FortiClient（macOS）模块日志
FortiClient（macOS）模块日志
FortiClient（macOS）日志用于排查 EMS 通信、VPN 连接、ZTNA 访问及终端防护等问题。根据故障类型选择相关组件日志，并结合发生时间、操作过程和服务端记录定位原因。
注
日志文件及存放位置可能随 FortiClient 版本、安装组件和日志设置而变化。请以终端实际目录和导出包为准。SSL VPN 等功能仅适用于支持该功能的版本。
日志位置
日志分布在系统目录和用户目录中。查找时应同时检查系统组件日志、故障用户的日志及导出包。
| 范围 | 日志目录 |
|---|---|
| 系统组件 | /Library/Application Support/Fortinet/FortiClient/Logs |
| 用户组件 | ~/Library/Application Support/Fortinet/FortiClient/Logs |
| 用户日志 | ~/Library/Logs/FortiClient |
~ 表示故障用户的主目录；含空格的路径在终端中需要引号。
sw_vers
date '+%Y-%m-%d %H:%M:%S %z'
ls -la "/Library/Application Support/Fortinet/FortiClient/Logs"
ls -la "$HOME/Library/Application Support/Fortinet/FortiClient/Logs"
ls -la "$HOME/Library/Logs/FortiClient"完整采集过程参见生成 FortiClient（macOS）的诊断报告。
日志文件与用途
各功能模块的日志及用途如下。文件名、扩展名和轮转编号以终端实际生成的文件为准；未找到同名文件时，可按组件关键词查找。
安装、配置与界面
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
launcher.log | FortiClient 安装相关记录。 |
fcconfig_service.log | 来自 EMS 的配置及配置修改记录，例如 plist 相关变更。 |
epctrl.log | EMS 与客户端同步、保活，以及 On-fabric / Off-fabric 状态。 |
main.log | 图形界面处理记录，例如用户发起连接请求。 |
网页过滤与系统扩展
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
fctnetwork.log | forticlientnetwork 管理网页过滤和应用防火墙系统扩展的相关记录。 |
fortiagent log | 网页过滤及 FortiGuard 分类评级相关记录。 |
fortiguard_agent.log | 网页过滤使用 FortiGuard 分类评级的相关记录。 |
webfilter.log | 网页过滤对 URL 的允许、阻止记录。 |
ZTNA 与证书
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
ztna.log | ZTNA 启用状态、规则和证书相关错误。 |
ztnafw.log | EMS 配置的 ZTNA 规则在终端的应用情况。 |
ztna-cert.info | EMS 下发的客户端证书信息。 |
VPN 与认证
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
ipsec ikev2 logs | IKEv2 系统统一日志，按 iked 进程查询，命令见后文。 |
fctctl.log | IPsec 隧道、Split DNS 和 Mode Config 等信息。 |
ipsec.log | IPsec / IKEv1 连接过程，包括协商提议、证书等问题；IKEv2 另查 iked 系统日志。 |
vpn-provider.log | SSL VPN 连接过程，包括连接异常、IP 地址和 DTLS 信息。 |
fortitray.log | 端点控制、SAML、隧道建立前的流程和特权辅助程序启动，以及 Always Up、用户配置等 VPN 信息。 |
privileged_helperlog | SSL VPN 的 DNS 信息及需要特权权限的操作记录。 |
安全防护与漏洞扫描
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
vcm | 漏洞扫描结果目录，结果时间使用 UTC。 |
vul_lastfound_ids.log | 最近发现的漏洞 ID 记录。 |
vulscan.log | 漏洞扫描流程以及 VCM 引擎启动、停止记录。 |
sandboxlog | 沙箱服务器连接状态、提交文件的评级等信息。 |
avrtscan.log | 实时反病毒扫描及隔离等记录。 |
avmscan.log | 按需／手动反病毒扫描在不同模式下的摘要。 |
更新、日志上传与 FSSO
| 日志文件或诊断项目 | 用途与排查重点 |
|---|---|
update.log | 更新任务从 FDS 同步特征库、引擎等内容的记录。 |
fazlogupload.log | 向 FortiAnalyzer（FAZ）上传日志的过程及设备信息。 |
fsso.log | 与 FortiAuthenticator（FAC）的 FSSO 通信，包括连接、域、IP 地址和组信息。 |
按故障选择日志
根据故障现象选择日志，并结合相同时间段的服务端记录分析。
| 故障现象 | 优先查看 |
|---|---|
| EMS 策略未同步或配置异常 | epctrl.log、fcconfig_service.log；界面问题加 main.log |
| IPsec VPN 失败 | IKEv1 查 ipsec.log；IKEv2 查 iked 系统日志，并结合 fctctl.log、fortitray.log |
| SSL VPN 或 SAML 异常 | vpn-provider.log、fortitray.log；DNS 或特权操作加特权辅助程序日志 |
| ZTNA 规则或证书异常 | ztna.log、ztnafw.log、ztna-cert.info |
| 网页过滤或扩展异常 | webfilter.log、FortiGuard 评级日志、fctnetwork.log，并记录系统扩展状态 |
| 扫描、更新或上传异常 | 按功能检查 AV / VCM、update.log 或 fazlogupload.log；FSSO 单独查看 fsso.log |
查询 IPsec IKEv2 系统日志
在终端中执行以下命令，查看最近三天的 IPsec IKEv2 日志：
log show --process iked --last 3d该命令查询最近三天内 iked 进程的系统统一日志。排查时可把时间窗口缩小到故障附近，避免在大量无关记录中查找。系统日志可见范围取决于权限、保留情况和记录级别；没有输出不能直接证明没有发生 IKEv2 协商。
网页过滤或应用防火墙涉及系统扩展时，可补充以下只读检查，并记录系统设置或 MDM 中的扩展批准状态：
systemextensionsctl listvcm 为漏洞扫描结果目录，ztna-cert.info 为证书信息文件。采集时应保留目录结构，并将 iked 系统日志与客户端日志一并保存。
采集与验证
- 记录环境与时间：保存操作系统和 FortiClient 完整版本、主机名、故障时间及时区、复现步骤与完整错误文本；受管终端另记录 EMS 地址、终端 UID 和命中策略。
- 确认日志设置：按客户端日志的设置启用所需模块。需要 Debug 时仅对目标终端临时调整，等待策略同步并确认生效后再复现。
- 复现并保存：围绕一次明确的失败操作收集日志，覆盖故障前后时间段。保存相关主日志、错误日志、轮转文件及必要的子目录；优先同时保留完整导出包。
- 对齐上下文：按时间、目标地址、用户名和连接阶段，与 EMS、FortiGate、身份源或日志接收端的记录核对。UTC 时间需转换后再与本地时间比较。
- 检查结果并恢复设置：确认文件非空、时间范围覆盖故障且所选模块有记录；采集完成后恢复原日志级别，避免长期启用 Debug。
日志文件不存在时，先核对路径、故障用户、模块和版本；文件为空时，检查日志级别、策略是否生效及复现时间。目录权限不足时使用获授权的读取方式，不通过关闭自保护、修改原始日志或删除文件来解决采集问题。
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.10.18 |