地址、终端 UID 和命中策略。
- 确认日志设置：按客户端日志的设置启用所需模块。需要 Debug 时仅对目标终端临时调整，等待策略同步并确认生效后再复现。
- 复现并保存：围绕一次明确的失败操作收集日志，覆盖故障前后时间段。保存相关主日志、错误日志、轮转文件及必要的子目录；优先同时保留完整导出包。
- 对齐上下文：按时间、目标地址、用户名和连接阶段，与 EMS、FortiGate、身份源或日志接收端的记录核对。UTC 时间需转换后再与本地时间比较。
- 检查结果并恢复设置：确认文件非空、时间范围覆盖故障且所选模块有记录；采集完成后恢复原日志级别，避免长期启用 Debug。
日志文件不存在时，先核对路径、故障用户、模块和版本；文件为空时，检查日志级别、策略是否生效及复现时间。目录权限不足时使用获授权的读取方式，不通过关闭自保护、修改原始日志或删除文件来解决采集问题。
| Ver | Description | Author | Rev | Date |
|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.18 |